O portfolio é a ferramenta comercial máis potente do profesional independente. Tamén é o lugar onde máis facilmente se exhiben, sen querer, datos persoais de terceiros: capturas con clientes finais identificables, testemuños con nome e foto, métricas individualizadas, mensaxes reais, paneis cheos de emails e teléfonos. O RGPD (Regulamento UE 2016/679) e a LOPDGDD (Lei Orgánica española 3/2018) aplican a eses contidos coa mesma esixencia que a calquera outro tratamento.
Esta guía separa o que é cuestión de contrato co cliente (podo usar este traballo no meu portfolio) do que é cuestión de protección de datos (podo mostrar a estas persoas), e explica como anonimizar de forma efectiva sen destrozar a peza.
Dúas capas distintas: contrato co cliente e RGPD dos terceiros
Antes de tocar nada convén separar os dous planos:
| Plano | Que regula | Quen decide |
|---|---|---|
| Contractual / autoría | Se podes ensinar o traballo realizado, con marca ou sen marca, con métricas ou sen elas. | Cliente (por contrato) |
| RGPD | Se podes mostrar datos persoais de clientes finais, usuarios ou empregados que aparecen no material. | Cada persoa afectada |
| Imaxe e honor | Se podes mostrar fotos ou vídeos identificables (LO 1/1982). | A persoa retratada |
| Propiedade intelectual | Quen é titular do deseño, código, texto ou vídeo. | O pactado no contrato |
O permiso do cliente para mostrar o proxecto non equivale ao consentimento das persoas que aparecen dentro: son interesados distintos.
Anonimización efectiva: que conta e que non
Anonimizar é transformar os datos para que ningunha persoa física sexa razoablemente identificable, directa ou indirectamente, nin sequera combinando a información con outras fontes dispoñibles. Se a reidentificación é factible (porque a empresa é pequena, porque o rol é único, porque a captura conserva metadatos), non hai anonimización real e o RGPD segue aplicando.
- Substituír nomes reais por etiquetas claramente ficticias ou xenéricas ("Cliente A", "Usuario 1"), non por iniciais que sigan permitindo identificar.
- Esvaecer caras de forma efectiva (non un emoji que se move, non un pixelado reversible).
- Ocultar emails completos (incluído o dominio se o destinatario é deducible), teléfonos, DNI, enderezos, IPs, IDs únicos e referencias internas.
- Borrar métricas individualizadas que permitan identificar a unha persoa concreta (un cliente que xerou X euros nunha empresa pequena).
- Revisar metadatos dos arquivos exportados (os PDF e os PNG conservan información que pode delatar rutas, usuarios e proxectos).
- Comprobar o resultado con proba inversa: podería eu, sen saber nada, identificar a alguén? Se a resposta é non, a anonimización é razoable.
Pseudonimizar (substituír un identificador por outro pero conservar a posibilidade de reconectar) non é anonimizar: os datos pseudonimizados seguen sendo datos persoais e seguen suxeitos ao RGPD.
Testemuños con nome e foto: consentimento por escrito
O testemuño identificable (con nome, cargo, empresa, foto) é un dos casos máis frecuentes de exposición indebida en portfolios. Requisitos mínimos:
- Consentimento expreso da persoa, non só da empresa para a que traballa.
- Específico: para que portfolio (web do freelance, redes sociais, presentacións comerciais) e durante canto tempo.
- Informado: a persoa sabe que se publica e onde.
- Documentado: sinatura, formulario con caixas marcadas ou email de confirmación arquivado.
- Revogable: vía clara e sinxela para retirar o testemuño.
- Imaxe separada: a foto require consentimento adicional (LO 1/1982).
- Revisión periódica: se a persoa se vai da empresa ou cambia de rol, valorar se o testemuño segue tendo sentido.
"O portfolio profesional é onde máis reclamacións de privacidade ven os freelance. Non polo traballo ben feito, senón polas capturas que se quedan dentro cun nome ou un email reais. Anonimizar ben unha peza custa dez minutos. Quitala despois dun requirimento da AEPD custa moito máis."
Mario P. Talamillo · Socio director, Certix®
Casos típicos e como resolvelos
- Captura dun dashboard do cliente con lista de usuarios reais: anonimizar nomes e emails antes de subir; revisar metadatos.
- Caso de estudo con métricas reais: pactar co cliente se se mostran como cifras absolutas, porcentaxes ou rangos. Se a empresa é identificable e as métricas son individualizadas (cliente concreto xerou X), anonimizar ou agregar.
- Vídeo dunha sesión de traballo con clientes presenciais: consentimento de cada persoa que aparece (non só de quen organiza).
- Mensaxes privadas, emails ou feedback escrito: borrar sinaturas, datos de contacto e referencias a persoas concretas; pedir consentimento se o contido é citable.
- Traballo baixo NDA: aínda que o cliente autorice tras o embargo, os datos persoais de terceiros seguen requirindo anonimización ou consentimento propio.
A cláusula de portfolio no contrato co cliente
Para evitar zonas grises, convén pactar expresamente no contrato de servizos un apartado de uso do traballo con fins de portfolio. Elementos típicos:
- Se se pode mostrar o traballo e con que nivel de identificación do cliente (marca visible, marca esvaecida, só descrición).
- Se se pode usar o logo do cliente nunha sección de "clientes cos que traballei".
- Se hai embargo temporal (por exemplo, antes do lanzamento).
- Se se poden mostrar métricas e baixo que formato.
- Compromiso do freelance de anonimizar datos persoais de terceiros antes de calquera publicación.
- Procedemento para que o cliente solicite retirar pezas concretas.
Checklist antes de publicar unha peza nova no portfolio
- Teño autorización contractual do cliente para mostralo?
- Aparecen datos persoais de terceiros? Se si, están anonimizados de forma efectiva ou teño consentimento individual?
- Esvaecín caras, borrei emails completos, teléfonos, DNI, enderezos e IPs?
- Revisei metadatos do arquivo exportado?
- Se é testemuño con nome ou foto, teño consentimento expreso, específico e documentado da persoa?
- Fixei vía de revogación clara?
- A peza tería un control se ma pedise a AEPD? Podería xustificar como a obtiven e que base xurídica usei?
Preguntas frecuentes
Pode un freelance mostrar no seu portfolio traballos con datos persoais?
Si, pero separando dous planos. A autorización do cliente regula o uso do proxecto. A presenza de datos persoais de terceiros (clientes finais, usuarios, empregados) require ou anonimización efectiva ou consentimento individual das persoas afectadas. A marca corporativa visible non necesita base RGPD; os datos identificables de persoas físicas si.
Que é anonimizar correctamente?
Transformar os datos de forma irreversible para que ningunha persoa sexa identificable directa ou indirectamente. Non é pseudonimizar (substituír un identificador conservando unha chave): os datos pseudonimizados seguen sendo datos persoais. Substituír nomes, esvaecer caras, ocultar emails completos, borrar IDs e revisar metadatos.
Ten o freelance dereito a usar os traballos realizados para un cliente no seu portfolio?
Depende do contrato e do réxime de propiedade intelectual pactado. O razoable é incluír unha cláusula expresa de portfolio. Aínda con autorización do cliente, os datos persoais de terceiros requiren tratamento separado: anonimización ou consentimento individual.
Pode o freelance publicar testemuños dos seus clientes con nome e foto?
Só con consentimento expreso, específico, informado e documentado da persoa (non só da empresa). A imaxe require consentimento adicional (LO 1/1982). Especificar canles, prazos e vía de revogación. Unha mención en LinkedIn non equivale a consentimento para portfolio.
Este contido é meramente orientativo e divulgativo; non constitúe en ningún caso asesoramento xurídico especializado. A normativa autonómica sectorial pode ampliar ou modificar os prazos e requisitos da norma estatal. A aplicación da normativa a cada caso concreto require análise individualizada.
Queres revisar o teu portfolio antes de seguir compartíndoo?
En Certix axudámoste a auditar pezas, redactar a cláusula de portfolio nos teus contratos e preparar os consentimentos de testemuños e imaxe.
Falar cun experto