Anonimizar y seudonimizar persiguen objetivos relacionados, pero no producen necesariamente el mismo resultado jurídico. Sustituir nombres por códigos puede reducir la exposición sin impedir que una organización siga identificando a las personas. Para decidir si una información es anónima hay que examinar los medios razonablemente utilizables para identificar, el contexto y los sujetos que pueden acceder a ellos.
La decisión no depende del nombre que el proveedor dé a su herramienta. Un archivo denominado «anónimo» puede conservar fechas, ubicaciones o combinaciones que permitan reconocer a alguien. A la inversa, la valoración respecto de un destinatario no se resuelve siempre porque exista información adicional en poder de otra entidad. Lo relevante es justificar el resultado concreto y las obligaciones de cada operación.
Qué significan anonimización y seudonimización
El artículo 4.5 del RGPD define la seudonimización mediante la separación de la información adicional necesaria para atribuir los datos a una persona. Esa información debe estar protegida con medidas técnicas y organizativas. Cambiar un nombre por un número, dejando la correspondencia accesible a todos los usuarios de la misma carpeta, no ofrece una separación efectiva.
El considerando 26 exige valorar todos los medios razonablemente utilizables para identificar directa o indirectamente, incluidos factores objetivos como costes, tiempo y tecnología disponible. La definición de datos personales abarca información que permite identificar sin mencionar un nombre. Conocer una dirección habitual, una profesión infrecuente y un horario puede resultar suficiente en un contexto determinado.
Para el responsable que conserva la tabla de correspondencia y puede utilizarla, los registros seudonimizados siguen siendo datos personales. La información verdaderamente anónima queda fuera del ámbito material de esas reglas de protección de datos. Alcanzar esa conclusión exige un análisis, no la promesa abstracta de irreversibilidad ni la mera eliminación de identificadores directos.
Tampoco debe exigirse como definición una imposibilidad matemática frente a cualquier tecnología imaginable para siempre. La evaluación jurídica atiende a medios razonablemente utilizables y al contexto. Aun así, una probabilidad que la organización considere comercialmente aceptable no demuestra por sí sola que haya desaparecido la identificabilidad conforme al Reglamento.
La precisión del Tribunal de Justicia de septiembre de 2025
En el asunto C-413/23 P, resuelto el 4 de septiembre de 2025, el Tribunal examinó datos enviados por la Junta Única de Resolución a Deloitte. Según el comunicado oficial del Tribunal, los datos seudonimizados no son necesariamente personales para toda persona en cualquier circunstancia: deben considerarse las posibilidades de identificación pertinentes.
El caso aplica el Reglamento 2018/1725, relativo a instituciones y organismos de la Unión. El Tribunal también precisó que la obligación de informar discutida se valoraba al recoger los datos, desde la posición del responsable, antes de su eventual transmisión. Por tanto, la posible falta de identificabilidad para Deloitte no eliminaba esa obligación previa. Anuló la sentencia recurrida y devolvió el asunto al Tribunal General.
Esta precisión impide dos simplificaciones: afirmar que cualquier clave existente en cualquier lugar determina idéntico resultado para todos, o concluir que enviar códigos a un tercero borra las obligaciones del responsable. El comunicado explica la decisión y no sustituye el texto judicial. Para una operación concreta deben examinarse el régimen aplicable, sus circunstancias y el acceso razonablemente posible a información adicional.
Elegir el objetivo antes de transformar
La primera pregunta práctica es qué resultado necesita el proyecto. Para conocer tendencias mensuales puede bastar una estadística agregada. Para seguir la evolución de un mismo participante quizá se necesite un identificador estable. Esas necesidades generan riesgos distintos y no deben resolverse conservando todos los atributos «por si fueran útiles».
La minimización de datos permite reducir el problema antes de escoger algoritmos. Si el análisis solo necesita una provincia, conservar una dirección exacta aumenta la posibilidad de identificación sin aportar valor al resultado. Si únicamente interesa una distribución por edades, mantener fecha y hora de nacimiento puede ser innecesario.
Transformar datos personales es a su vez un tratamiento. La organización debe justificar el acceso al conjunto original, la finalidad y su base de licitud, así como las condiciones adicionales para categorías especiales cuando correspondan. No puede obtener datos ilícitamente y defender esa recogida afirmando que más adelante pensaba anonimizarlos.
La limitación de la finalidad exige examinar usos posteriores. La seudonimización puede ser una garantía relevante en el análisis de compatibilidad del artículo 6.4, pero no sustituye sus condiciones. Tampoco crea una base jurídica independiente ni convierte una finalidad comercial nueva en compatible automáticamente.
Identificadores indirectos y riesgos que deben examinarse
Los identificadores directos son solo una parte del problema. Una combinación de edad exacta, municipio y fecha de un suceso puede singularizar a una persona. Los textos libres pueden contener nombres, relaciones familiares, episodios reconocibles o referencias a lugares. Las imágenes y los documentos también pueden conservar metadatos que el análisis de columnas no detecta.
La singularización consiste en poder aislar registros relativos a alguien; la vinculabilidad permite relacionar registros de una misma persona; la inferencia permite deducir atributos. Estas dimensiones ayudan a estudiar el riesgo técnico, aunque ningún listado breve sustituye la evaluación jurídica completa de identificabilidad. Deben considerarse conjuntamente los datos publicados y otras fuentes razonablemente accesibles.
Un ejemplo hipotético: un hospital publica altas mensuales por grupos de edad y comarca. Si una celda contiene una única persona y un hecho conocido permite relacionarla con el centro, eliminar su nombre no evita necesariamente conocer información sobre su salud. También importa si otras tablas permiten reconstruir esa celda mediante restas.
La prueba debe reflejar el entorno de difusión. Un conjunto accesible solo a investigadores sujetos a controles no presenta la misma exposición que una descarga pública. Las restricciones jurídicas, técnicas y organizativas pueden influir en la evaluación, pero una prohibición contractual de reidentificar no vuelve imposible una identificación que los datos facilitan materialmente.
Técnicas y límites de cada opción
La generalización sustituye valores detallados por intervalos o categorías más amplias. La supresión elimina campos o registros cuya singularidad resulta difícil de proteger. Ambas afectan a la utilidad: un análisis de diferencias entre barrios puede perder sentido si toda la ubicación se reduce a una región. Debe documentarse qué detalle es necesario y qué riesgo introduce.
La nota técnica de la AEPD sobre k-anonimidad examina grupos de registros que comparten los mismos valores de los cuasiidentificadores considerados. El parámetro expresa el tamaño de esos grupos, no un certificado universal de anonimato. No existe un valor único que garantice cumplir el RGPD en todos los conjuntos.
Además, esa propiedad no protege por sí sola frente a atributos sensibles homogéneos. Si todos los registros de un grupo comparten un diagnóstico, identificar exactamente una fila puede no ser necesario para inferirlo. Deben revisarse las variables elegidas como cuasiidentificadores, la información externa y las inferencias posibles; limitarse a comprobar el tamaño de los grupos deja fuera parte del problema.
Agregar datos reduce detalle individual, pero los grupos pequeños, las consultas superpuestas y las publicaciones sucesivas pueden volver a revelar información. Antes de publicar un nuevo informe conviene estudiar qué permite deducir al combinarlo con informes anteriores. La protección de cada archivo por separado no demuestra la protección del conjunto de publicaciones.
La perturbación o adición de ruido puede reducir revelaciones manteniendo una utilidad estadística. Su eficacia depende del diseño, los parámetros y las consultas permitidas. Si se aplica una técnica especializada, el equipo debe entender qué garantiza bajo qué hipótesis y cómo se degrada esa garantía al repetir consultas. La expresión «privacidad diferencial» no sustituye esa documentación ni el examen jurídico.
Por qué una función hash no garantiza anonimato
Una función hash transforma una entrada en un valor calculado, pero esa propiedad no impide reconocerla por comparación. Si las entradas posibles son previsibles, un tercero puede calcular resultados de candidatos y compararlos. Aplicar una función conocida a números de documento o direcciones de correo no garantiza que dejen de ser identificables.
El estudio de la AEPD sobre hash y anonimidad explica la importancia del espacio de entradas, la información auxiliar y el diseño. Añadir una sal puede dificultar determinadas comparaciones, pero una sal conocida y entradas fácilmente enumerables no ofrecen la misma protección que un secreto correctamente gestionado. Hay que valorar el mecanismo concreto.
Una función con clave secreta, una tokenización con correspondencia separada o identificadores aleatorios pueden servir para seudonimizar. La protección depende también de permisos, copias, registros de acceso y posibilidad de reconstruir correspondencias. Si el mismo identificador se reutiliza en varios servicios, puede facilitar su vinculación aunque ninguno muestre el nombre.
El cifrado protege confidencialidad cuando está bien aplicado, pero normalmente conserva la posibilidad de descifrar con la clave. Borrar una copia de la clave no demuestra que hayan desaparecido todas ni que el resto del conjunto resulte anónimo. Deben comprobarse respaldos, exportaciones, datos auxiliares y otras vías de identificación.
Separación efectiva y gobierno de las claves
Una seudonimización útil comienza por decidir quién necesita identificar y quién puede trabajar con códigos. Un equipo de análisis puede recibir variables limitadas mientras otro conserva la correspondencia para atender una necesidad legítima. La arquitectura debe evitar que los permisos ordinarios de un analista le permitan recuperar identidades sin control.
La separación puede exigir sistemas distintos, controles de acceso, protección de secretos y registro de operaciones de reidentificación. Estas son decisiones de diseño adaptadas al riesgo, no una lista universal de tecnologías obligatorias. Debe existir un procedimiento para usos excepcionales y para revisar accesos cuando cambian las funciones de las personas.
El interés legítimo, cuando sea la base pertinente, sigue requiriendo interés lícito, necesidad y ponderación. Reducir la exposición mediante códigos puede ser una garantía dentro de esa evaluación, pero no justifica un tratamiento innecesario. La privacidad desde el diseño conecta esa valoración con la configuración real del sistema.
Las Directrices 01/2025 sobre seudonimización requieren una precisión de estado: en la comprobación de septiembre de 2026, la página consultada enlaza el documento adoptado el 16 de enero de 2025 como versión para consulta pública. Que el periodo de comentarios esté cerrado no acredita por sí solo la adopción de una versión final. Debe evitarse presentar ese documento consultivo como una nueva obligación legal autónoma.
Verificar el resultado y conservar evidencia
El expediente de transformación debería describir el propósito, los datos iniciales, los destinatarios, las fuentes auxiliares consideradas y las técnicas utilizadas. También conviene conservar resultados de comprobaciones y limitaciones conocidas. Este material permite explicar por qué el equipo concluyó que persistían datos personales o que el resultado cumplía el criterio de anonimato en el contexto evaluado.
Las comprobaciones pueden estudiar combinaciones raras, enlaces con fuentes públicas y reconstrucción mediante varias salidas. Es recomendable que participe alguien que no haya diseñado la transformación, especialmente cuando el riesgo o la difusión sean importantes. No debe convertirse esa recomendación en una obligación universal de contratar a un tercero independiente para cualquier anonimización.
Una evaluación de impacto será necesaria cuando se cumpla el umbral del artículo 35 y los supuestos aplicables. El nombre de la técnica no decide por sí solo la obligación. La escala, la naturaleza de los datos, la vulnerabilidad de los afectados y los usos previstos pueden ser determinantes antes de transformar o comunicar la información.
La auditoría de protección de datos puede revisar después si las condiciones documentadas siguen existiendo. Debe comprobar, por ejemplo, que no se haya publicado una tabla complementaria, ampliado el acceso o reutilizado identificadores de forma que altere el análisis. Revisar solo el algoritmo omite cambios de contexto capaces de modificar el resultado.
Conservación, derechos y transferencias
La limitación de conservación sigue aplicándose a los datos personales, aunque estén seudonimizados. La anonimización puede ser una opción al finalizar una finalidad cuando resulte lícita y suficientemente efectiva, pero no una autorización para conservar indefinidamente conjuntos identificables llamándolos «históricos».
Respecto de un conjunto verdaderamente anónimo, el RGPD no impone sus plazos de conservación de datos personales. Eso no significa libertad para cualquier uso: pueden subsistir confidencialidad, secretos empresariales, propiedad intelectual, restricciones contractuales u otras obligaciones sectoriales. Si se mantienen datos originales identificables, esos originales siguen necesitando su propia justificación y protección.
La seudonimización tampoco permite ignorar solicitudes de las personas. Si el responsable puede recuperar la correspondencia, debe atender los derechos aplicables. Cuando los fines no requieran o ya no requieran identificar a la persona y el responsable pueda demostrar que no está en condiciones de hacerlo, debe examinar el artículo 11 e informarla de esa circunstancia si es posible. El interesado puede aportar información adicional que permita identificarlo para ejercer sus derechos; el responsable no está obligado a obtener datos extra con la única finalidad de cumplir el Reglamento. El derecho de acceso exige estudiar estas circunstancias sin confundir una dificultad interna con una imposibilidad acreditada.
El registro de actividades y la documentación vinculada pueden indicar conjuntos seudonimizados, ubicación de correspondencias, destinatarios y conservación. El artículo 30 no exige un campo denominado «nivel de anonimización»; documentar esa información es una medida práctica para mantener coherencia entre análisis y operación.
En transferencias internacionales, la seudonimización puede ser una garantía adicional pertinente según el mecanismo y las circunstancias. No sustituye por sí misma el fundamento del capítulo V cuando existe transferencia de datos personales sujeta a él. Tampoco todas las transferencias exigen cláusulas contractuales tipo: debe identificarse el mecanismo realmente aplicable y evaluar su alcance.
Qué cambia ante una brecha
Una brecha de datos personales sobre registros seudonimizados requiere estudiar qué se expuso y quién puede identificar. Una clave protegida puede reducir el riesgo, pero no lo elimina si otros atributos identifican, si el atacante dispone de datos auxiliares o si también se comprometieron las correspondencias. El nombre de la técnica no decide automáticamente la respuesta.
Toda brecha de datos personales debe documentarse. La notificación a la autoridad procede sin dilación indebida y, cuando sea posible, dentro de setenta y dos horas desde tener constancia, salvo que sea improbable un riesgo para las personas; una notificación posterior debe explicar los motivos. La comunicación a afectados por alto riesgo es distinta y tiene sus propias excepciones, incluida la eficacia de medidas que hagan los datos ininteligibles para personas no autorizadas.
Los malentendidos sobre anonimización identificados por la AEPD y el SEPD recuerdan que la técnica y el contexto importan juntos. La decisión útil para una organización es especificar qué información protege, frente a qué capacidades, para qué destinatarios y bajo qué condiciones deberá revisarse. Esa explicación permite elegir entre anonimizar, seudonimizar, reducir el conjunto o renunciar a una difusión que no puede justificarse.