El principio de minimización de datos obliga a recoger únicamente la información estrictamente necesaria para una finalidad concreta. Lo dice el artículo 5.1.c del Reglamento General de Protección de Datos (RGPD) de la Unión Europea, vigente desde mayo de 2018. Traducido al castellano: si una tienda online te pide el DNI para venderte unas zapatillas, algo huele mal. La data minimization es probablemente el principio más ignorado del reglamento, y también el que más fricciones genera entre lo que las empresas quieren saber y lo que realmente necesitan. Aquí explicamos cómo funciona el principio RGPD de recoger menos datos, por qué deberías exigirlo siempre y qué herramientas tienes para hacerlo cumplir cuando un formulario se vuelve indiscreto.
Qué dice exactamente el RGPD sobre minimizar datos
El artículo 5.1.c del RGPD establece que los datos personales deben ser "adecuados, pertinentes y limitados a lo necesario" en relación con los fines para los que se tratan. La Agencia Española de Protección de Datos (AEPD) lo ha reiterado en decenas de resoluciones: pedir más información de la necesaria es una infracción, aunque el usuario haya "aceptado" entregarla.
La lógica es sencilla. Si un dato no existe en la base de datos de una empresa, no puede ser robado en una brecha, ni vendido a brokers, ni filtrado por un empleado descontento. La protección de datos más efectiva es la que se aplica antes de recoger información, no después.
El Comité Europeo de Protección de Datos (EDPB) publicó en 2020 las Directrices 4/2019 sobre privacidad desde el diseño, donde la minimización aparece como uno de los principios fundamentales. No es una recomendación amable: es ley aplicable en los 27 Estados miembros.
Ejemplos cotidianos donde te piden de más
El abuso de recogida de datos es habitual en entornos digitales. Algunos casos típicos:
- Formularios de newsletter que piden nombre, apellidos, teléfono, fecha de nacimiento y código postal cuando solo necesitan un email.
- Apps gratuitas que exigen acceso a contactos, ubicación, micrófono y cámara para funciones que no lo requieren. Una linterna no necesita saber dónde estás.
- Tiendas físicas que piden DNI para devolver un producto cuando la ley de consumo solo exige el ticket.
- Hoteles que escanean el pasaporte completo cuando bastaría con anotar los datos obligatorios para el registro policial.
- Gimnasios que solicitan huella dactilar (dato biométrico) cuando una tarjeta o un PIN cumplen la misma función.
En todos estos casos, el responsable del tratamiento debería poder justificar por qué cada campo es necesario. Si no puede, está incumpliendo el principio. La AEPD ha sancionado a varias cadenas hoteleras y gimnasios por esta razón, con multas que en 2023 superaron aproximadamente los 50.000 euros en casos individuales según la web oficial del organismo.
Cómo aplicar la minimización en tu día a día
Como ciudadano de a pie no necesitas memorizar el reglamento entero. Bastan unos hábitos prácticos:
- Pregunta el porqué. Cuando un formulario te pida algo que parece innecesario, escribe al delegado de protección de datos (DPD) de la empresa. Por ley debe responder.
- Usa alias y emails desechables. Servicios como SimpleLogin, AnonAddy o el propio iCloud "Ocultar mi correo" generan direcciones únicas para cada formulario.
- Rellena lo mínimo posible. Si un campo no tiene asterisco rojo, no es obligatorio. Y muchos asteriscos rojos tampoco lo son legalmente.
- Revoca permisos en el móvil. Tanto Android como iOS permiten ver qué apps acceden a qué datos. Sorprende cuántas piden ubicación constante sin motivo.
- Ejerce tus derechos. Acceso, rectificación, supresión, oposición, portabilidad y limitación. Son gratuitos y la empresa tiene un mes para responder.
Para los datos que ya están circulando por internet, conviene hacer limpieza periódica. Eliminar tus datos de Pipl, Spokeo y otros buscadores de personas es un buen punto de partida, especialmente si tu nombre aparece asociado a direcciones antiguas o teléfonos que ya no usas.
Qué deben hacer las empresas para cumplir
Si gestionas una web, una tienda o una app, la minimización empieza en el momento del diseño. Algunas pautas concretas:
| Práctica | Aplicación |
|---|---|
| Auditoría de campos | Revisar cada formulario y eliminar lo no esencial |
| Pseudonimización | Reemplazar identificadores directos por códigos cuando sea posible |
| Plazos de conservación | Borrar datos cuando ya no sirvan a la finalidad declarada |
| Bases jurídicas claras | Documentar por qué se recoge cada dato (consentimiento, contrato, obligación legal) |
| Privacy by default | Configuraciones más restrictivas marcadas por defecto |
El incumplimiento sale caro. Las sanciones del RGPD pueden alcanzar el 4% de la facturación anual global o 20 millones de euros, la cifra que sea mayor. La AEPD impuso multas por más de 30 millones de euros en 2023 según sus memorias anuales, con casos relevantes contra empresas energéticas y de telecomunicaciones por recogida excesiva de datos.
Si estás construyendo un proyecto digital, conviene incorporar la minimización desde el primer prototipo. Plataformas como las que se diseñan en desarrollo web profesional ya parten de arquitecturas que separan datos sensibles de identificadores y aplican cifrado por defecto. Lo mismo ocurre con las aplicaciones móviles nativas, donde los permisos granulares son clave.
Herramientas para auditar tu propia exposición
Antes de exigir minimización a otros, conviene saber dónde están tus propios datos. Algunas herramientas útiles:
- Have I Been Pwned (haveibeenpwned.com): comprueba si tu email aparece en brechas de datos conocidas. Mantenido por Troy Hunt desde 2013, con más de 12.000 millones de cuentas indexadas según el contador público del servicio.
- Firefox Monitor: alertas automáticas cuando un servicio que usas sufre una filtración.
- DuckDuckGo Privacy Essentials: extensión que bloquea rastreadores y muestra qué empresas intentan recoger datos en cada web.
- uBlock Origin y Pi-hole para bloquear publicidad y rastreadores en toda la red doméstica.
- Exodus Privacy: analiza qué trackers integran las apps de Android antes de instalarlas.
Para entender el contexto más amplio de cómo los datos personales se utilizan en ataques reales, el repaso de los ciberataques más graves en España ilustra hasta qué punto la información mal custodiada acaba en manos equivocadas. La mayoría de incidentes graves comparten un patrón: bases de datos hinchadas con información que nunca debió recogerse.
Minimización frente al modelo de negocio publicitario
El choque entre minimizar datos y monetizar atención es evidente. Las plataformas que viven de publicidad personalizada necesitan saber todo lo posible sobre cada usuario. Ahí es donde el RGPD ha generado más fricciones, con sentencias relevantes del Tribunal de Justicia de la Unión Europea contra Meta, Google y otros gigantes.
En julio de 2023, el TJUE dictaminó en el caso Meta Platforms (C-252/21) que la combinación masiva de datos de distintas plataformas (Facebook, Instagram, WhatsApp) sin base jurídica adecuada vulnera la minimización. Resoluciones posteriores del EDPB en 2024 han precisado que el modelo de "consentir o pagar" requiere alternativas reales.
El mensaje es claro: aunque tengas el consentimiento del usuario, si pides más datos de los necesarios para el servicio concreto, incumples. El consentimiento no es un cheque en blanco.
Preguntas frecuentes
Una empresa puede pedirme el DNI para suscribirme a una newsletter?
No. Para enviar comunicaciones comerciales basta con la dirección de email y, opcionalmente, el nombre para personalizar. Solicitar DNI sería excesivo y contrario al principio de minimización del RGPD.
Qué pasa si dejo campos obligatorios en blanco?
Si el campo no tiene relación directa con la finalidad declarada, puedes negarte y aun así exigir el servicio. Si la empresa te lo niega, puedes denunciar ante la AEPD aportando capturas del formulario.
Cuánto tiempo puede una empresa guardar mis datos?
El tiempo estrictamente necesario para cumplir la finalidad declarada. Para facturación, la Agencia Tributaria exige cuatro años. Para marketing, hasta que retires el consentimiento. Pasado ese plazo, deben suprimirse o anonimizarse.
Es legal pedir huella dactilar para fichar en el trabajo?
La AEPD considera que el uso de datos biométricos para control horario suele ser desproporcionado salvo que exista una norma con rango de ley que lo justifique. En la mayoría de casos, una tarjeta o un PIN cumplen la misma función con menos riesgo.
Cómo denuncio un uso excesivo de datos?
A través de la sede electrónica de la AEPD (sedeagpd.gob.es). El procedimiento es gratuito, se hace online y la agencia tiene obligación de investigar. Las resoluciones se publican y crean jurisprudencia útil.
El siguiente paso
Abre el último formulario que rellenaste online y cuenta los campos que no tenían nada que ver con el servicio que querías. Escribe al DPD de esa empresa (suele estar en la política de privacidad) y pide que justifique por qué los pide. Si no responde en un mes, denuncia ante la AEPD. Esa única acción ya aplica el principio de minimización mejor que cualquier teoría.
