RGPD y vídeos de clientes: ¿quién es responsable de los datos?

El RGPD se aplica a una grabación de pantalla en cuanto contiene datos personales: una cara, una voz, un nombre, una lista de clientes en un panel de administración. En los vídeos que tu agencia envía sobre su propio trabajo, sueles ser el responsable del tratamiento; cuando grabas datos de tu cliente mientras trabajas para él, sueles ser su encargado del tratamiento. En ambos casos, la herramienta que aloja tus vídeos también es encargada, así que necesitas con ella un contrato de encargo del tratamiento (DPA), un registro de lo que haces y un límite al tiempo que las copias compartidas siguen online.

A continuación, cada punto con palabras sencillas y con referencias al texto del RGPD, y después qué hacer en la práctica.

Cuándo un vídeo para un cliente contiene datos personales

El RGPD define los datos personales como «toda información sobre una persona física identificada o identificable» (artículo 4.1). En un vídeo típico para un cliente, eso incluye:

• Tú y tu equipo. Tu cara en la burbuja de cámara y tu voz bastan para identificarte.
• Las personas que salen en pantalla. Nombres en un CRM, emails de clientes en el panel de una tienda, el nombre de un compañero en la barra lateral de Slack.
• Las personas de las que hablas. «Marta, de contabilidad, pidió este cambio» es un dato personal en el audio y en los subtítulos.

Un vídeo de un prototipo de Figma con texto de relleno y sin cámara puede no contener ninguno. La mayoría de los vídeos reales para clientes contienen alguno. Por eso nuestro checklist de privacidad al grabar la pantalla empieza por dejar fuera del encuadre los datos de otras personas: los datos que no están en el vídeo no hay que protegerlos.

Responsable o encargado: quién responde

El RGPD reparte la responsabilidad entre dos figuras:

• El responsable del tratamiento es quien, solo o junto con otros, «determine los fines y medios del tratamiento» (artículo 4.7). Decide por qué se tratan los datos y cómo.
• El encargado del tratamiento es quien «trate datos personales por cuenta del responsable del tratamiento» (artículo 4.8). Sigue las instrucciones del responsable.

Las directrices del Comité Europeo de Protección de Datos sobre estos conceptos insisten en que las figuras dependen de lo que hace realmente cada parte en una situación concreta, no de cómo las llame un contrato. En el trabajo con clientes, hay tres situaciones que se repiten una y otra vez:

Situación	Responsable	Encargado
Envías un vídeo sobre tu propio trabajo: un presupuesto, una revisión de diseño, una actualización de estado	Tu agencia	La herramienta de vídeo que lo aloja
Grabas el panel en producción, el CRM o la analítica de tu cliente para arreglarle o explicarle algo	Tu cliente	Tu agencia, y la herramienta de vídeo como subencargada
Tu cliente graba un reporte de error y te lo envía	Tu cliente (para la grabación)	Depende de lo que hagas con él

Las figuras dependen de los hechos de cada caso. No es asesoramiento jurídico.

La segunda fila es la que más importa. Si tratas los datos de los clientes de tu cliente como su encargado, el RGPD dice que no puedes recurrir a otro encargado, como un servicio de alojamiento de vídeo, «sin la autorización previa por escrito, específica o general, del responsable» (artículo 28.2). Tu contrato con el cliente debería cubrirlo, normalmente con una lista de las herramientas que usas.

Qué tiene que hacer cada figura

Las dos figuras tienen obligaciones distintas. Estas son las que más importan en los vídeos para clientes:

Obligación	Responsable	Encargado	RGPD
Decidir por qué y cómo se tratan los datos	✓	✗ sigue instrucciones documentadas	Art. 4.7, 28.3.a
Elegir la base jurídica	✓	✗	Art. 6
Atender a las personas que ejercen sus derechos	✓	~ ayuda al responsable	Art. 28.3.e
Tener un contrato de encargo	✓ con cada encargado	✓ y con sus propios subencargados	Art. 28.3, 28.4
Recurrir a otro encargado	✓ lo autoriza	~ solo con autorización por escrito	Art. 28.2
Llevar un registro de las actividades de tratamiento	✓	✓	Art. 30.1, 30.2
Aplicar medidas de seguridad	✓	✓	Art. 32
Notificar una violación de seguridad	✓ a la autoridad, en 72 horas si es posible	~ al responsable, sin dilación indebida	Art. 33
Suprimir o devolver los datos al acabar el trabajo	Elige qué opción	✓	Art. 28.3.g

Resumen simplificado del texto del RGPD en EUR-Lex. No es asesoramiento jurídico.

La base jurídica, con palabras sencillas

Cada tratamiento necesita una de las seis bases jurídicas del artículo 6.1. Para los vídeos de clientes, tres son relevantes:

• Contrato (artículo 6.1.b): tratamiento necesario para ejecutar un contrato con la persona afectada. Encaja con un freelancer que se graba a sí mismo para un cliente con el que tiene un contrato.
• Interés legítimo (artículo 6.1.f): tratamiento necesario para tus intereses legítimos, salvo que prevalezcan los derechos de la persona. Explicar tu trabajo a un cliente en vídeo es un interés razonable; enseñar datos de terceros que quien lo ve no necesita es más difícil de justificar.
• Consentimiento (artículo 6.1.a): suele ser lo primero en lo que se piensa, y a menudo la base más débil. Las directrices del Comité Europeo de Protección de Datos sobre el consentimiento explican que el consentimiento de los empleados rara vez se da libremente, por el desequilibrio de poder con el empleador.

Cuando actúas como encargado de tu cliente, la base jurídica la determina el cliente: tú sigues sus instrucciones.

El contrato de encargo del tratamiento

El artículo 28.3 dice que el tratamiento por el encargado «se regirá por un contrato u otro acto jurídico» que vincule al encargado respecto del responsable. Ese contrato tiene que establecer, entre otras cosas, que el encargado:

• actúa solo siguiendo instrucciones documentadas del responsable, también para las transferencias fuera de la UE;
• garantiza que las personas que tratan los datos tienen un compromiso de confidencialidad;
• aplica las medidas de seguridad que exige el artículo 32;
• recurre a subencargados solo en las condiciones del artículo 28;
• ayuda al responsable a atender a las personas que ejercen sus derechos;
• suprime o devuelve los datos al terminar el servicio;
• pone a disposición la información necesaria para demostrar el cumplimiento y permite auditorías.

En la práctica, te encontrarás DPA en dos sitios. Con tu herramienta de vídeo, el DPA del proveedor cubre los vídeos que aloja por cuenta tuya. Los proveedores grandes suelen tener uno estándar: el de Atlassian, que cubre Loom, se aplica automáticamente, como contamos en Loom y el RGPD. Con tu cliente, si actúas como su encargado, a menudo te pedirá que firmes su DPA, o puedes ofrecerle el tuyo.

El registro de las actividades de tratamiento

El artículo 30 pide a cada responsable que lleve «un registro de las actividades de tratamiento efectuadas bajo su responsabilidad», y a cada encargado que lleve un registro de los tratamientos que realiza por cuenta de los responsables. El registro recoge, por ejemplo, los fines, las categorías de personas y de datos, los destinatarios, las transferencias fuera de la UE, los plazos de conservación y las medidas de seguridad.

Hay una excepción para las organizaciones de menos de 250 empleados (artículo 30.5), pero no se aplica cuando el tratamiento no es ocasional, puede entrañar un riesgo o incluye categorías especiales de datos. Enviar vídeos a clientes cada semana difícilmente es ocasional, así que para la mayoría de las agencias lo prudente es una entrada breve. La UE ha propuesto simplificar esta norma para las empresas más pequeñas, y el Comité Europeo de Protección de Datos y el Supervisor Europeo de Protección de Datos dieron su opinión sobre la propuesta en 2025, así que consulta el texto vigente antes de acogerte a la excepción.

Una entrada para los vídeos de clientes puede ocupar cinco líneas: qué grabas, por qué, qué herramienta guarda las copias compartidas y dónde, quién recibe los enlaces y cuánto tiempo siguen online las copias.

Cuánto tiempo puedes conservar las copias compartidas

El principio de limitación del plazo de conservación del RGPD dice que los datos personales deben ser «mantenidos de forma que se permita la identificación de los interesados durante no más tiempo del necesario para los fines del tratamiento de los datos personales» (artículo 5.1.e).

En un vídeo de feedback, el fin se ha cumplido cuando el cliente lo ha visto y ha respondido. Tenerlo online durante años no sirve a ese fin. Los enlaces que caducan, o una regla de conservación que borra los vídeos antiguos, ponen en práctica este principio sin que nadie tenga que acordarse. Contamos el lado práctico en por qué los enlaces de vídeo que caducan son más seguros.

Datos en la UE o transferencias

Guardar los datos dentro de la UE (o del Espacio Económico Europeo) te mantiene dentro de las normas habituales del RGPD. Enviarlos a un país de fuera de la UE es una transferencia, y el capítulo V del RGPD solo la permite en condiciones concretas (artículo 44):

• una decisión de adecuación de la Comisión Europea para ese país (artículo 45). Para Estados Unidos, la Comisión adoptó una para el Marco de Privacidad de Datos UE-EE. UU. el 10 de julio de 2023, que cubre a las empresas que participan en él;
• garantías adecuadas (artículo 46), casi siempre las cláusulas contractuales tipo adoptadas por la Comisión.

Así que una herramienta con sede en EE. UU. no queda descartada sin más, pero tienes que saber en qué mecanismo se basa e incluirlo en tu registro. Una herramienta que guarda las copias compartidas en la UE te ahorra ese paso para el alojamiento. Revisa también sus subencargados: la transcripción y las funciones de IA suelen ser por donde los datos salen de la región.

Qué debe hacer una agencia en la práctica

Si estás montando un flujo de trabajo con vídeo desde cero, nuestra guía sobre el vídeo asíncrono con clientes cubre la parte práctica, y nuestra página sobre la grabación de pantalla para agencias muestra cómo encaja JustRec en un equipo.

Dónde encaja JustRec

Hemos creado JustRec para que la parte del RGPD te dé menos trabajo, no para que te la saltes. Tu papel y tu registro siguen siendo cosa tuya; algunos de los pasos anteriores se acortan.