Anonimizar o seudonimizar: qué exige el RGPD
Publicado el 8 de septiembre de 2026 · 10 minutos de lectura · Fuentes consultadas el 8 de septiembre de 2026
Las dos palabras se usan como sinónimos y no lo son. La distinción tiene una consecuencia práctica muy concreta: si un documento está seudonimizado, sigue siendo un dato personal y le sigue aplicando el RGPD entero. Si está verdaderamente anonimizado, el Reglamento deja de aplicarse. Casi todo lo que en la práctica se llama «anonimizar un documento» cae en el primer grupo.
Qué dice la norma
Seudonimización: definida en el propio Reglamento
El artículo 4.5 del RGPD la define como el tratamiento de datos personales de manera que ya no puedan atribuirse a un interesado sin utilizar información adicional, siempre que esa información adicional figure por separado y esté sujeta a medidas técnicas y organizativas que impidan la atribución. Es decir: la reversibilidad existe, pero está controlada y separada.
El considerando 26 cierra el círculo: los datos seudonimizados que quepa atribuir a una persona mediante información adicional deben considerarse información sobre una persona física identificable. Son datos personales. Con base jurídica, deber de información, derechos de los interesados, registro de actividades y notificación de brechas.
Eso no la convierte en algo menor. El RGPD la menciona expresamente como medida de protección de datos desde el diseño (artículo 25.1) y como medida de seguridad del tratamiento (artículo 32.1.a). Seudonimizar es hacer las cosas bien; simplemente no saca el documento del ámbito del Reglamento.
Anonimización: definida por exclusión
El RGPD no define «anonimización» en su articulado. Lo hace el considerando 26 al delimitar su ámbito: el Reglamento no se aplica a la información anónima, es decir, la que no guarda relación con una persona identificada o identificable. Y fija el criterio para saberlo: hay que tener en cuenta «todos los medios, como la singularización, que razonablemente pueda utilizar el responsable del tratamiento o cualquier otra persona para identificar directa o indirectamente a la persona física».
La prueba no es qué técnica has aplicado, sino qué riesgo de reidentificación queda con los medios razonablemente disponibles. Por eso la anonimización es un resultado difícil de alcanzar y de acreditar, no una casilla que se marca.
Cómo se evalúa hoy: los tres criterios
El Comité Europeo de Protección de Datos (CEPD) adoptó en julio de 2026 el borrador de sus Directrices 02/2026 sobre anonimización, en consulta pública hasta el 30 de octubre de 2026. Actualizan el marco clásico del Grupo del Artículo 29 (Dictamen 05/2014) y mantienen sus tres criterios: unos datos pueden considerarse anónimos cuando no permiten
- singularizar a un individuo dentro del conjunto (aislar su registro),
- vincular registros que se refieran a la misma persona, y
- inferir información sobre una persona concreta a partir del conjunto.
El borrador subraya además que el carácter anónimo puede variar de una entidad a otra: unos mismos datos pueden ser anónimos para quien no tiene forma razonable de reidentificar y personales para quien sí la tiene. Contempla por eso un enfoque contextual —evaluando las capacidades reales de cada entidad— y uno simplificado que no distingue entre ellas.
Al ser un borrador en consulta, su redacción puede cambiar antes de la versión definitiva. Los criterios de fondo, en cambio, vienen de 2014 y son estables.
El TJUE lo confirmó en 2025
En su sentencia de 4 de septiembre de 2025 (asunto C-413/23 P, Supervisor Europeo de Protección de Datos contra la Junta Única de Resolución), el Tribunal de Justicia de la Unión Europea abordó la transmisión de datos seudonimizados a un tercero. Su conclusión, resumida: que unos datos seudonimizados sean o no datos personales depende de las circunstancias y de quién los tenga, en particular de si el destinatario puede razonablemente reidentificar a las personas. Que un tercero no pueda hacerlo no significa que dejen de ser datos personales para quien los originó y conserva la clave.
La sentencia se dictó en el marco del Reglamento (UE) 2018/1725, el que rige para las instituciones europeas, cuyos conceptos de dato personal y seudonimización son equivalentes a los del RGPD; de ahí su relevancia general.
Los malentendidos que la AEPD lleva años corrigiendo
La Agencia Española de Protección de Datos y el Supervisor Europeo publicaron en 2021 el documento 10 malentendidos relacionados con la anonimización. Tres de ellos aparecen constantemente en documentos reales:
- «Seudonimizar es anonimizar». No: en la seudonimización las personas siguen siendo identificables; en la anonimización, no.
- «Si está cifrado, está anonimizado». No: el cifrado protege la confidencialidad, pero es reversible con la clave. Puede ser una buena herramienta de seudonimización, no de anonimización.
- «La anonimización es definitiva y de riesgo cero». No existe la anonimización absoluta: la posibilidad de reidentificación depende del contexto, de qué otros conjuntos de datos existen y de cómo evolucione la tecnología. Hay que evaluar el riesgo y revisarlo.
Un cuarto punto, menos intuitivo: anonimizar es en sí mismo un tratamiento de datos personales. Necesita su base de licitud y su análisis de compatibilidad con la finalidad original. No es un acto neutro previo al tratamiento.
Qué significa esto con un documento sobre la mesa
Tapar el nombre, el DNI y el IBAN de una nómina la deja, en el mejor de los casos, seudonimizada: quien tenga la lista de la plantilla podrá saber de quién es en cuanto vea la categoría, la antigüedad y el importe. Para que ese documento fuese anónimo tendrían que dejar de cumplirse los tres criterios: que nadie pueda singularizar, vincular ni inferir. En un documento individual, con importes exactos y fechas, eso suele exigir tapar bastante más de lo que uno esperaría —o renunciar a que el documento sea útil para su finalidad.
De ahí la conclusión práctica, que es tranquilizadora más que alarmante:
- Asume que el documento censurado sigue siendo un dato personal salvo que hayas hecho —y documentado— un análisis de reidentificación que diga lo contrario. Trátalo como tal: canal seguro, acceso limitado, plazo de conservación.
- Censura de verdad, no visualmente. Si el texto sigue bajo el recuadro, no hay ni seudonimización: hay un dato personal a la vista de cualquiera que copie y pegue. Lo explicamos en esta guía.
- Piensa en identificadores indirectos, no solo en el nombre y el DNI. La checklist de la nómina los enumera.
- Documenta la decisión: para qué se comparte, qué se tapó y por qué. Es lo que sostiene la responsabilidad proactiva del artículo 5.2.
Resumen
- Seudonimizado = reversible con información adicional separada = sigue siendo dato personal, con todas las obligaciones del RGPD. Es una medida de seguridad recomendada (arts. 25.1 y 32.1.a).
- Anonimizado = no cabe singularizar, vincular ni inferir con los medios razonablemente disponibles = fuera del ámbito del RGPD (considerando 26). Difícil de lograr y de acreditar; nunca de riesgo cero.
- La calificación depende del contexto y de quién tenga los datos (CEPD, Directrices 02/2026; TJUE, C-413/23 P).
Fuentes
- Reglamento (UE) 2016/679 (RGPD) — artículo 4.5, considerando 26, artículos 25.1 y 32.1.a.
- CEPD, Directrices 02/2026 sobre anonimización, versión 1.0 adoptada en julio de 2026, en consulta pública hasta el 30 de octubre de 2026.
- CEPD, Directrices 01/2025 sobre seudonimización, borrador adoptado el 16 de enero de 2025 y sometido a consulta pública; a fecha de esta guía no consta versión final publicada.
- TJUE, sentencia de 4 de septiembre de 2025, asunto C-413/23 P (SEPD contra Junta Única de Resolución).
- AEPD y SEPD, 10 malentendidos relacionados con la anonimización (2021).
- Grupo de Trabajo del Artículo 29, Dictamen 05/2014 sobre técnicas de anonimización (origen de los tres criterios).
Probar Censoria gratis · 3 créditos