La minimización de datos exige que la información personal sea adecuada, pertinente y limitada a lo necesario para los fines del tratamiento. No consiste simplemente en reducir el número de campos ni en recoger la menor cantidad imaginable. Consiste en poder justificar qué información hace falta, con qué detalle, para qué operación y durante qué parte del proceso, sin acumular datos por una utilidad futura indeterminada.
Esta guía propone una revisión práctica de formularios, documentos, accesos y copias. Su resultado debe ser una decisión por dato o categoría: mantenerlo con una justificación, reducir su detalle, recogerlo más adelante o dejar de tratarlo. Las necesidades legítimas del proceso importan, pero la comodidad del sistema o la costumbre de pedir un documento completo no sustituyen el análisis del artículo 5.1.c del RGPD.
Qué significa minimizar los datos
El RGPD vincula la minimización a los fines concretos. Un domicilio puede ser necesario para entregar un producto y no para enviar un boletín electrónico. El mismo campo cambia de valoración según su función. Antes de decidir si sobra, hay que identificar qué operación permite realizar y si existe una alternativa eficaz que trate menos información personal.
También importa la adecuación. Recoger tan poca información que se confunden personas o se toma una decisión incorrecta no es un buen resultado. Un sistema puede necesitar suficientes elementos para distinguir expedientes sin copiar por defecto documentos completos. El equilibrio se determina respecto de la finalidad real y de los riesgos para las personas, no mediante una regla abstracta de cuantos menos caracteres, mejor.
La limitación de la finalidad proporciona el punto de partida. Una explicación como «podría servir para mejorar nuestros servicios» no permite demostrar por sí sola la necesidad de cualquier dato. Describa qué se pretende hacer y qué resultado necesita la organización. Si el fin no está definido, primero debe aclararse; no conviene resolver la incertidumbre recogiendo toda la información disponible.
El test de necesidad, dato a dato
Comience por un formulario o un proceso completo y enumere sus datos. Para cada uno, identifique la finalidad, el momento de uso, las personas que lo consultan y la consecuencia de no disponer de él. Esta última pregunta ayuda a distinguir necesidad de costumbre. Si nadie puede explicar qué trabajo dejaría de hacerse, el campo merece una revisión especialmente crítica.
Compare alternativas concretas. Verificar una condición puede requerir una respuesta afirmativa o negativa, no necesariamente conservar toda la documentación que la demuestra. En otros casos será necesaria una evidencia más detallada por una obligación legal o por las características del procedimiento. La decisión debe indicar qué alternativa se ha considerado y por qué la seleccionada resulta adecuada para el fin.
Revise la precisión. Una zona geográfica puede bastar para una estadística que no necesita una dirección exacta; una franja de edad puede ser suficiente para cierta segmentación legítima. No convierta estos ejemplos en soluciones universales: algunas finalidades requieren más detalle. El criterio es que la granularidad corresponda a la necesidad, sin asumir que el máximo detalle será siempre útil en el futuro.
Después valore el momento. Tal vez un dato solo sea necesario cuando se formalice la contratación, no al consultar información inicial. Recogerlo más tarde evita mantenerlo de personas que nunca avanzan en el proceso. Este cambio puede ser más efectivo que declarar opcional el mismo campo al principio, especialmente si los usuarios interpretan que deben rellenarlo para recibir una respuesta.
Formularios: obligatorio, opcional y texto libre
Que un campo sea opcional no demuestra automáticamente que su recogida sea pertinente. Debe existir una finalidad legítima, información adecuada y una base jurídica que corresponda. Si el usuario aporta voluntariamente un dato innecesario, el responsable sigue teniendo que decidir cómo tratarlo. La voluntariedad no convierte cualquier información en útil ni elimina el principio de minimización.
En un boletín electrónico, pedir un correo puede ser necesario para enviarlo. Añadir un nombre para personalizar el saludo o una preferencia temática requiere explicar el uso y valorar su adecuación. Exigir DNI, teléfono y domicilio para ese mismo envío ordinario sería difícil de justificar sin una finalidad distinta y debidamente delimitada. El análisis debe partir del funcionamiento real del servicio.
Los campos libres y los adjuntos pueden incorporar información que el formulario no solicita expresamente. Una indicación breve sobre qué aportar y qué evitar ayuda a reducir ese riesgo. También puede resultar adecuado sustituir un comentario libre por categorías suficientes para la finalidad. Si se mantienen adjuntos, determine quién revisa su pertinencia y cómo se retira la información que no deba conservarse.
Revise todos los canales, no solo la página web. Una llamada, un chat de soporte o una plantilla de correo pueden pedir más datos que el formulario aprobado. El proceso necesita instrucciones consistentes para los trabajadores. Si el canal más informal vuelve a recopilar los documentos eliminados del formulario, la mejora de la interfaz no se habrá trasladado a la práctica.
DNI: identificar no equivale a guardar una copia completa
Distinga el dato identificativo, la exhibición de un documento y la conservación de su copia. Son operaciones diferentes y pueden necesitar justificaciones distintas. La obligación de identificar a alguien en un sector no permite asumir que siempre deba archivarse toda la imagen del documento. Debe comprobarse la norma aplicable y la información realmente necesaria para cumplirla.
La resolución PA/00046/2025 de la AEPD examina la solicitud de una copia del documento de identidad en un alojamiento. La decisión declara una infracción de minimización y dirige un apercibimiento, con medidas correctivas; no impone la multa económica que podría sugerir una presentación imprecisa del caso. Su enseñanza debe leerse dentro de ese contexto y de las obligaciones de registro de viajeros analizadas.
Para una revisión interna, pregunte qué dato pretende verificar la organización y qué evidencia necesita conservar. Puede ser suficiente registrar el resultado de una comprobación en determinados contextos; en otros, una norma exigirá información específica. No reduzca la decisión a prohibir cualquier identificación ni a aceptar automáticamente el escaneo completo porque el proveedor del sistema lo tenga activado por defecto.
En el ejercicio de derechos, las dudas razonables sobre la identidad permiten pedir información adicional necesaria conforme al artículo 12.6. Esto no impone una copia del DNI para cualquier petición. La rectificación de datos ofrece un ejemplo de cómo adaptar la comprobación al caso sin convertir el expediente de la solicitud en una nueva colección excesiva de documentos.
Currículos y expedientes de personal
En selección, defina la información pertinente para evaluar la candidatura en la fase correspondiente. Un dato puede ser relevante al formalizar la contratación y no durante un primer contacto. Preguntar por circunstancias familiares o de salud sin necesidad y habilitación no se justifica por el mero interés en conocer al candidato. El proceso debe distinguir requisitos del puesto y curiosidad organizativa.
Si un currículo incluye información no solicitada, limite su circulación y valore cómo reducirla. No es necesario enviar a cada entrevistador todos los anexos recibidos si solo necesita comprobar una experiencia concreta. La guía de RGPD en recursos humanos permite situar cada fase, mientras que la decisión de minimización debe referirse al trabajo real y a las condiciones jurídicas aplicables.
Los datos de salud y los relativos a condenas o infracciones penales tienen requisitos adicionales en los artículos 9 y 10. Su recogida no se legitima simplemente porque el interesado los entregue o una empresa considere que aumentan su seguridad. Identifique la habilitación y las condiciones correspondientes antes de valorar la cantidad necesaria. Reducir un conjunto ilícito no convierte por sí solo su tratamiento en lícito.
Al finalizar un proceso de selección, determine qué información debe conservarse y con qué fundamento. Una finalidad futura concreta puede requerir condiciones distintas de la selección ya cerrada. Un consentimiento no autoriza una conservación ilimitada sin necesidad. La limitación de la conservación debe aplicarse también a los anexos, las copias de los entrevistadores y los mensajes que contengan datos de candidatos.
Videovigilancia y otros datos captados de forma continua
En videovigilancia, revise el campo de visión, la ubicación y la información que se registra. El artículo 22 de la LOPDGDD permite captar imágenes de la vía pública en la medida imprescindible para la finalidad de seguridad que contempla, con una previsión específica para determinados bienes o instalaciones. No es correcto afirmar que toda aparición de la vía pública esté siempre prohibida.
La configuración debe ajustarse al espacio y al riesgo concretos. Una cámara que cubre un acceso no necesita necesariamente abarcar zonas vecinas ajenas a la protección buscada. Examine máscaras, encuadre y acceso a las imágenes cuando sean soluciones apropiadas. La guía de videovigilancia en España desarrolla el régimen específico; este análisis se centra en reducir captaciones innecesarias sin desfigurar sus excepciones legales.
Los registros de actividad, la localización y otros datos continuos plantean preguntas parecidas. Puede que una función necesite un evento puntual y no un seguimiento permanente. Revise frecuencia, precisión y usuarios con acceso. La posibilidad técnica de registrar más información no demuestra su necesidad, y una medida que resulte apropiada para investigar un incidente concreto puede no estar justificada de forma continua.
Copias, accesos y proveedores: minimizar también después de recoger
El exceso puede aparecer aunque la recogida inicial sea correcta. Exportar una base completa para revisar diez expedientes o compartir un documento con departamentos que solo necesitan una conclusión amplía el tratamiento. La minimización debe examinar esas operaciones intermedias. Pregunte qué parte del conjunto requiere cada tarea y evite usar la copia íntegra como opción habitual de trabajo.
El registro de actividades de tratamiento ayuda a ubicar datos, finalidades y destinatarios. Para una revisión detallada puede necesitar complementarse con un mapa de flujos y repositorios. La existencia del registro no demuestra que se hayan eliminado las copias innecesarias. Compruebe carpetas compartidas, archivos locales, adjuntos y herramientas de soporte que queden fuera del sistema principal.
Con los proveedores, identifique qué información exige realmente la prestación. Si un servicio solo necesita un identificador de operación, no debe recibir automáticamente toda la ficha del cliente. Configure los intercambios y deje instrucciones claras. El hecho de que el proveedor tenga medidas de seguridad no sustituye el examen de necesidad: un destinatario seguro puede estar recibiendo datos excesivos.
Compruebe también los entornos de análisis y prueba. Un volcado de producción puede incluir información que no aporta nada a una comprobación funcional. Datos sintéticos, muestras reducidas o conjuntos debidamente preparados pueden ser alternativas, según el objetivo. No existe una técnica que sirva para cualquier ensayo, pero debe valorarse una solución menos intrusiva antes de copiar información real por comodidad.
Seudonimización y anonimización no significan lo mismo
La seudonimización puede reducir la vinculación directa con una persona cuando la información adicional se mantiene separada y protegida. Los datos siguen estando sujetos al RGPD si pueden atribuirse a alguien. Sustituir un nombre por un código no permite utilizarlos libremente para cualquier finalidad ni conservarlos indefinidamente. La técnica debe integrarse en un tratamiento que siga siendo legítimo y necesario.
La anonimización exige que la persona ya no sea identificable considerando los medios razonablemente utilizables en las circunstancias pertinentes. Eliminar una columna no garantiza ese resultado si otras combinaciones permiten reconocerla. Antes de tratar un conjunto como anónimo, evalúe sus características, posibles vinculaciones y riesgos de identificación. Si persisten datos personales, siguen siendo aplicables las obligaciones correspondientes.
La privacidad desde el diseño permite incorporar estas decisiones desde el inicio. Por ejemplo, un informe puede construirse con agregados adecuados a su finalidad sin generar primero una copia identificada accesible a todos. Es una posibilidad de diseño que debe comprobarse en su contexto, no una promesa de que cualquier agregado elimina por completo los riesgos.
Minimización y seguridad: una relación útil, no una garantía absoluta
Reducir información innecesaria puede limitar el alcance de una exposición, pero el daño de un incidente no es directamente proporcional al número de registros. Un único dato sensible puede producir consecuencias graves. También importan el contexto, los destinatarios, la posibilidad de identificación y los usos que puedan hacerse. La minimización complementa la seguridad; no la reemplaza.
No debe conservarse información adicional únicamente porque podría servir para explicar cualquier incidente futuro. Los registros de seguridad necesitan finalidad, contenido, accesos y duración adecuados. El análisis puede justificar ciertos eventos para detectar abusos o reconstruir operaciones, sin registrar el contenido completo de cada comunicación. Documente el equilibrio entre utilidad de control e intrusión para las personas afectadas.
Si el tratamiento puede implicar un alto riesgo, valore la evaluación de impacto conforme al artículo 35 y las reglas aplicables. No toda revisión de un formulario exige una EIPD. Sin embargo, cuando sea necesaria, el examen de necesidad y proporcionalidad debe incluir alternativas que reduzcan datos, y no limitarse a añadir seguridad a una recogida excesiva.
Cómo aplicar la minimización paso a paso
Asigne un responsable al proceso y seleccione una muestra representativa de sus entradas y salidas. Examine qué datos se piden, qué llega realmente y qué se genera después. Una revisión centrada solo en campos obligatorios puede pasar por alto texto libre, metadatos y documentos anexos. A partir de esa muestra, priorice los excesos más claros y los tratamientos con mayores consecuencias potenciales.
Para cada cambio, describa la razón y la ejecución. Si elimina un campo, compruebe que no se sigue capturando por otro canal y que no rompe una obligación legítima. Si reduce permisos, pruebe que el equipo mantiene acceso a lo necesario para su trabajo. El objetivo es un proceso proporcionado que funcione, no una reducción de datos que obligue a crear soluciones informales fuera de control.
Decida qué hacer con los históricos. Dejar de recoger un dato no determina automáticamente el destino de todas las copias existentes. Examine las finalidades vigentes, las obligaciones de conservación y el bloqueo que pueda corresponder. Después ejecute la supresión, reducción o restricción justificada. Mantener todo el histórico sin revisión dejaría sin resolver una parte importante del exceso detectado.
Documente el resultado con el grado de detalle necesario: finalidad, dato, decisión, alternativa considerada, responsable y comprobación. Esta propuesta de revisión no es un formulario legal obligatorio. Puede adaptarse al tamaño y al contexto de la organización, siempre que permita explicar y verificar las decisiones. El contenido importa más que la herramienta utilizada para conservarlo.
Casos de la AEPD sobre exceso de datos
Las resoluciones son útiles cuando se leen con sus hechos y su resultado real. El ejemplo del documento de identidad en alojamiento muestra que una obligación de obtener determinados datos no equivale a autorización para copiar todo el soporte. No permite inferir que cualquier identificación en cualquier sector esté prohibida ni que todas las infracciones terminen con una multa idéntica.
Para valorar las consecuencias sancionadoras del RGPD, distinga apercibimiento, orden correctiva y sanción económica, así como la situación del procedimiento. Esta guía no utiliza importes antiguos como prueba de un incumplimiento actual. La revisión debe apoyarse en la necesidad concreta del tratamiento y en la normativa aplicable, sin sustituir ese análisis por una comparación con una multa mediática.
FAQ
¿Un dato opcional siempre cumple la minimización?
No. Su recogida también necesita una finalidad, pertinencia y base jurídica adecuadas. La persona puede aportar voluntariamente información excesiva, y el responsable debe gestionar su utilización y conservación. Marcar un campo como opcional puede mejorar el diseño, pero no justifica por sí solo mantenerlo ni compartir su contenido con todos los participantes del proceso.
¿Puedo conservar cualquier currículo si el candidato lo autoriza?
La autorización no elimina los principios del RGPD ni los requisitos de categorías especiales. Deben definirse los fines, los datos pertinentes y la conservación necesaria. Un permiso genérico para futuras oportunidades no convierte en necesaria toda la información enviada ni autoriza a mantenerla sin límite. Revise también las copias distribuidas entre quienes participan en la selección.
¿Minimizar equivale a borrar lo máximo posible?
No. Los datos deben seguir siendo adecuados para la finalidad y para las obligaciones aplicables. La decisión puede consistir en recoger más tarde, reducir precisión, limitar acceso o separar usos, además de suprimir información innecesaria. El resultado debe evitar tanto la recogida excesiva como un proceso incapaz de distinguir personas o ejecutar correctamente una obligación legítima.