Legislación de redes sociales en DACH: RGPD en fanpages, BFSG y derechos musicales

Legislación de redes sociales: por qué la presencia corporativa afecta a varias ramas del derecho a la vez

Una cuenta de empresa en LinkedIn, Instagram o TikTok toca varias áreas jurídicas a la vez: tratamiento de datos, publicidad, uso de obras protegidas por derechos de autor, derechos de la personalidad y, desde 2026, también transparencia en IA. Cada uno de estos ámbitos tiene su propia base jurídica, sus propias autoridades de control y sus propias sanciones. El error típico en los equipos de marketing son las lagunas de responsabilidad: la protección de datos recae en el DPD, la identificación de la publicidad en la agencia y las licencias musicales en nadie.

Este artículo ofrece dos cosas. Primero, un mapa de qué tema legal se trata dónde y quién es responsable de él en la empresa. Segundo, el análisis en profundidad de los temas que desarrolla el propio artículo: la protección de datos en fanpages, los plugins sociales tras Fashion ID, las fotos de empleados y el derecho a la propia imagen, la transferencia de datos a EE. UU. a través del Marco de Privacidad de Datos y la accesibilidad según la BFSG. Toda la información está actualizada a agosto de 2026 y no sustituye el asesoramiento jurídico. La implementación concreta debe acordarse con un abogado especializado o con el delegado de protección de datos.

El mapa legal: temas, fuentes jurídicas y responsabilidades

La tabla asigna a cada tema legal una fuente jurídica, el riesgo principal y el área que debería responsabilizarse de él en la empresa. La visión general sobre fundamentos y estrategia de redes sociales muestra cómo encajan estas obligaciones en la planificación global.

Un aspecto importante para la asignación: las sanciones difieren mucho en magnitud. Las infracciones de las obligaciones de transparencia del Reglamento de IA cuestan hasta 15 millones de EUR o el 3 % del volumen de negocio anual mundial, mientras que en la BFSG el límite máximo está en 100.000 EUR. En la identificación de la publicidad y la música, el riesgo diario es menor, pero la probabilidad de que se materialice es mayor: los requerimientos extrajudiciales y las retiradas de contenido llegan con regularidad, las multas rara vez. Un modelo de gobernanza con niveles de aprobación claros, como el que describe el artículo sobre roles, aprobaciones y flujo de trabajo, sostiene estos temas de forma duradera. Sin un responsable fijo por fila, cada una de ellas acaba quedando desatendida.

RGPD y fanpage de Facebook: la corresponsabilidad

En el asunto Wirtschaftsakademie Schleswig-Holstein (C-210/16), el TJUE resolvió que el administrador de una fanpage de Facebook es corresponsable, junto con Facebook, del tratamiento de los datos de los visitantes. La sentencia del 5 de junio de 2018 se dictó todavía bajo la antigua Directiva de protección de datos; hoy su equivalente es el art. 26 del RGPD. Lo verdaderamente relevante es la fundamentación: quien configura las estadísticas de Insights, es decir, establece filtros de público y solicita análisis, participa en la determinación de los fines y los medios del tratamiento. Que Meta gestione la tecnología no exime al administrador de la página.

En Alemania, el Tribunal Federal Administrativo confirmó el resultado el 11 de septiembre de 2019 (6 C 15.18). El 25 de noviembre de 2021 (4 LB 20/13), el OVG de Schleswig confirmó la legalidad de la orden de desactivación dictada en 2011 por la autoridad regional de protección de datos y precisó su alcance: la corresponsabilidad abarca el tratamiento de cookies e Insights, no la elaboración de perfiles ni el almacenamiento de datos con fines publicitarios que lleva a cabo Meta.

El 17 de julio de 2025 (13 K 1419/23), el VG de Colonia anuló la prohibición de la página de Facebook de la Oficina de Prensa del Gobierno Federal. Según el tribunal, solo Meta debe recabar el consentimiento para las cookies, y la Oficina de Prensa puede seguir gestionando su página. La Comisionada Federal de Protección de Datos (BfDI) ha recurrido en apelación ante el OVG de Münster. Así, la situación jurídica sigue siendo controvertida. Si quieres ir sobre seguro, sigue cumpliendo las obligaciones del art. 26 del RGPD.

¿Qué significa esto en la práctica? Tres cosas que necesita una cuenta de empresa en las plataformas de Meta:

• Acuerdo de corresponsabilidad: gestionar una fanpage requiere un acuerdo conforme al art. 26 del RGPD. Debe estar firmado y archivado en la documentación del tratamiento.
• Transparencia: la política de privacidad de la empresa debe cubrir la gestión de la fanpage, el uso de Insights y el papel de Meta. Un enlace desde la fanpage a la política de privacidad es el estándar mínimo.
• Base jurídica: la empresa debe poder indicar una base jurídica para el tratamiento de Insights. Aquí es el delegado de protección de datos quien debería documentar la ponderación, no el departamento de marketing.

Las empresas austriacas se ven igualmente afectadas por la sentencia del TJUE; las suizas, en la medida en que se dirijan a usuarios de la UE, con el régimen suizo de protección de datos como capa adicional. La jurisprudencia se refiere formalmente a Facebook, pero el principio se aplica a cualquier plataforma con funciones estadísticas comparables, es decir, también a Instagram Insights o LinkedIn Page Analytics. Está por ver si las autoridades de control serán igual de estrictas en estos casos; en cualquier caso, el riesgo tiene una estructura idéntica.

Fashion ID: plugins sociales en tu propia web

El segundo pilar no afecta a la cuenta, sino al sitio web de la empresa. En el asunto Fashion ID (C-40/17), el TJUE resolvió el 29 de julio de 2019 que el titular de un sitio web con un botón «Me gusta» de Facebook integrado puede ser corresponsable, junto con Facebook, de la recogida y la transmisión de los datos de los visitantes. Lo decisivo: el botón «Me gusta» transmite datos a Facebook en cuanto se carga la página, independientemente de que el visitante haga clic o de que tenga siquiera una cuenta de Facebook.

La corresponsabilidad termina con la transmisión. De lo que Facebook haga después con los datos no responde el titular del sitio web. En la práctica, de ello se deriva un estándar claro que ya cuenta con un amplio consenso:

• Ningún plugin integrado directamente: los botones de «Me gusta», compartir y seguir que envían datos a la plataforma al cargar la página no deben estar en la web sin consentimiento.
• Solución de dos clics o enlaces estáticos: un enlace estático al perfil de la empresa no transmite nada. Si quieres funciones para compartir, el plugin solo se activa tras el consentimiento.
• Incluir la gestión del consentimiento: los plugins sociales y las publicaciones incrustadas (embed de Instagram, embed de LinkedIn, reproductor de YouTube) deben figurar como categoría propia en la solicitud de consentimiento, no escondidos bajo «Funcionales».

La sentencia Fashion ID es la razón por la que las agencias serias solo muestran feeds sociales incrustados en webs corporativas tras el consentimiento o como copia renderizada en el servidor. Renunciar a ellos cuesta poco: un enlace estático al perfil cumple la misma función sin transmitir datos.

Derecho a la propia imagen: fotos de empleados en cuentas de empresa

Este es el tema con mayor probabilidad de que el riesgo se materialice y con la documentación más escasa en la mayoría de las empresas. Fotos de equipo, imágenes de eventos, reels de detrás de las cámaras, retratos de empleados en publicaciones de reclutamiento: todo ello son datos personales y, al mismo tiempo, injerencias en los derechos de la personalidad de la persona retratada. El derecho a la propia imagen significa que, en principio, cada persona decide por sí misma si su imagen se publica y en qué contexto.

En la relación laboral se añade una particularidad: el consentimiento debe ser libre, y esa libertad entre empleador y empleado es estructuralmente cuestionable. Por eso, un consentimiento escondido en el contrato de trabajo o solicitado de forma genérica durante el onboarding tiene poco peso. Lo que funciona en la práctica:

• Consentimiento separado y por escrito: un documento propio, desvinculado del contrato de trabajo, que indique la finalidad, las plataformas, el tipo de uso (orgánico, de pago, reclutamiento, web) y la duración.
• Libertad de elección real: negarse no puede acarrear desventajas, y así debe constar en el documento. A quien no quiera salir en fotos no se le pide que participe en la foto de equipo.
• Prever la revocación: el consentimiento se puede revocar en cualquier momento. La empresa necesita un proceso que, en caso de revocación o baja, localice y retire las publicaciones afectadas. Sin un registro de recursos que asigne cada imagen a las personas que aparecen en ella, es imposible.
• Vinculación al contexto: una foto de la fiesta de verano no cubre su uso como testimonio en una campaña de pago. Cada finalidad que vaya más allá del consentimiento original requiere uno nuevo.
• Terceros en la imagen: clientes, invitados, hijos de empleados en eventos. Aquí ayudan los carteles informativos y las zonas de fotos, pero no sustituyen el consentimiento para retratos individuales.

En los programas de corporate influencers, la cuestión cambia: quien publica desde su propio perfil decide sobre su propia imagen. Pero la empresa debe aclarar qué recursos (logotipos, fotos de producto, imágenes de clientes) pueden usar los empleados y cómo se gestiona la identificación publicitaria. El artículo sobre cómo crear un programa de employee advocacy trata las directrices para ello.

Una observación sobre la IA generativa: quien usa imágenes de empleados como input para variantes generadas por IA o crea personas sintéticas que se parecen a empleados reales se mueve en un terreno con poca jurisprudencia consolidada. Aquí se aplica además la obligación de etiquetado del art. 50 del Reglamento de IA; consulta el artículo sobre las obligaciones de transparencia del artículo 50.

Data Privacy Framework: transferencia de datos a Meta, Google y compañía

Cualquier cuenta de empresa en una plataforma estadounidense implica una transferencia de datos a EE. UU. Desde la decisión de adecuación del 10 de julio de 2023, las empresas estadounidenses adheridas al Marco de Privacidad de Datos UE-EE. UU. pueden recibir datos personales. Las entidades estadounidenses de las grandes plataformas están incluidas, siempre que estén certificadas. Para el trabajo diario en redes sociales, esto significa que la base jurídica para la transferencia existe actualmente.

La incertidumbre está en su continuidad. El Tribunal General de la UE desestimó el 3 de septiembre de 2025 el recurso de anulación contra el marco (Latombe, T-553/23), y el recurso de casación ante el TJUE (C-703/25 P) está pendiente. Está por ver si el marco resistirá allí. En el debate especializado, este riesgo se conoce como «Schrems III». Por eso merece la pena prepararse:

• Priorizar los datos first-party: la newsletter, el CRM y los datos de la web propia siguen bajo tu control, con independencia del marco de transferencia.
• Alojamiento en la UE para las herramientas propias: elige, en la medida de lo posible, herramientas de gestión de redes sociales, analítica y automatizaciones con servidores en la UE.
• Documentar las transferencias: deja constancia en el registro de actividades de tratamiento de qué plataformas reciben datos y con qué base jurídica. Si el marco cae, esa lista es el punto de partida para pasar a las cláusulas contractuales tipo.

El artículo sobre transferencias internacionales de datos a EE. UU. profundiza en la verificación de la certificación, las cláusulas contractuales tipo y la evaluación de impacto de las transferencias.

Accesibilidad: qué implica la BFSG para las redes sociales

La Ley de Refuerzo de la Accesibilidad (BFSG) se aplica en Alemania desde el 28 de junio de 2025 y transpone la Directiva (UE) 2019/882. Afecta al comercio electrónico B2C, las tiendas online, las apps y los sitios web con servicios para consumidores. Los requisitos se basan en las WCAG y la norma EN 301 549, y la declaración de accesibilidad es obligatoria. Para los productos que ya se utilizaban legalmente antes de la fecha de referencia, el § 38 BFSG prevé un periodo transitorio hasta el 27 de junio de 2030. La BFSG es derecho alemán. En Austria, la Ley de Accesibilidad (BaFG) transpone la misma directiva. Se aplica a las empresas que, desde el 28 de junio de 2025, comercializan o prestan los productos o servicios enumerados de forma taxativa en la ley, sobre todo en el ámbito B2C, como tiendas online o portales de reserva online. Los incumplimientos constituyen infracciones administrativas sancionadas con multas de hasta 80.000 euros. Suiza, al no ser Estado miembro de la UE, no está vinculada por la directiva. Los proveedores suizos que atienden a consumidores de la UE deberían revisar la legislación del Estado miembro correspondiente.

Las publicaciones en redes sociales no entran en el ámbito de la BFSG. La obligación recae en el destino de las publicaciones: landing pages, procesos de compra, formularios de captación de leads, herramientas de reserva. Una campaña de paid social que lleva a una página de venta no accesible genera el riesgo en el destino, no en la publicación. Aun así, la accesibilidad también compensa en el contenido: los subtítulos, los textos alternativos y un contraste suficiente actúan en todas las plataformas como palanca de alcance. Aquí, la obligación de cumplimiento y la lógica del alcance apuntan en la misma dirección.

Los demás temas legales, en resumen

Cuatro temas del mapa solo necesitan aquí una contextualización, porque se analizan a fondo en otros artículos.

Identificación de la publicidad: el 9 de septiembre de 2021, el Tribunal Supremo Federal (BGH) resolvió en tres procedimientos sobre influencers que el fin comercial debe indicarse cuando hay contraprestación, pero los tap tags por sí solos no generan obligación de identificación; un enlace a la web del fabricante se considera por lo general un exceso publicitario. Austria y Suiza tienen sus propios regímenes de competencia desleal, y el principio de separación entre publicidad y contenido editorial rige en todas partes. Nuestra posición: ante la duda, identifica la publicidad, también cuando se trate de tus propios empleados.

Música: la biblioteca musical normal de TikTok e Instagram está restringida para las cuentas de empresa. TikTok deja claro que las empresas deben usar la Commercial Music Library para todas sus actividades comerciales. Fuera de las bibliotecas de las plataformas, para usar música en vídeos corporativos necesitas el permiso de los titulares de derechos: el derecho de sincronización de la editorial musical o del autor y, para una grabación existente, los derechos del sello como productor de fonogramas (§ 85 UrhG en Alemania, § 76 UrhG en Austria). Una licencia de GEMA (DE), AKM (AT) o SUISA (CH) no cubre esto por sí sola. La GEMA, por ejemplo, no concede el derecho de sincronización para publicidad. Lo práctico son las bibliotecas de música de producción o de stock con licencia. El sonido en tendencia que un creador puede usar libremente es, para una cuenta de empresa, un problema de licencias.

DSA y transparencia publicitaria: la publicidad debe identificarse como tal e indicar quién la contrata y por qué se muestra; las plataformas no pueden mostrar publicidad basada en perfiles elaborados con datos sensibles ni mostrar publicidad basada en perfiles a menores. Las plataformas de muy gran tamaño mantienen repositorios públicos de anuncios que también pueden consultar los competidores. Para los equipos de performance, esto significa que las configuraciones de público que permiten deducir religión, salud u orientación sexual se rechazan o se cuestionan a posteriori.

Etiquetado de IA: las obligaciones de transparencia del Reglamento de IA se aplican desde el 2 de agosto de 2026; para los sistemas generativos comercializados antes de esa fecha, el marcado legible por máquina tiene un periodo de gracia hasta diciembre de 2026. La Comisión publicó sus directrices sobre las obligaciones de transparencia el 20 de julio de 2026. La mayoría de las empresas son responsables del despliegue. Para ellas, el art. 50, apdo. 4, del Reglamento de IA exige revelar los deepfakes, es decir, imágenes, vídeos y audios generados o manipulados por IA que se asemejan a personas, lugares o acontecimientos reales y que pueden hacer creer erróneamente que son auténticos. Lo mismo se aplica a los textos generados por IA que se publican para informar al público sobre asuntos de interés público, salvo que alguien los revise editorialmente y asuma la responsabilidad. Quien desarrolla y opera un chatbot propio suele ser proveedor y, según el art. 50, apdo. 1, debe garantizar que los usuarios sepan que están hablando con una IA. El artículo sobre la aplicación práctica del art. 50 del Reglamento de IA explica cómo es el flujo de etiquetado en el día a día.

Errores típicos y cómo evitarlos

Los patrones se repiten en todos los sectores. Las fanpages funcionan durante años sin un acuerdo de corresponsabilidad documentado porque nadie se siente responsable. Los sitios web conservan botones «Me gusta» de una plantilla antigua. Las fotos de empleados siguen apareciendo en campañas aunque la persona ya se haya ido de la empresa y haya revocado su consentimiento o nunca lo haya dado para ese fin. El sonido en tendencia del reel de reclutamiento procede de una cuenta privada.

El denominador común es la falta de inventario. Quien no sabe qué cuentas, plugins, imágenes y sonidos están en uso no puede asignarles una base jurídica. Como regla práctica funciona bien una revisión anual de cumplimiento basada en el mapa anterior: por cada fila, un responsable, un documento y una fecha de revisión. Sin este registro, cada revocación y cada requerimiento de la autoridad se convierten en un trabajo de búsqueda.

Conclusión

La legislación de redes sociales en la región DACH es la suma de la corresponsabilidad del RGPD, los derechos de la personalidad, el derecho de la competencia desleal, los derechos de autor, la DSA, la BFSG y el Reglamento de IA. Una sola checklist no lo cubre todo. Las sanciones van desde el requerimiento extrajudicial y la retirada de contenidos hasta multas de decenas de millones. Estos temas solo siguen siendo manejables si la responsabilidad y la documentación quedan claras antes de publicar, y no cuando escribe la autoridad o el antiguo empleado.