RGPD y datos de creadores: guía práctica para la marca que contrata

En resumen: todo lo que necesitas de un creador es dato personal: DNI de la factura, IBAN, teléfono, dirección de envío y capturas de sus analíticas. Antes de firmar, pide tres cosas por escrito: quién es responsable y quién encargado del tratamiento —lo decide quién capta y contrata al creador—, qué dice el contrato sobre base jurídica, conservación, subencargados y transferencias internacionales, y en qué sistemas se busca cuando un creador pide que le borren, porque hay un mes para contestarle. Los derechos de imagen son otra cosa, e identificar la publicidad no es RGPD. Divulgación, no asesoramiento jurídico.

Esto es para quien va a firmar con una agencia o contratar creadores y se encuentra con un anexo de protección de datos que nadie le ha explicado. No es para tu departamento legal, que ya sabe esto: es para que sepas qué te piden, qué falta y qué preguntar. No somos abogados, y esto es lo que hemos aprendido gestionando una red de +2.500 creadores verificados para +50 marcas. Contrástalo con un abogado antes de firmar.

Qué datos de un creador son datos personales

Prácticamente todo lo que necesitas para trabajar con él. El RGPD define dato personal como cualquier información sobre una persona física identificada o identificable: nombre, usuario de Instagram, correo, teléfono, DNI de la factura, IBAN, dirección de envío, imagen, voz y analíticas de su cuenta. La frase que falla en las reuniones es «nosotros solo tenemos el contacto profesional»: un creador autónomo es una persona física, no una empresa, y su contacto profesional es dato personal igual.

Lo que no está en el inventario de nadie es dónde acaban viviendo:

• DNI o NIE, para facturar: contabilidad, gestoría, PDF suelto en el correo.
• IBAN, para pagarle: banca electrónica, hoja de pagos y el hilo donde lo mandó.
• Teléfono, para coordinar: agenda de un móvil personal, grupo de WhatsApp.
• Dirección postal, para el envío: plataforma de envíos, transportista, logística.
• Capturas de sus analíticas, para reportar: informe en PDF, presentación, Drive.
• Imagen y voz, que son la pieza: brutos, biblioteca de activos, gestor de anuncios.

Un matiz que sí da problemas: si para justificar una campaña metes capturas de comentarios o mensajes privados con los nombres visibles, tratas datos de terceros que no han firmado nada contigo. Tápalos.

Responsable o encargado del tratamiento: quién es quién

Depende de quién decide los fines y los medios del tratamiento, que es la definición de responsable del artículo 4.7 del RGPD, y no de quién paga la campaña. En la práctica el indicio más claro es quién capta y contrata al creador, pero el criterio que manda es quién toma las decisiones, no quién firma. Si la agencia tiene su propia red, la capta y firma con cada creador en su nombre, es responsable de esos datos y decide ella las finalidades. Si eres tú quien entrega una lista —tus clientes, tus colaboradores habituales— para que la agencia los active, trata datos por tu cuenta y hace falta el contrato de encargado del tratamiento que exige el artículo 28 del RGPD. Y un tercer caso que casi nadie ve venir: en cuanto recibes la lista de creadores con nombres y contactos, pasas a tratar esos datos tú.

Ese tercer caso es el que duele. Pides la lista «para validarla», llega un Excel con 40 nombres, teléfonos y tarifas, y se queda en el correo de tres personas. Ahí ya eres responsable. Si lo que necesitas es validar el encaje, pide perfiles, métricas y enlaces, no la hoja de contactos.

Qué tiene que decir el contrato

Siete cosas, y si falta alguna es una pregunta que hacer, no necesariamente un problema: base jurídica de cada tratamiento, finalidad concreta —no «fines comerciales»—, plazo de conservación, subencargados, transferencias fuera del Espacio Económico Europeo, qué se hace ante una brecha de seguridad y qué pasa al terminar.

• Base jurídica. Para el creador contratado suele ser la ejecución del contrato. Para conservarlo después de cara a campañas futuras la base ya es otra —consentimiento o interés legítimo—, y eso cambia los derechos que puede ejercer.
• Finalidad concreta. El artículo 28.3 del RGPD exige que el contrato fije el objeto, la duración, la naturaleza y la finalidad del tratamiento. «Fines comerciales» no es una finalidad; «captar, contratar y pagar creadores para la campaña X» sí lo es.
• Plazo de conservación. No es uno solo: los datos de pago tienen plazos propios en la normativa fiscal, los brutos duran lo que duren los derechos sobre las piezas, y el contacto depende de la base jurídica. «Indefinido» no es un plazo.
• Subencargados. Aquí está casi todo el riesgo real: gestor de proyectos, correo, nube, analítica, pasarela de pagos, firma electrónica. El artículo 28 exige autorizarlos e imponerles las mismas obligaciones. Pide la lista y que te avisen al cambiarla.
• Transferencias internacionales. Frecuentes, porque media pila de herramientas es estadounidense. No son ilegales: el capítulo V del RGPD las permite con una decisión de adecuación o con garantías como las cláusulas contractuales tipo. Lo que no vale es no saber si existen.
• Brechas de seguridad. El responsable tiene 72 horas para notificar a la autoridad cuando proceda, y el encargado debe avisarle sin dilación indebida. En el contrato, eso es un número de horas y un canal.
• Al terminar. Devolución o borrado, con las excepciones por obligación legal, y confirmación por escrito. Es la cláusula que más se olvida y más se echa de menos después.

Lo que no te podemos dar es el documento, ni decirte que firmando con nosotros «cumples el RGPD»: ningún proveedor lo puede prometer, porque depende también de lo que hagas tú con los datos en tu casa. Si una propuesta no habla de nada de esto, está entre las señales de alarma que conviene mirar antes de firmar.

Los derechos del creador y qué hacer cuando pide que le borren

Tienes un mes para responder desde que recibes la solicitud, prorrogable dos meses más si el caso es complejo, avisando dentro de ese primer mes y explicando el motivo: lo dice el artículo 12.3 del RGPD. Hay que responder siempre, incluso para denegar motivadamente. Los derechos son acceso, rectificación, supresión, limitación, portabilidad y oposición, y lo primero es ver si la solicitud va contigo o con tu proveedor: contesta quien sea responsable.

El plazo no es el problema. Lo es la lista de sitios donde hay que buscar de verdad:

• La hoja o base de datos donde vive la red de creadores.
• El correo: hilos, adjuntos y papelera, que también cuenta.
• El CRM, con sus notas de llamadas y tareas abiertas.
• Pagos, contabilidad y email marketing.
• El almacenamiento de brutos y la biblioteca de activos.
• WhatsApp y los canales internos de mensajería.
• Informes ya entregados al cliente y copias de seguridad.

Si tu proveedor no te puede dar esa lista, la supresión no se puede atender de verdad, y conviene saberlo antes de la primera solicitud. Pídela al arrancar. Y hay datos que no se borran, porque el RGPD prevé que la supresión no se aplica cuando el tratamiento es necesario para cumplir una obligación legal, y una factura emitida es una obligación contable y fiscal. Lo que toca es explicarle al creador qué se borra, qué se conserva, por qué y hasta cuándo.

Y el detalle que casi nadie hace: conserva el hilo. La solicitud, la fecha, qué se buscó, dónde, qué se borró y la respuesta enviada. El RGPD no te pide solo cumplir, te pide poder demostrarlo. Guardar ese registro no contradice el borrado: conservas la gestión, no el perfil del creador.

Derechos de imagen y protección de datos no son lo mismo

Son tres pistas distintas que se cierran por separado. La protección de datos regula el tratamiento de la información sobre la persona, con el RGPD y la Ley Orgánica 3/2018. Los derechos de imagen protegen a la persona frente al uso de su imagen, voz o nombre, y vienen del artículo 18.1 de la Constitución y de la Ley Orgánica 1/1982. Y la propiedad intelectual regula la pieza como obra. Tener cerrada una no te cubre las otras dos.

Ese artículo 7.6 considera intromisión ilegítima usar el nombre, la voz o la imagen de alguien con fines publicitarios o comerciales sin consentimiento expreso. Traducido: que un creador te haya cedido los derechos de uso de un vídeo para anuncios doce meses no significa que no pueda pedirte que dejes de usar su cara, ni que no pueda pedirte sus datos. Son tres conversaciones. Qué firmar para poner la pieza en anuncios va aparte: ahí importan los derechos que hay que cerrar para usar las piezas en campañas de pago.

Lo que no es RGPD pero te van a preguntar en la misma reunión

Identificar la publicidad. No tiene nada que ver con protección de datos y se cuela en la misma conversación casi siempre. La obligación viene de la normativa publicitaria y de competencia desleal: el artículo 26 de la Ley 3/1991 de Competencia Desleal considera desleal por engañosa la comunicación promocional en medios o redes que el empresario ha pagado sin que el contenido indique con claridad que es publicidad, y la Ley 34/2002 exige que las comunicaciones comerciales electrónicas sean identificables. En corto: si hay contraprestación, hay que decirlo. Y producto gratis es contraprestación.

• El código de conducta de publicidad con influencers de AUTOCONTROL, la Asociación Española de Anunciantes e IAB Spain. La primera versión entró en vigor el 1 de enero de 2021, pero la vigente es la de 2025, aplicable desde el 1 de octubre de 2025 y con IAB Spain como cotitular. Sigue siendo de adhesión voluntaria, concreta dónde poner la mención en cada red y el Jurado de la Publicidad resuelve las reclamaciones. Si tu proveedor te cita el código, pregúntale por qué versión se guía.
• Tus obligaciones no desaparecen porque publique el creador. La publicidad encubierta se le reprocha también al anunciante que la encarga: lo desarrollamos en las obligaciones legales de la marca cuando hace publicidad con creadores.
• El régimen de usuario de especial relevancia de la Ley 13/2022, desarrollado por el Real Decreto 444/2024 y en vigor desde el 2 de mayo de 2024, afecta a muy pocos: exige a la vez ingresos brutos del año anterior por esa actividad iguales o superiores a 300.000 euros, un millón de seguidores en un solo servicio o dos millones agregados, y al menos 24 vídeos ese año. En una campaña normal no te aparecerá ninguno; identificar la publicidad, en cambio, aplica a todos.

Cuándo esto no nos lo tienes que preguntar a nosotros

Cuando lo que necesitas es una revisión jurídica de tu contrato. No la hacemos, y desconfía de la agencia que te la ofrezca gratis como argumento de venta: ni nosotros ni ellos somos un despacho. Un anexo a medida o una evaluación de impacto los firma un abogado especializado y se pagan aparte. Y al revés: si haces una colaboración puntual al año y ya tienes tus contratos, no contrates una agencia para el papeleo.

Lo que sí hacemos, para que puedas comparar. Captamos y contratamos nosotros a los creadores de nuestra red —qué datos pedimos y para qué está en la página de alta de creadores—, así que somos responsables de sus datos y a ti te llega lo imprescindible para aprobar y reportar. El responsable tiene nombre y forma jurídica: Dama Platforms S.L., en Tres Cantos. Cerramos los derechos sobre las piezas y te entregamos con el contrato la lista de sistemas y proveedores por los que pasan los datos de un creador: no está publicada en la web, se pide y se manda. Lo que no hacemos es comprar medios: la inversión publicitaria la gestiona tu equipo o tu agencia de medios, que es quien controla los datos de su cuenta de anuncios. Cómo trabajamos está en nuestra página de agencia de UGC.

Las ocho preguntas que hacer antes de firmar

Llévalas tal cual a la próxima reunión. Si tu proveedor contesta las ocho sin pensar demasiado, vas bien; si tarda en contestar tres, ya sabes dónde mirar.

• ¿Quién es responsable y quién encargado de los datos de los creadores, y por qué?
• ¿Qué datos míos vais a tratar, y con qué base jurídica cada uno?
• ¿Qué datos de creadores voy a recibir yo, y puedo recibir menos?
• ¿Cuál es la lista de subencargados, y cómo me avisáis si cambia?
• ¿Hay transferencias fuera del Espacio Económico Europeo, y con qué garantía?
• ¿Cuánto conserváis cada tipo de dato, y qué pasa al terminar?
• ¿En qué sistemas buscaríais si un creador pide la supresión, y quién responde en plazo?
• ¿En cuántas horas me avisáis de una brecha de seguridad, y por qué canal?

La versión corta de quién responde de qué está en nuestra ficha sobre RGPD y datos de creadores, pensada para contestar en una reunión. Y lo repetimos una última vez porque importa: esto es divulgación basada en cómo trabajamos, no asesoramiento jurídico. Con esto puedes leer el anexo de protección de datos que te pongan delante y ver qué falta; firmarlo es cosa de tu abogado.

Preguntas frecuentes

¿El DNI y el número de cuenta de un creador son datos personales?

Sí. Cualquier información sobre una persona física identificada o identificable es dato personal, y eso incluye el DNI o NIE que te pide para facturar, el IBAN donde cobra, el teléfono, la dirección a la que mandas el producto y las capturas de sus analíticas. Un creador autónomo es una persona física, no una empresa, así que el argumento de que «solo tenemos el contacto profesional» no lo saca del RGPD.

¿Necesito un contrato de encargado del tratamiento si la agencia tiene su propia red de creadores?

No necesariamente para esos creadores. Si la agencia los capta y firma con ellos en su nombre, actúa como responsable de esos datos y lo que hace falta es una cláusula que explique el reparto y qué datos te llegan a ti. El contrato de encargado del artículo 28 del RGPD hace falta cuando la agencia trata datos por tu cuenta, por ejemplo si le entregas tu propia lista de contactos para que los active. Pide por escrito qué papel asume cada parte.

¿Qué pasa si le pido a la agencia la lista completa de creadores con sus contactos?

Pasas a tratar esos datos tú, con tus propias obligaciones: base jurídica, plazo de conservación, registro de actividades y capacidad de atender a cualquiera de esos creadores si te escribe. Si lo que quieres es validar el encaje de los perfiles, pide perfiles, métricas y enlaces en lugar de la hoja con nombres, teléfonos y tarifas. Recibir menos datos es la forma más barata de reducir el problema.

¿Cuánto tiempo tengo para responder si un creador pide que borremos sus datos?

Un mes desde que recibes la solicitud, según el artículo 12.3 del RGPD. Ese plazo se puede prorrogar dos meses más si el caso es complejo, pero hay que avisar al creador dentro del primer mes y explicar el motivo de la demora. Hay que responder siempre, incluso si decides denegar la solicitud, y en ese caso motivando la negativa.

Si borramos sus datos, ¿tenemos que retirar el vídeo que ya habíamos pagado?

No son la misma cosa. El uso de la pieza se rige por la cesión de derechos que firmasteis, con sus plataformas, plazo y territorio, y los datos personales se rigen por el RGPD. Pero hay una tercera pista: el consentimiento para usar su imagen, voz o nombre con fines publicitarios es revocable en cualquier momento según la Ley Orgánica 1/1982, con indemnización de los daños causados si los hay. Conviene tener prevista esa situación en el contrato en lugar de improvisarla.

¿Hay que identificar la publicidad si solo le hemos enviado producto gratis?

Sí. Producto gratis es contraprestación, y el artículo 26 de la Ley 3/1991 de Competencia Desleal considera desleal por engañosa la comunicación promocional pagada por el empresario cuando el contenido no indica con claridad que es publicidad. Esto no es RGPD, es normativa publicitaria y de competencia desleal, y la responsabilidad alcanza también al anunciante que encarga la pieza, no solo al creador que publica.

¿Es un problema que la agencia use herramientas estadounidenses para gestionar los datos?

No por sí mismo. El capítulo V del RGPD permite las transferencias fuera del Espacio Económico Europeo cuando existe una decisión de adecuación o garantías adecuadas, como las cláusulas contractuales tipo. El problema real es que nadie sepa contestar si hay transferencia, a qué proveedores y bajo qué garantía. Pide la lista de subencargados y que te avisen cuando cambie.

¿Puede una agencia garantizarme que cumplo el RGPD?

No, y conviene desconfiar de quien lo prometa. El cumplimiento depende también de lo que tú hagas con los datos en tus propios sistemas: qué recibes, dónde lo guardas, cuánto tiempo y quién responde. Lo que sí puede darte un proveedor serio es qué papel asume, la lista de sistemas por los que pasan los datos y el procedimiento para atender una solicitud. La revisión jurídica del contrato la firma un abogado, no la agencia.