Se dice que la información es poder y, por ese motivo, muchos procesos se basan y fundamentan en la cantidad de información con la que se cuenta. De ahí que términos como el Big Data, la minería y el análisis de datos sean tan relevantes hoy en día. Sin embargo, cuando se trata de la información de personas, existe un riesgo para sus libertades asociado al tratamiento de datos.
En este caso, es necesario ponderar la utilidad del tratamiento y el riesgo para los ciudadanos para encontrar un camino que permita continuar desarrollando los procesos sociales y económicos que requieren información, pero sin afectar a las personas detrás de los datos. El principio de minimización de datos establecido en el RGPD busca precisamente eso. Para entender cómo lo hace y por qué debes aplicarlo en tu empresa, continúa leyendo este artículo:
El concepto de minimización de datos
En muchos aspectos el principio de minimización de datos puede considerarse una norma primaria del RGPD, dado que muchos otros principios se basan en él. Y es que busca que los datos sean adecuados, pertinentes y limitados a la finalidad establecida para el tratamiento.
Desde el punto de vista práctico, cuando se aplica el principio de minimización de datos se requiere que haya:
Mínima cantidad de datos recogidos
Este requerimiento del principio de minimización de datos implica que los responsables y encargados del tratamiento deben disminuir el volumen de datos tratados. Asimismo, deben considerar de qué tipo y categoría son, si son sensibles, el nivel de detalle y si se pueden inferir datos de los originalmente obtenidos. Todo ello debe ser solo lo necesario para cumplir con la finalidad.
Por ejemplo, cuando se utiliza machine learning para procesar datos, pueden obtenerse nuevos datos de la persona que podrían no ser necesarios. Por lo tanto, este proceso deberá evaluarse para adecuarlo a la minimización de datos.
Mínima extensión del tratamiento
En este caso, se requiere que las operaciones que se realizan como parte del tratamiento (y, por tanto, el uso de los datos) sean las mínimas para cumplir con su finalidad.
Por ejemplo, cuando los metadatos recogidos de una persona se tratan de nuevo, a veces sin una necesidad que se ajuste a la finalidad del tratamiento. En este caso, deberá evaluarse la posibilidad de suprimir este nuevo tratamiento.
Mínimo plazo de conservación
Este requerimiento implica que los datos solo deben conservarse el tiempo necesario para el tratamiento. Luego de esto, los datos deberán ser suprimidos, bloqueados o anonimizados.
Así, por ejemplo, los perfiles del usuario que se generan al acceder a una aplicación deben tener un tiempo máximo de conservación y no permanecer indefinidamente en la base de datos de la empresa.
Mínima accesibilidad a los datos
Se debe limitar quiénes pueden acceder a los datos, siendo adecuado mantener lo más acotado posible el acceso, no solo del personal interno de la organización, sino también de terceros, otras entidades e incluso de los buscadores o herramientas similares.
Un ejemplo, sería establecer mecanismos para evitar que los datos de los postulantes a un puesto en la empresa estén disponibles para personal que no pertenezca al área de recursos humanos y, peor aún, que esos datos pudieran ser indexados en un buscador como Google.
Aplicación de la minimización de datos: Protección de datos desde el diseño
Quizá la forma más efectiva para asegurar el cumplimiento del principio de minimización de datos es la protección de datos desde el diseño. Esto implica que los procesos al interior de la empresa y herramientas que se utilicen deben pensarse teniendo en cuenta la normativa de privacidad (como el RGPD y la LOPD).
Esto quiere decir que la minimización de datos no puede ser contingente, porque entonces no alcanzaría a concretarse la protección. Así que es necesario que desde la etapa de diseño se consideren todos sus requerimientos (ya mencionados en el apartado anterior). Para hacerlo se deberá analizar el tratamiento que se pretende realizar desde su concepción. Identificando fases, operaciones y actividades que requieren de determinados tipos de datos, quiénes accederán a ellos en cada fase, su extensión, tiempo de conservación y cantidad.
Además, se deben tener en cuenta estrategias que permitan configurar y restringir el uso de datos dentro del sistema. Así, por ejemplo, la protección de datos por defecto deberá ser a priori la más restrictiva para cumplir con la finalidad, permitiendo configurar sus diversos componentes para ampliar el tratamiento.
Beneficios de la minimización de datos
Aunque es cierto que poner en práctica la minimización de datos es un mandato legal que debe cumplirse de manera obligatoria, también lo es que aplicarlo trae otros beneficios atractivos para la empresa:
- Mayor eficiencia operativa:
Tratar una mayor cantidad de datos (algunos de ellos, muchas veces inútiles) resulta en un requerimiento mayor de tiempo y de recursos, ralentizando los procesos y disminuyendo la productividad. Por ese motivo, acotar el tratamiento de datos a lo mínimamente necesario, puede incrementar considerable la eficiencia operativa.
- Reducción de costes:
Como consecuencia de lo anterior, a menor escala del tratamiento también serán menores los costes que requerirá.
- Menores riesgos:
La mejora de la eficiencia operativa también implica una disminución de los riesgos asociados a un tratamiento de datos. Principalmente en lo que se refiere a ciberataques y brechas de seguridad, que como hemos visto en este artículo, pueden afectar también financiera y reputacionalmente a las empresas.
- Mejora de la reputación entre los clientes:
En realidad, este es un beneficio que le atañe a todas las medidas de protección de la privacidad que se apliquen en una empresa. Porque la transparencia y claridad en el tratamiento de los datos de los clientes, hace que estos confíen en que se protegerán sus libertades y derechos. Algo que influirá en la mejora de la imagen y la reputación de la compañía.
Sanciones por no aplicar la minimización de datos personales
No está de más recordar que el incumplir con los principios del RGPD, como el de minimización de datos, es considerado como una infracción muy grave por la Ley Orgánica de Protección de Datos (LOPD). Como consecuencia, la sanción puede llegar hasta el 4% de la facturación anual de la empresa o 20 millones de euros.
El caso del Pasaporte Digital Beta
Un ejemplo práctico de cómo aplica el principio de minimización de datos es analizando las críticas que se le están haciendo al anunciado Pasaporte Digital Beta para acceder a contenidos para adultos. La finalidad del llamado “Pajaporte” es proteger a los menores de edad y se asegura que el proceso no tendrá conflicto con la privacidad de los usuarios.
Pero, aunque el objetivo es adecuado, muchos especialistas están señalando que requerir el tratamiento de datos para filtrar el acceso a este tipo de sitios web podría ser excesivo. Entienden que se estarían vulnerando dos de los requerimientos del principio de minimización de datos: el de mínima cantidad de datos y de mínima accesibilidad a los mismos. De esta manera, no solo se tratarían datos personales para una actividad que probablemente no cumpla con la finalidad establecida (limitar el acceso de los menores a los sitios con pornografía), sino que también sería cuestionable quién podría tener acceso.
Sin embargo, todavía deberemos esperar para ver cómo se implementará este nuevo sistema. En ese momento podremos conocer y analizar a profundidad su cumplimiento de la normativa de protección de datos. Y desde luego, la administración del Estado deberá desarrollar la herramienta teniendo en mente la protección de datos desde el diseño y por defecto.
Conclusión
El principio de minimización de datos es uno de los más importantes del RGPD. Para aplicarlo, es necesario trabajar en él desde el diseño de los procesos y herramientas que se utilizarán en la empresa. No hacerlo puede acarrear sanciones con multas muy altas. Además, el contar con datos inútiles aumenta el riesgo para los usuarios y colaboradores, sin beneficiar a la empresa y generando desconfianza, ya que siempre queda la incógnita en el usuario de para qué se tratan dichos datos.
Para evitar todos estos perjuicios, siempre es recomendable trabajar con abogados expertos en privacidad que te asesoren en el paso a paso de cada nuevo proyecto. En Talos Abogados podemos hacerlo, también podemos ayudarte a ajustar tus procesos ya establecidos para que cumplan con la normativa. Contáctanos.
