Minimización: el dato que no se recoge no se pierde

Minimizar es recoger solo los datos personales necesarios para una finalidad declarada, tratarlos solo para esa finalidad y conservarlos solo el tiempo que esa finalidad los necesita. El Reglamento General de Protección de Datos de la Unión Europea lo pide en su artículo 25 con un nombre que resume el módulo: protección de datos desde el diseño y por defecto, es decir, que el sistema nazca tratando solo lo necesario sin que la persona tenga que pedirlo. En Colombia, la Ley 1581 de 2012 exige que todo tratamiento obedezca a una finalidad legítima que se informa al titular.

Para el arquitecto la razón es también de seguridad: un dato que no se recoge no se filtra, no se copia a un lago de datos, no entra en un respaldo, no hay que borrarlo cuando la persona lo pide ni entregarlo cuando alguien lo exige. Cifrar bien un dato innecesario sigue siendo cargar con él.

Los formularios se heredan. Cuando un sistema cambia, los campos de la versión anterior pasan al formulario nuevo «por si acaso», aunque el proceso que los justificaba haya desaparecido. El inventario de datos es la herramienta para descubrirlo: cada dato debería tener una finalidad declarada y un proceso del sistema nuevo que lo use. Un dato con finalidad pero sin proceso es una promesa que nadie cumple.

Lee diseno/encargo.txt para entender qué cambió con la app nueva y cruza diseno/formulario-registro.txt con diseno/inventario-de-datos.txt.

Minimizar no siempre es quitar un campo. Muchas veces la finalidad necesita una respuesta derivada del dato y no el dato: saber si alguien es mayor de cierta edad no exige guardar su fecha de nacimiento, comprobar que vive en el área de servicio no exige su dirección exacta, verificar que un correo es suyo no exige conservar el código que se le envió. A esto se le llama generalizar: se reduce la precisión del dato hasta lo que la finalidad pide.

Vuelve al inventario y compara, dato por dato, lo que se guarda con lo que la finalidad declarada necesita saber.

El dato más pesado de Pedalia 2 no está en el formulario: es la traza GPS de cada viaje, un punto cada 10 segundos ligado a la cuenta y guardado 5 años. Una traza así dice dónde vive y trabaja una persona, a qué hora sale, a qué clínica va. El equipo la justifica con cinco finalidades, y es un patrón frecuente: un dato muy rico se guarda «porque sirve para todo».

El método es sencillo: para cada finalidad, se escribe qué necesita de verdad y se mira si eso exige la traza. Hazlo con diseno/finalidades-de-la-traza.txt.

La finalidad que de verdad necesita una posición no necesita saber de quién es la persona, ni todo el recorrido, ni conservarlo cinco años: necesita encontrar una bicicleta perdida en un caso concreto. El cambio de diseño tiene que dejar las demás finalidades servidas con estaciones y horas.