Minimización de datos: la regla de la «necesidad de conocer»

La minimización de datos contemplada en el artículo 5, apartado 1, letra c), del GDPR significa que solo deben recopilarse los datos personales estrictamente necesarios para una finalidad concreta. Por ejemplo, si gestiona un boletín informativo, basta con una dirección de correo electrónico: no necesita solicitar una copia del pasaporte ni el domicilio. La diferencia fundamental se encuentra entre los datos imprescindibles para la tarea y los que simplemente sería conveniente tener; la normativa exige los primeros, no los segundos.

Un truco habitual del examen consiste en presentar un supuesto en el que los datos adicionales parecen útiles, como almacenar la fecha de nacimiento de un cliente para un programa de descuentos cuando solo se necesita su franja de edad. Recuerde que «necesario» significa que no puede alcanzarse la finalidad sin ese dato; si puede hacerlo, los datos adicionales constituyen una infracción. Otro indicio para descartar opciones: si una pregunta enumera varios campos de datos, pregúntese cuáles sirven directamente al objetivo indicado; todo lo que exceda de ello probablemente incumpla la normativa.

Para comprobar si lo ha entendido, imagine que está tratando solicitudes de empleo: necesita el nombre del candidato, sus datos de contacto y las cualificaciones pertinentes, pero no su estado civil ni sus aficiones. Si puede eliminar mentalmente un campo y aun así completar la tarea, probablemente ese campo no supere la prueba de minimización. Este filtro mental le ayudará a detectar rápidamente infracciones en cualquier supuesto de tratamiento de datos.