Antes de subir ese meme: el costo real de usar la cara de alguien sin permiso
Por Virginia Viadas | Ciudad de México, agosto de 2026
Sumarse a un trend con la foto de una persona real parece una jugada barata de engagement. En términos contables, es lo contrario: el costo promedio global de un incidente por vulneración o uso indebido de datos personales se ubica en 4.99 millones de dólares, según el Cost of a Data Breach Report 2026 de IBM, con un récord de 10.22 millones en mercados altamente regulados durante 2025. En México, el precio acaba de quedar documentado con una multa de casi 43 millones de pesos. Esta es la lectura práctica para quien aprueba contenido en una empresa.
1. Los casos que fijaron el precio
| Caso | Año | Sanción o acuerdo | Motivo |
|---|---|---|---|
| Meta | 2024 | 1,400 millones USD | Captura no autorizada de escaneo facial |
| Apple | 2025 | 95 millones USD | Procesamiento no consentido de muestras de voz |
| Federación Mexicana de Futbol | 2026 | $42,849,095 MXN | Datos biométricos del sistema FAN ID sin consentimiento expreso |
| SCJN (caso García Bernal y Luna) | 2026 | 40% de las ventas brutas | Uso de imágenes personales en campaña sin consentimiento |
| Atresmedia (España) | 2026 | 50,000 euros | Sátira indefinida de un video de 2008 |
Fuentes: IBM; Secretaría Anticorrupción y Buen Gobierno; Suprema Corte de Justicia de la Nación; Audiencia Provincial de Madrid; análisis de Arochi & Lindner.
El caso mexicano merece detalle porque marca el nuevo estándar de fiscalización. El 12 de julio de 2026, la Secretaría Anticorrupción y Buen Gobierno impuso a la FMF una multa de $42,849,095 pesos por violaciones a la LFPDPPP en la operación del sistema Fan ID; es una de las primeras sanciones de alto perfil de la autoridad que sustituyó al INAI.
Las dos infracciones son exactamente las que comete la mayoría de las empresas hoy: no informar a los usuarios que los datos biométricos recabados tenían el carácter de datos personales sensibles —la FMF pedía fotografías para generar el FAN ID, pero su aviso de privacidad no lo señalaba— y no obtener consentimiento expreso y por escrito para tratarlos.
Traducción para el área de marketing: la casilla genérica de "acepto términos y condiciones" no sirve para datos biométricos.
El caso Atresmedia agrega una dimensión que casi nadie contempla: el interés público inicial de una noticia no autoriza a lucrar ni a estigmatizar a perpetuidad a un ciudadano. Ese material de archivo que se reutiliza cada año como broma tiene fecha de caducidad legal.
2. Qué dice la ley mexicana, en dos frentes
El riesgo no viene de una sola ley, sino de dos que operan en paralelo:
Ley Federal del Derecho de Autor (LFDA). La imagen de una persona solo puede publicarse o comercializarse con su consentimiento expreso. Las excepciones son acotadas: cuando la persona forma parte menor de un conjunto, fotografías en lugares públicos con fines estrictamente informativos, y usos culturales sin fines de lucro. Un meme corporativo no cae en ninguna de las tres.
Ley Federal de Protección de Datos Personales en Posesión de los Particulares (LFPDPPP). Contempla multas desde $11,731 pesos hasta $37.5 millones por omisiones en el aviso de privacidad o incumplimiento del deber de confidencialidad. Esas sanciones pueden duplicarse a más de $75 millones cuando hay reincidencia o tratamiento indebido de datos sensibles como los biométricos.
| Escenario | Marco aplicable | Exposición |
|---|---|---|
| Publicar la foto de un particular en una campaña | LFDA | Hasta 40% de ingresos brutos + daño moral |
| Recabar selfies para un registro de evento | LFPDPPP | Hasta $37.5 millones; duplicable |
| Reincidir o tratar mal datos sensibles | LFPDPPP | Más de $75 millones |
| Reutilizar archivo con fines de burla | LFDA + Código Civil | Daño moral |
Elaboración propia con base en el análisis legal de Arochi & Lindner.
3. El semáforo antes de publicar
Esta es la tabla que conviene pegar en la pared del equipo de contenidos:
| Tipo de contenido | Riesgo | Qué se necesita |
|---|---|---|
| Banco de imágenes con modelo liberado | Bajo | Licencia vigente y verificación de alcance comercial |
| Foto de un empleado en campaña | Medio | Cesión de derechos de imagen firmada, con vigencia y territorio |
| Foto de un cliente en tu local | Alto | Consentimiento expreso por escrito, no verbal |
| Persona identificable en la vía pública | Alto | Consentimiento; el "lugar público" solo aplica a fines informativos |
| Meme preexistente con rostro real | Muy alto | Cesión del titular del rostro, no del creador del meme |
| Figura pública en tono comercial | Muy alto | Contrato de imagen; la fama no elimina el derecho |
| Selfies o escaneo facial en registro | Muy alto | Aviso de privacidad para datos sensibles + firma autógrafa o electrónica avanzada |
| Rostro o voz generados con IA con parecido reconocible | Muy alto | Igual tratamiento que el original |
El último renglón es el que más rápido está creciendo. La IA generativa no crea una zona franca: si el resultado es reconocible como una persona real, el riesgo jurídico es equivalente. Es la contracara del fenómeno que documentamos en La IA que se volvió viral en TikTok ahora está transformando la manufactura industrial: la misma herramienta que abarata la producción de contenido multiplica la superficie de exposición legal.
4. Las cuatro reglas que Arochi & Lindner pone por escrito
La firma —especializada en propiedad intelectual, privacidad y protección de datos— resume el criterio en cuatro negativas:
- No asumir que lo viral es libre. La popularidad de una tendencia o la disponibilidad de una foto en redes no equivale a una licencia implícita de uso comercial.
- No usar rostros de particulares para sumarse a tendencias. Un meme corporativo con la foto de una persona real, sin contrato de cesión, constituye lucro indirecto sancionado por la LFDA.
- No recolectar imágenes o datos biométricos con casillas genéricas. Para eventos, registros corporativos o aplicaciones con reconocimiento facial se requiere aviso de privacidad para datos sensibles y consentimiento por firma autógrafa o electrónica avanzada.
- No desestimar el daño moral. Reutilizar material de archivo con fines de burla —aunque se haya grabado originalmente en un entorno público— genera responsabilidad.
5. Si tu imagen o la de alguien de tu equipo está siendo usada sin permiso
La legislación mexicana permite actuar por fases. El orden importa: saltarse la primera destruye la posibilidad de cuantificar el daño después.
| Fase | Acción | Por qué en ese orden |
|---|---|---|
| 1. Fijación de evidencia | Acta de fe de hechos ante notario o certificación digital con sello de tiempo sobre URLs, capturas, reproducciones e interacciones | Si primero pides el retiro, el contenido desaparece y con él la prueba del alcance |
| 2. Retiro y Derechos ARCO | Solicitud formal al responsable según su aviso de privacidad, y aviso simultáneo a las plataformas | Genera constancia de que el infractor fue notificado |
| 3. Denuncia administrativa | Queja por infracción en materia de comercio ante IMPI o INDAUTOR; denuncia ante la Secretaría Anticorrupción y Buen Gobierno si hubo mal tratamiento de datos | Permite ordenar el bloqueo del contenido |
| 4. Reparación económica | Juicio civil por al menos el 40% de los ingresos brutos generados, más daño moral | Es la vía para recuperar el valor económico y reputacional |
El error más común es empezar por el paso 2. Sin la fijación de evidencia previa, resulta casi imposible acreditar cuántas reproducciones tuvo el contenido y, por tanto, cuánto se lucró con él.
6. Checklist de cumplimiento antes de lanzar campaña
- ¿Cada rostro identificable tiene cesión de derechos firmada, con vigencia, territorio y medios definidos?
- ¿La cesión cubre también los usos derivados —recortes, memes, reels, publicidad pagada?
- ¿Hay aviso de privacidad específico si se recaban fotos, selfies o biométricos?
- ¿El consentimiento se obtiene por firma autógrafa o electrónica avanzada, no por casilla?
- ¿Existe fecha de caducidad para el uso del material de archivo?
- ¿La agencia o el freelance entregó las licencias de los bancos de imágenes?
- ¿Alguien revisa el contenido generado con IA para detectar parecidos reconocibles?
- ¿Hay un procedimiento documentado para atender solicitudes de retiro?
Ocho preguntas que toman una tarde. La alternativa se mide en millones y, como advierte la firma, en un daño reputacional que ninguna multa refleja. Es la diferencia entre una marca y un logotipo, tema que abordamos en ¿Qué es el Branding? Por qué tu logo no es tu marca.
Preguntas frecuentes
¿Puedo usar la foto de una persona si la tomé en un lugar público? Solo con fines estrictamente informativos. En cuanto el uso es comercial o promocional, se requiere consentimiento expreso.
¿Un meme viral es de dominio público? No. La popularidad no transfiere derechos. El rostro que aparece en el meme sigue perteneciendo a su titular, con independencia de quién creó la pieza.
¿Cuánto puede costar un error de este tipo en México? Las multas de la LFPDPPP van de $11,731 pesos a $37.5 millones, y pueden duplicarse a más de $75 millones en casos reiterados o con datos sensibles. En la vía civil, la referencia reciente es una indemnización del 40% de las ventas brutas del producto involucrado.
¿Sirve una casilla de "acepto" para recabar fotografías? No para datos biométricos. Se requiere aviso de privacidad para datos sensibles y consentimiento por firma autógrafa o electrónica avanzada, como quedó establecido en la resolución contra el sistema FAN ID.
¿Aplica lo mismo a rostros o voces generados con inteligencia artificial? Si el resultado es reconocible como una persona real, el riesgo es equivalente al del material original.
Fuentes: IBM, Cost of a Data Breach Report 2026; Secretaría Anticorrupción y Buen Gobierno (resolución del 12 de julio de 2026); Ley Federal del Derecho de Autor; Ley Federal de Protección de Datos Personales en Posesión de los Particulares; Suprema Corte de Justicia de la Nación; Audiencia Provincial de Madrid; Arochi & Lindner.
Contenido informativo. No sustituye asesoría legal; cada caso requiere análisis particular.