La seudonimització és un dels conceptes que més confusió genera en la pràctica de la protecció de dades. S'utilitza diàriament en informes, exportacions, entorns de proves de programari i projectes d'anàlisi, i es confon sovint amb l'anonimització. La diferència entre totes dues no és un matís tècnic: determina si el RGPD s'aplica o no a aquestes dades.
La distinció és clara a la norma però s'interpreta malament sovint. Les dades seudonimitzades continuen sent dades personals: es poden tornar a atribuir a una persona utilitzant informació addicional, de manera que el RGPD se'ls aplica per complet. Només les dades veritablement anònimes —aquelles en què la reidentificació és irreversible— queden fora de l'àmbit del RGPD. I aconseguir una anonimització real és molt més difícil del que se sol creure.
En resum
- La seudonimització (art. 4.5 RGPD) substitueix els identificadors per un pseudònim, però manté per separat la informació que permet reidentificar la persona.
- Les dades seudonimitzades continuen sent dades personals i el RGPD se'ls aplica en la seva totalitat (considerand 26).
- L'anonimització real és irreversible: quan s'aconsegueix, les dades deixen de ser personals i queden fora de l'àmbit del RGPD. És tècnicament exigent i difícil d'assolir.
- La seudonimització és una mesura de seguretat reforçada (art. 32) i un exemple de protecció de dades des del disseny (art. 25). No eximeix del compliment, però redueix el risc.
Què és la seudonimització segons el RGPD (art. 4.5)
El RGPD defineix la seudonimització de manera expressa en el seu article 4, apartat 5. Segons aquest precepte, la seudonimització és el tractament de dades personals de manera que ja no es puguin atribuir a un interessat sense utilitzar informació addicional, sempre que aquesta informació addicional figuri per separat i estigui subjecta a mesures tècniques i organitzatives que garanteixin que les dades no s'atribueixen a una persona física identificada o identificable.
La idea central de la definició legal és que la seudonimització no trenca el vincle entre la dada i la persona: el separa i el protegeix. Existeix una peça —la informació addicional, habitualment una taula de correspondència o una clau— que permet desfer el procés i tornar a identificar cada individu. Mentre aquesta peça existeixi en algun lloc, la reidentificació és possible.
Un exemple quotidià: una empresa substitueix a la seva base de dades d'anàlisi els noms i DNI dels seus clients per codis (CLI-00817, CLI-00818…) i guarda la taula que associa cada codi amb la persona real en un fitxer xifrat, amb accés restringit, en un servidor diferent. Les dades d'anàlisi estan seudonimitzades. Però com que la taula de correspondència existeix, aquests registres continuen referint-se a persones identificables.
Què és l'anonimització i per què és diferent
L'anonimització persegueix un objectiu diferent: eliminar de manera irreversible tota possibilitat de vincular les dades amb una persona concreta. Una dada veritablement anònima és aquella que ja no guarda relació amb una persona física identificada o identificable, ni tan sols utilitzant mitjans addicionals raonables.
El RGPD aborda aquesta qüestió en el seu considerand 26, que estableix que els principis de la protecció de dades no s'apliquen a la informació anònima, és a dir, a la informació que no guarda relació amb una persona identificada o identificable, ni a les dades convertides en anònimes de manera que l'interessat no sigui o deixi de ser identificable. Dit d'una altra manera: quan l'anonimització és real, aquestes dades deixen de ser dades personals i surten de l'àmbit d'aplicació del RGPD.
El mateix considerand 26 introdueix el criteri decisiu per valorar quan algú és "identificable": s'han de tenir en compte tots els mitjans que raonablement es puguin utilitzar pel responsable o per qualsevol altra persona per identificar directament o indirectament la persona, considerant factors objectius com el cost, el temps necessari i la tecnologia disponible. Per això l'anonimització real és tan exigent: no n'hi ha prou amb esborrar el nom; cal garantir que cap combinació de dades restants, creuada amb altres fonts raonablement accessibles, permeti tornar a identificar algú.
La diferència clau: quines dades continuen sota el RGPD i quines no
Aquí hi ha el punt que més errors provoca. La conseqüència jurídica d'una i altra tècnica és radicalment diferent:
- Dades seudonimitzades → continuen sent dades personals. El considerand 26 del RGPD és explícit: les dades personals seudonimitzades que es puguin atribuir a una persona física mitjançant la utilització d'informació addicional s'han de considerar informació sobre una persona física identificable. Per tant, el RGPD se'ls aplica en la seva totalitat: base de legitimació, deure d'informació, drets dels interessats, obligació de seguretat, notificació de bretxes, etc.
- Dades veritablement anònimes → fora del RGPD. Si l'anonimització és real i irreversible, aquestes dades deixen de ser dades personals i no estan subjectes al Reglament (considerand 26). Ara bé, el simple fet d'anomenar "anònim" un conjunt de dades no el converteix en tal: si existeix qualsevol via raonable de reidentificació, continua sent dada personal.
La frontera no la marca l'etiqueta que posem al procés, sinó la reversibilitat real. Mentre existeixi —en poder de qualsevol, no només del responsable— un mitjà raonable per tornar a identificar la persona, estem davant de dades personals i el RGPD continua vigent.
Taula comparativa: seudonimització davant d'anonimització
| Criteri | Seudonimització | Anonimització |
|---|---|---|
| Reversibilitat | Reversible amb la informació addicional | Irreversible (quan és real) |
| Continua sent dada personal? | Sí, sempre | No, deixa de ser-ho |
| S'aplica el RGPD? | Sí, en la seva totalitat | No (considerand 26) |
| Base normativa | Art. 4.5 RGPD (definició) | Considerand 26 RGPD |
| Naturalesa jurídica | Mesura de seguretat i de minimització | Via per excloure dades de l'àmbit del RGPD |
| Utilitat de la dada | Es conserva gairebé íntegra | Es redueix (pèrdua de granularitat) |
| Dificultat d'execució | Moderada | Alta: garantir la irreversibilitat és exigent |
La seudonimització com a mesura de seguretat i de minimització
Encara que les dades seudonimitzades continuïn sota el RGPD, seudonimitzar no és un esforç estèril. Al contrari: és una de les mesures tècniques que el mateix Reglament cita de manera expressa i que ajuda a complir diverses obligacions alhora.
Mesura de seguretat del tractament (art. 32)
L'article 32 del RGPD, dedicat a la seguretat del tractament, menciona la seudonimització —juntament amb el xifratge— com un dels exemples de mesures tècniques i organitzatives apropiades per garantir un nivell de seguretat adequat al risc. La seva lògica és de reducció d'impacte: si un tercer accedeix indegudament a un conjunt de dades seudonimitzades però no disposa de la taula de correspondència que es guarda per separat, el dany potencial per a les persones és sensiblement menor que si accedís a les dades completes.
Protecció de dades des del disseny (art. 25)
L'article 25 del RGPD, sobre protecció de dades des del disseny i per defecte, cita també la seudonimització com a exemple concret de mesura que el responsable pot aplicar per incorporar els principis de protecció de dades en els seus tractaments des del primer moment. Dissenyar un sistema que treballi amb identificadors seudonimitzats en lloc de dades directes és una manera pràctica d'aplicar aquest principi.
Suport al principi de minimització
La seudonimització contribueix igualment al principi de minimització de dades (art. 5.1.c RGPD): permet que moltes operacions —anàlisi, estadística interna, desenvolupament de programari, informes— es realitzin sense necessitat de gestionar identificadors directes. El personal que treballa amb aquestes dades no necessita veure el nom real de cada persona per complir la seva funció, cosa que redueix l'exposició.
"L'error més freqüent que veiem no és tècnic, és conceptual: creure que substituir un nom per un codi posa les dades fora de la llei. No és així. Si algú, en algun lloc, guarda la clau per revertir el procés, continues tractant dades personals i en respons. Seudonimitzar protegeix; anonimitzar de debò allibera. Confondre totes dues coses és assumir un risc que no s'ha mesurat."
Mario P. Talamillo · Soci director, Certix®
Casos d'ús habituals
La seudonimització encaixa especialment bé en escenaris on cal treballar amb dades reals sense exposar la identitat directa de les persones:
- Entorns de desenvolupament i proves de programari. En lloc d'abocar dades reals de clients en un entorn de test, es seudonimitzen els identificadors per reduir el risc. La regla d'or continua sent no utilitzar dades reals en proves quan sigui evitable; si s'utilitzen, la seudonimització és un mínim.
- Anàlisi i estadística interna. Departaments que estudien comportament, rendiment o segmentació poden operar sobre identificadors seudonimitzats sense accedir als noms reals.
- Recerca. Projectes que tracten dades de participants solen seudonimitzar els registres i custodiar per separat la clau que permet reidentificar, amb accés molt restringit.
- Compartir dades amb encarregats del tractament. Quan es trasllada informació a un proveïdor per a una tasca concreta, seudonimitzar redueix el volum de dades identificatives que aquest gestiona.
- Reducció de l'impacte de bretxes. Un conjunt seudonimitzat compromès, sense la informació addicional, exposa molt menys que un amb identificadors directes.
Tècniques de seudonimització més comunes
Existeixen diferents formes de seudonimitzar, amb garanties diferents. A grans trets, les més utilitzades són:
- Substitució per taula de correspondència. Es reemplaça cada identificador per un codi i es guarda per separat, xifrada, la taula que associa codi i persona. És reversible per definició mentre aquesta taula existeixi.
- Tokenització. Els identificadors se substitueixen per tokens generats i gestionats per un sistema que conserva la relació entre token i dada original en un magatzem protegit.
- Funcions hash amb clau. S'aplica una funció criptogràfica que transforma l'identificador. La seva solidesa depèn de la tècnica concreta i de la gestió de la clau: sense les degudes cauteles, alguns hashes poden ser vulnerables a atacs de força bruta o de diccionari, per la qual cosa la seva idoneïtat es valora cas per cas.
- Xifratge d'identificadors. Els identificadors es xifren amb una clau que es custodia per separat. Qui no disposa de la clau no pot revertir el procés.
En totes elles, l'element crític no és només l'algorisme, sinó com es protegeix i es separa la informació addicional (la taula, el token, la clau). Si aquesta peça es guarda malament —en el mateix sistema, sense control d'accessos, sense xifrar—, la seudonimització perd bona part del seu valor.
Errors comuns: quan es creu que seudonimitzar és anonimitzar
El malentès més estès, i el de conseqüències més grans, és tractar les dades seudonimitzades com si fossin anònimes. D'aquí es deriven altres errors freqüents:
| Error | Per què és un problema |
|---|---|
| Anomenar "anònimes" dades seudonimitzades | S'assumeix erròniament que queden fora del RGPD i es deixen d'aplicar les seves garanties (informació, drets, seguretat). |
| Guardar la taula de correspondència junt amb les dades | Trenca l'exigència de l'art. 4.5 de mantenir la informació addicional per separat i protegida. La seudonimització perd eficàcia. |
| Creure que n'hi ha prou amb esborrar el nom | Combinacions de dades restants (codi postal, data, sexe, etc.) poden permetre reidentificar. La identificabilitat s'avalua per tots els mitjans raonables (considerand 26). |
| Publicar com a "anònim" un conjunt reidentificable | Si existeix qualsevol via raonable de reidentificació, continua sent dada personal i la seva difusió és un tractament subjecte al RGPD. |
| Confondre seudonimització amb xifratge | Són mesures diferents de l'art. 32 amb finalitats diferents; convé entendre què aporta cadascuna i, sovint, combinar-les. |
Checklist pràctic
Abans de donar per seudonimitzat o anonimitzat un conjunt de dades, convé revisar aquests punts:
| ✓ | Comprovació | Referència |
|---|---|---|
| □ | Determinar si l'objectiu és seudonimitzar (reduir risc, continuar tractant) o anonimitzar (treure del RGPD) | Art. 4.5 · Cons. 26 |
| □ | Mantenir la informació addicional per separat, xifrada i amb accés restringit | Art. 4.5 RGPD |
| □ | Tractar les dades seudonimitzades com a dades personals a tots els efectes del RGPD | Cons. 26 RGPD |
| □ | En anonimització, valorar la reidentificació per tots els mitjans raonables (creuament amb altres fonts) | Cons. 26 RGPD |
| □ | Documentar la tècnica emprada i la seva justificació dins de les mesures de seguretat | Art. 32 RGPD |
| □ | Incorporar la seudonimització en el disseny de nous sistemes i tractaments | Art. 25 RGPD |
| □ | Revisar periòdicament si la tècnica continua sent adequada davant de noves capacitats de reidentificació | Art. 32 (avaluació contínua basada en el risc) |
Seudonimització, anonimització i la resta del RGPD
Aquestes dues tècniques no operen en el buit: es connecten amb el conjunt d'obligacions del Reglament. Si vols situar-les en el marc complet —principis de l'art. 5, bases de legitimació, drets dels interessats, obligacions de seguretat i règim sancionador—, pots consultar la nostra guia completa del RGPD, que desenvolupa com encaixen la seguretat del tractament (art. 32) i la protecció de dades des del disseny (art. 25) dins del sistema general de la norma.
La decisió de seudonimitzar o d'intentar anonimitzar, i l'elecció de la tècnica concreta, depenen del tractament, del risc i de la finalitat perseguida. No és una decisió merament tècnica: té conseqüències jurídiques directes sobre si el RGPD continua aplicant-se i sobre quines obligacions assumeix l'organització.
Preguntes freqüents sobre seudonimització i anonimització
Les dades seudonimitzades queden fora del RGPD?
No. Les dades seudonimitzades continuen sent dades personals i el RGPD se'ls aplica en la seva totalitat. L'article 4.5 i el considerand 26 del RGPD aclareixen que la informació seudonimitzada que es pugui atribuir a una persona utilitzant informació addicional es considera informació sobre una persona identificable. Només l'anonimització real i irreversible deixa les dades fora de l'àmbit del Reglament.
Quina diferència hi ha entre seudonimització i anonimització?
La seudonimització substitueix els identificadors per un pseudònim però conserva per separat la informació addicional que permet reidentificar; per això les dades continuen sent personals. L'anonimització elimina de manera irreversible qualsevol possibilitat de reidentificació, de manera que les dades deixen de ser personals i queden fora del RGPD (considerand 26). L'anonimització real és tècnicament exigent i difícil d'aconseguir.
Seudonimitzar és el mateix que xifrar les dades?
No són el mateix, tot i que totes dues són mesures de seguretat citades a l'article 32 del RGPD. El xifratge transforma les dades amb una clau per fer-les il·legibles a qui no la posseeix. La seudonimització substitueix els identificadors directes per un pseudònim mantenint la utilitat de la dada per al tractament. Sovint es combinen: se seudonimitza el conjunt i es xifra la taula de correspondència que permet revertir el procés.
Per què és útil la seudonimització si les dades continuen sent personals?
Perquè redueix el risc per a les persones i ajuda a complir diverses obligacions del RGPD: és una mesura de seguretat expressament citada a l'article 32, un exemple de protecció de dades des del disseny de l'article 25 i una tècnica que dona suport al principi de minimització. Encara que no eximeix del compliment del RGPD, disminueix l'impacte d'una possible bretxa i reforça la posició del responsable.
Aquest contingut és merament orientatiu i divulgatiu; no constitueix en cap cas assessorament jurídic especialitzat. L'aplicació de la normativa a cada cas concret requereix anàlisi individualitzada. Per avaluar si la teva organització ha de seudonimitzar o anonimitzar un tractament concret, i amb quina tècnica, contacta amb un especialista en protecció de dades.