El portfolio es la herramienta comercial más potente del profesional independiente. También es el lugar donde más fácilmente se exhiben, sin querer, datos personales de terceros: capturas con clientes finales identificables, testimonios con nombre y foto, métricas individualizadas, mensajes reales, paneles llenos de emails y teléfonos. El RGPD (Reglamento UE 2016/679) y la LOPDGDD (Ley Orgánica 3/2018) aplican a esos contenidos con la misma exigencia que a cualquier otro tratamiento.
Esta guía separa lo que es cuestión de contrato con el cliente (puedo usar este trabajo en mi portfolio) de lo que es cuestión de protección de datos (puedo mostrar a estas personas), y explica cómo anonimizar de forma efectiva sin destrozar la pieza.
Dos capas distintas: contrato con el cliente y RGPD de los terceros
Antes de tocar nada conviene separar los dos planos:
| Plano | Qué regula | Quién decide |
|---|---|---|
| Contractual / autoría | Si puedes enseñar el trabajo realizado, con marca o sin marca, con métricas o sin ellas. | Cliente (por contrato) |
| RGPD | Si puedes mostrar datos personales de clientes finales, usuarios o empleados que aparecen en el material. | Cada persona afectada |
| Imagen y honor | Si puedes mostrar fotos o vídeos identificables (LO 1/1982). | La persona retratada |
| Propiedad intelectual | Quién es titular del diseño, código, texto o vídeo. | Lo pactado en el contrato |
El permiso del cliente para mostrar el proyecto no equivale al consentimiento de las personas que aparecen dentro: son interesados distintos.
Anonimización efectiva: qué cuenta y qué no
Anonimizar es transformar los datos para que ninguna persona física sea razonablemente identificable, directa o indirectamente, ni siquiera combinando la información con otras fuentes disponibles. Si la reidentificación es factible (porque la empresa es pequeña, porque el rol es único, porque la captura conserva metadatos), no hay anonimización real y el RGPD sigue aplicando.
- Sustituir nombres reales por etiquetas claramente ficticias o genéricas ("Cliente A", "Usuario 1"), no por iniciales que sigan permitiendo identificar.
- Difuminar caras de forma efectiva (no un emoji que se mueve, no un pixelado reversible).
- Ocultar emails completos (incluido el dominio si el destinatario es deducible), teléfonos, DNI, direcciones, IPs, IDs únicos y referencias internas.
- Borrar métricas individualizadas que permitan identificar a una persona concreta (un cliente que generó X euros en una empresa pequeña).
- Revisar metadatos de los archivos exportados (los PDF y los PNG conservan información que puede delatar rutas, usuarios y proyectos).
- Comprobar el resultado con prueba inversa: ¿podría yo, sin saber nada, identificar a alguien? Si la respuesta es no, la anonimización es razonable.
Pseudonimizar (sustituir un identificador por otro pero conservar la posibilidad de reconectar) no es anonimizar: los datos pseudonimizados siguen siendo datos personales y siguen sujetos al RGPD.
Testimonios con nombre y foto: consentimiento por escrito
El testimonio identificable (con nombre, cargo, empresa, foto) es uno de los casos más frecuentes de exposición indebida en portfolios. Requisitos mínimos:
- Consentimiento expreso de la persona, no solo de la empresa para la que trabaja.
- Específico: para qué portfolio (web del freelance, redes sociales, presentaciones comerciales) y durante cuánto tiempo.
- Informado: la persona sabe qué se publica y dónde.
- Documentado: firma, formulario con casillas marcadas o email de confirmación archivado.
- Revocable: vía clara y sencilla para retirar el testimonio.
- Imagen separada: la foto requiere consentimiento adicional (LO 1/1982).
- Revisión periódica: si la persona se va de la empresa o cambia de rol, valorar si el testimonio sigue teniendo sentido.
"El portfolio profesional es donde más reclamaciones de privacidad ven los freelance. No por el trabajo bien hecho, sino por las capturas que se quedan dentro con un nombre o un email reales. Anonimizar bien una pieza cuesta diez minutos. Quitarla después de un requerimiento de la AEPD cuesta mucho más."
Mario P. Talamillo · Socio director, Certix®
Casos típicos y cómo resolverlos
- Captura de un dashboard del cliente con lista de usuarios reales: anonimizar nombres y emails antes de subir; revisar metadatos.
- Caso de estudio con métricas reales: pactar con el cliente si se muestran como cifras absolutas, porcentajes o rangos. Si la empresa es identificable y las métricas son individualizadas (cliente concreto generó X), anonimizar o agregar.
- Vídeo de una sesión de trabajo con clientes presenciales: consentimiento de cada persona que aparece (no solo de quien organiza).
- Mensajes privados, emails o feedback escrito: borrar firmas, datos de contacto y referencias a personas concretas; pedir consentimiento si el contenido es citable.
- Trabajo bajo NDA: aunque el cliente autorice tras el embargo, los datos personales de terceros siguen requiriendo anonimización o consentimiento propio.
La cláusula de portfolio en el contrato con el cliente
Para evitar zonas grises, conviene pactar expresamente en el contrato de servicios un apartado de uso del trabajo con fines de portfolio. Elementos típicos:
- Si se puede mostrar el trabajo y con qué nivel de identificación del cliente (marca visible, marca difuminada, solo descripción).
- Si se puede usar el logo del cliente en una sección de "clientes con los que he trabajado".
- Si hay embargo temporal (por ejemplo, antes del lanzamiento).
- Si se pueden mostrar métricas y bajo qué formato.
- Compromiso del freelance de anonimizar datos personales de terceros antes de cualquier publicación.
- Procedimiento para que el cliente solicite retirar piezas concretas.
Checklist antes de publicar una pieza nueva en el portfolio
- ¿Tengo autorización contractual del cliente para mostrarlo?
- ¿Aparecen datos personales de terceros? Si sí, ¿están anonimizados de forma efectiva o tengo consentimiento individual?
- ¿He difuminado caras, borrado emails completos, teléfonos, DNI, direcciones e IPs?
- ¿He revisado metadatos del archivo exportado?
- Si es testimonio con nombre o foto, ¿tengo consentimiento expreso, específico y documentado de la persona?
- ¿He fijado vía de revocación clara?
- ¿La pieza tendría un control si me la pidiera la AEPD? ¿Podría justificar cómo la obtuve y qué base jurídica usé?
Preguntas frecuentes
¿Puede un freelance mostrar en su portfolio trabajos con datos personales?
Sí, pero separando dos planos. La autorización del cliente regula el uso del proyecto. La presencia de datos personales de terceros (clientes finales, usuarios, empleados) requiere o anonimización efectiva o consentimiento individual de las personas afectadas. La marca corporativa visible no necesita base RGPD; los datos identificables de personas físicas sí.
¿Qué es anonimizar correctamente?
Transformar los datos de forma irreversible para que ninguna persona sea identificable directa o indirectamente. No es pseudonimizar (sustituir un identificador conservando una clave): los datos pseudonimizados siguen siendo datos personales. Sustituir nombres, difuminar caras, ocultar emails completos, borrar IDs y revisar metadatos.
¿Tiene el freelance derecho a usar los trabajos realizados para un cliente en su portfolio?
Depende del contrato y del régimen de propiedad intelectual pactado. Lo razonable es incluir una cláusula expresa de portfolio. Aun con autorización del cliente, los datos personales de terceros requieren tratamiento separado: anonimización o consentimiento individual.
¿Puede el freelance publicar testimonios de sus clientes con nombre y foto?
Solo con consentimiento expreso, específico, informado y documentado de la persona (no solo de la empresa). Imagen requiere consentimiento adicional (LO 1/1982). Especificar canales, plazos y vía de revocación. Una mención en LinkedIn no equivale a consentimiento para portfolio.
Este contenido es meramente orientativo y divulgativo; no constituye en ningún caso asesoramiento jurídico especializado. La aplicación de la normativa a cada caso concreto requiere análisis individualizado. La normativa autonómica sectorial puede ampliar o modificar plazos y requisitos.
¿Quieres revisar tu portfolio antes de seguir compartiéndolo?
En Certix te ayudamos a auditar piezas, redactar la cláusula de portfolio en tus contratos y preparar los consentimientos de testimonios e imagen.
Hablar con un experto