¿Cuánto necesitas saber sobre un especialista para tomar una buena decisión? Modelo de divulgación progresiva de datos profesionales

El RGPD exige que los datos personales sean adecuados, pertinentes y limitados a lo necesario para los fines para los que se tratan. Es el principio de minimización de datos del artículo 5.1.c. [1]

El artículo 25.2 va más allá y exige que, por defecto, solo se traten los datos personales necesarios para cada finalidad específica. La disposición se refiere expresamente a la cantidad de datos recogidos, el alcance del tratamiento, el periodo de conservación y la accesibilidad. [1]

La Comisión Europea explica la misma regla de forma más sencilla: una organización debe recoger y tratar únicamente los datos personales necesarios para cumplir la finalidad definida. [2]

Esto no significa que la ley obligue a una plataforma de especialistas a ocultar el nombre o la fotografía hasta un momento concreto. El modelo de este artículo es una interpretación práctica de la limitación de datos y de su acceso, no una obligación formal creada por una única disposición legal.

No puedes responder de forma razonable a "¿qué datos son necesarios?" hasta saber para qué deben servir.

Necesitas información distinta cuando:

• exploras cientos de perfiles,
• comparas a dos personas de una lista final,
• invitas a alguien a una conversación,
• compruebas una habilitación profesional concreta,
• acuerdas condiciones de servicio,
• celebras un contrato,
• realizas un pago o cumples una obligación legal.

La minimización de datos no significa "mostrar siempre lo mínimo posible". Significa limitar los datos a lo adecuado y necesario para una finalidad concreta. [1]

Esta diferencia es importante.

Si una plataforma almacena el nombre completo de un especialista pero no se lo muestra a quien consulta el perfil, la plataforma sigue tratando esos datos. El RGPD define el tratamiento de forma amplia e incluye, entre otras operaciones, la recogida, conservación, consulta, uso y comunicación. [1]

Ocultar información puede reducir su accesibilidad para determinados destinatarios, uno de los elementos mencionados en el artículo 25.2. No equivale a dejar de tratar los datos. [1]

Una buena arquitectura de privacidad debe responder por separado a tres preguntas:

• qué datos conserva la plataforma,
• quién puede acceder a ellos,
• cuándo y con qué finalidad pueden revelarse a otra parte.

Seudonimización y anonimización no son lo mismo.

El Comité Europeo de Protección de Datos explica que la seudonimización reduce la posibilidad de vincular los datos con una persona concreta, pero no elimina por completo ese vínculo. Los datos seudonimizados siguen siendo datos personales si pueden volver a vincularse a una persona mediante información adicional. [4]

Esto significa que un perfil llamado "Especialista 184", mientras la identidad real se conserva por separado, no se convierte automáticamente en anónimo en sentido jurídico.

La seudonimización es una medida de protección, no una forma de sacar los datos del ámbito del RGPD.

El RGPD contiene un matiz importante que a menudo se simplifica demasiado.

El considerando 51 indica que las fotografías no deben considerarse sistemáticamente datos de categorías especiales. Una fotografía entra en la definición pertinente de dato biométrico cuando se trata mediante medios técnicos específicos que permiten la identificación o autenticación unívoca de una persona. [1]

Esto no significa que una fotografía ordinaria no pueda ser un dato personal. Puede serlo. Significa únicamente que una fotografía no se convierte automáticamente en dato biométrico de categoría especial por el simple hecho de mostrar a una persona.

La investigación sobre solicitudes de empleo anónimas muestra que limitar la información de identidad puede, en algunas circunstancias, reducir barreras discriminatorias durante la selección inicial. Al mismo tiempo, los resultados dependen del contexto y el anonimato puede simplemente aplazar la discriminación o generar efectos no previstos. [6]

Por eso no es correcto afirmar:

"ocultar el nombre y la fotografía elimina los sesgos".

Una afirmación más coherente con la evidencia es:

"limitar parte de la información de identidad puede ayudar a centrar la primera etapa en criterios profesionales, pero por sí solo no garantiza una decisión imparcial ni mejor".

La OCDE describe los enfoques skills-first como un cambio hacia las competencias que una persona puede demostrar como criterio principal de evaluación, con las cualificaciones y la experiencia en un papel complementario. La OCDE también destaca la necesidad de reducir deliberadamente los sesgos y utilizar métodos de evaluación adecuados. [5]

Esto no significa que la OCDE recomiende ocultar campos concretos de perfiles en plataformas de especialistas.

Sí permite una conclusión de diseño prudente:

si la finalidad de la primera etapa es evaluar la capacidad para realizar un trabajo concreto, la información sobre competencias y sus pruebas puede ser más relevante que parte de la información de identidad.

Primero define:

• el problema que debe resolverse,
• las tareas que se realizarán,
• las competencias esenciales,
• las pruebas de trabajo que serán relevantes,
• las restricciones de tiempo, presupuesto y colaboración.

En esta etapa no necesitas datos de un especialista concreto.

También es importante metodológicamente: los criterios se crean antes de ver a las personas que serán evaluadas con ellos.

Para una evaluación inicial del perfil pueden bastar datos como:

• competencias necesarias,
• contexto en que se utilizaron,
• muestras o resultados de trabajo,
• descripción de la contribución real,
• nivel de responsabilidad,
• actualidad de la experiencia,
• posibilidad de verificar parte de las pruebas.

Si el nombre, la fotografía o el historial laboral exacto no ayudan a responder si alguien puede realizar el trabajo concreto, puedes considerar no usarlos en esta etapa.

Es una decisión de diseño, no una obligación jurídica universal.

La siguiente capa puede incluir información que no prueba competencia, pero sí ayuda a saber si la colaboración es viable:

• disponibilidad,
• posible fecha de inicio,
• alcance del servicio,
• modelo de cobro y precio,
• idioma de comunicación cuando sea relevante,
• zona horaria o lugar de trabajo cuando sean realmente relevantes,
• restricciones organizativas.

El precio no es una prueba de competencia y la ubicación no es una medida de calidad. Aun así, pueden ser condiciones relevantes de una colaboración concreta.

Después de reducir las opciones, no es necesario revelar automáticamente todo el perfil.

Primero identifica qué falta para la siguiente decisión.

Puede ser:

• aclarar un proyecto concreto,
• confirmar la contribución personal,
• aportar una muestra adicional de trabajo,
• responder a la misma pregunta planteada a todas las personas de la lista final,
• confirmar una habilitación profesional realmente necesaria.

La falta de información debe conducir a una pregunta concreta, no automáticamente a una peor valoración.

El momento de revelar la identidad no tiene que ser idéntico en todas las situaciones.

Puede ser necesario, por ejemplo, cuando las partes quieran:

• pasar a una conversación directa,
• verificar la autoría o experiencia declarada con una fuente concreta,
• comprobar una habilitación exigida vinculada a la persona,
• preparar una relación formal.

No existe una regla jurídica universal que diga que el nombre debe revelarse tras un número fijo de etapas.

Un criterio útil es que aparezca una finalidad concreta que no pueda alcanzarse razonablemente sin esa información.

Cuando las partes realmente empiezan a colaborar, el conjunto de información necesaria puede aumentar.

Según el tipo de relación, la jurisdicción y las obligaciones de las partes, pueden ser necesarios datos para:

• celebrar o ejecutar un contrato,
• contacto operativo,
• facturación y liquidación,
• obligaciones fiscales o contables,
• verificaciones exigidas por ley o justificadas por la naturaleza del servicio.

No todos los proyectos requieren el mismo conjunto de datos. Los sectores regulados o determinadas obligaciones legales pueden exigir bastante más.

Este artículo no sustituye el análisis jurídico de una relación concreta.

La minimización de datos no termina cuando se recogen.

El artículo 25.2 del RGPD también vincula la protección de datos por defecto con el alcance del tratamiento, el periodo de conservación y la accesibilidad. [1]

Después de terminar una etapa, vuelve a preguntar:

• ¿sigue siendo necesaria esta información?,
• ¿quién debe seguir teniendo acceso?,
• ¿existe una obligación legal de conservarla?,
• ¿puede reducirse su visibilidad?,
• ¿cuándo debería eliminarse o revisarse de nuevo?

Que una información fuera necesaria ayer no significa automáticamente que deba seguir disponible indefinidamente.

Antes de revelar otra información, utiliza una prueba sencilla de cinco preguntas:

1. ¿Cuál es exactamente la finalidad de esta información?
2. ¿Puede tomarse razonablemente la decisión sin ella?
3. ¿Bastaría una versión menos precisa de la información?
4. ¿Quién necesita realmente verla?
5. ¿Durante cuánto tiempo debe seguir disponible?

Ejemplo: si solo necesitas saber si la colaboración puede realizarse en determinadas horas, el domicilio exacto del especialista normalmente no responde directamente a esa pregunta. Tal vez baste la zona horaria o el horario declarado.

No es una prueba jurídica. Es una herramienta práctica para comprobar la proporcionalidad entre información y finalidad.

La privacidad no debe empeorar la calidad de una decisión sustituyendo información ausente por suposiciones.

Si necesitas un dato profesional concreto para evaluar, tienes tres opciones razonables:

• pedirlo en la etapa adecuada,
• utilizar una prueba alternativa que responda a la misma pregunta,
• reconocer que todavía no hay base suficiente para decidir.

Lo que no es correcto es:

"no veo esta información, así que el resultado debe ser malo".

La ausencia de datos y una prueba negativa son cosas distintas.

La divulgación progresiva sirve de poco si todos los usuarios internos del sistema pueden ver todos los datos desde el principio.

El artículo 25.2 del RGPD incluye expresamente la accesibilidad entre las dimensiones de la protección por defecto. [1] Las directrices del Comité Europeo de Protección de Datos sobre protección desde el diseño y por defecto explican la aplicación de estos principios mediante medidas técnicas y organizativas adecuadas. [3]

En la práctica conviene separar:

• datos que la plataforma necesita para gestionar la cuenta,
• datos visibles públicamente,
• datos visibles solo para una parte seleccionada,
• datos disponibles para personal o administradores únicamente con una finalidad definida.

La privacidad de la interfaz sin un control equivalente del acceso a los datos es incompleta.

Supongamos que una organización busca a una persona para evaluar la accesibilidad de un sitio web.

Etapa uno
Compara competencias, experiencia en auditorías similares, informes de ejemplo, alcance de responsabilidad y conocimiento de los estándares requeridos. El nombre y la fotografía no son necesarios para responder a cada una de esas preguntas.

Etapa dos
Comprueba disponibilidad en el periodo requerido, precio, idioma de comunicación y posibilidad de trabajar con el modelo exigido.

Etapa tres
Con la lista final, pide aclaraciones sobre la metodología y confirmación de determinados elementos de experiencia.

Etapa cuatro
Antes de la conversación directa o de formalizar la colaboración, las partes revelan la información necesaria para identificarse, contactar y formalizar la relación.

Esto no demuestra que el orden sea el mejor en todas las situaciones. Solo muestra que decisiones distintas pueden requerir capas de información distintas.

1. Ocultas datos al cliente, pero internamente todos siguen teniendo acceso.

2. Llamas anónimo a un perfil aunque la plataforma pueda volver a vincularlo fácilmente con una persona concreta.

3. Ocultas información realmente necesaria para una decisión segura o conforme a la ley.

4. Tratas la revelación de identidad como un premio en vez de una respuesta a una necesidad concreta del proceso.

5. Supones que ocultar el nombre elimina automáticamente los sesgos.

6. Recoges datos "por si acaso" sin una finalidad definida.

7. No distingues los datos necesarios para evaluar competencia de los datos necesarios para contratar o liquidar.

8. Al terminar una etapa, no revisas si los datos siguen necesitando estar accesibles.

1. ¿Cuál es la finalidad exacta de cada dato?
2. ¿Puede alcanzarse esa finalidad sin él?
3. ¿Es suficiente una versión menos detallada?
4. ¿El dato es necesario para evaluar competencias o solo para una colaboración posterior?
5. ¿Quién debería verlo en la etapa actual?
6. ¿El perfil es realmente anónimo o solo seudónimo?
7. ¿La falta de información se distingue correctamente de un resultado negativo?
8. ¿Todos los especialistas se comparan con criterios comparables?
9. ¿Existe una razón concreta del proceso para revelar la identidad?
10. ¿Una etapa posterior necesita más datos por razones contractuales, fiscales, de seguridad o legales?
11. ¿El acceso interno está limitado a quienes realmente lo necesitan?
12. ¿Está claro cuándo los datos dejarán de ser necesarios o cuándo deberá revisarse esa necesidad?

La minimización de datos no consiste en decidir sin información.

Consiste en separar las preguntas:

¿qué necesito saber ahora?
¿qué puedo verificar después?
¿quién necesita verlo?
¿durante cuánto tiempo será necesario?

Una secuencia práctica para elegir un especialista puede ser:

problema -> competencias -> pruebas -> condiciones de colaboración -> información faltante -> identidad -> datos necesarios para formalizar -> nueva evaluación del acceso y la conservación.

No todas las situaciones requieren exactamente este orden.

El principio más simple es:

revela y trata datos porque son necesarios para una finalidad claramente definida, no solo porque el sistema pueda recogerlos o mostrarlos.

[1] Reglamento (UE) 2016/679 - RGPD, especialmente artículos 4, 5 y 25 y considerandos 39 y 51, EUR-Lex
Abrir fuente

[2] Comisión Europea - What data can we process and under which conditions?
Abrir fuente

[3] European Data Protection Board - Guidelines 4/2019 on Article 25 Data Protection by Design and by Default, versión final de 20 de octubre de 2020
Abrir fuente

[4] European Data Protection Board - Anonymisation / pseudonymisation
Abrir fuente

[5] OECD - A Skills-First Labour Market, Promoting skills-first hiring and talent management, 2026
Abrir fuente

[6] IZA World of Labour - Anonymous job applications and hiring discrimination
Abrir fuente

Nota metodológica: las fuentes abarcan ámbitos distintos: derecho de protección de datos, diseño de privacidad, mercado laboral e investigación sobre selección anónima. Este artículo no afirma que los resultados de investigaciones de selección puedan trasladarse directamente a toda relación con especialistas. El modelo de divulgación progresiva de datos profesionales es una síntesis práctica y no un estándar formal de ninguna de las instituciones mencionadas.