A seudonimización é un dos conceptos que máis confusión xera na práctica da protección de datos. Emprégase a diario en informes, exportacións, contornos de probas de software e proxectos de análise, e confúndese con frecuencia coa anonimización. A diferenza entre ambas non é un matiz técnico: determina se o RGPD se aplica ou non a eses datos.
A distinción é clara na norma pero malinterprétase a miúdo. Os datos seudonimizados seguen sendo datos persoais: poden volver atribuírse a unha persoa utilizando información adicional, de modo que o RGPD aplícaselles por completo. Só os datos verdadeiramente anónimos —aqueles nos que a reidentificación é irreversible— quedan fóra do ámbito do RGPD. E lograr unha anonimización real é moito máis difícil do que adoita crerse.
En resumo
- A seudonimización (art. 4.5 RGPD) substitúe os identificadores por un seudónimo, pero mantén por separado a información que permite reidentificar á persoa.
- Os datos seudonimizados seguen sendo datos persoais e o RGPD aplícaselles na súa totalidade (considerando 26).
- A anonimización real é irreversible: cando se logra, os datos deixan de ser persoais e quedan fóra do ámbito do RGPD. É tecnicamente esixente e difícil de conseguir.
- A seudonimización é unha medida de seguridade reforzada (art. 32) e un exemplo de protección de datos desde o deseño (art. 25). Non exime do cumprimento, pero reduce o risco.
Que é a seudonimización segundo o RGPD (art. 4.5)
O RGPD define a seudonimización de forma expresa no seu artigo 4, apartado 5. Segundo ese precepto, a seudonimización é o tratamento de datos persoais de maneira tal que xa non poidan atribuírse a un interesado sen utilizar información adicional, sempre que dita información adicional figure por separado e estea suxeita a medidas técnicas e organizativas que garantan que os datos non se atribúen a unha persoa física identificada ou identificable.
A idea central da definición legal é que a seudonimización non rompe o vínculo entre o dato e a persoa: sepárao e protéxeo. Existe unha peza —a información adicional, habitualmente unha táboa de correspondencia ou unha clave— que permite desfacer o proceso e volver identificar a cada individuo. Mentres esa peza exista nalgún lugar, a reidentificación é posible.
Un exemplo cotián: unha empresa substitúe na súa base de datos de análise os nomes e DNI dos seus clientes por códigos (CLI-00817, CLI-00818…) e garda a táboa que asocia cada código coa persoa real nun ficheiro cifrado, con acceso restrinxido, nun servidor distinto. Os datos de análise están seudonimizados. Pero como a táboa de correspondencia existe, eses rexistros seguen referíndose a persoas identificables.
Que é a anonimización e por que é distinta
A anonimización persegue un obxectivo diferente: eliminar de forma irreversible toda posibilidade de vincular os datos cunha persoa concreta. Un dato verdadeiramente anónimo é aquel que xa non garda relación cunha persoa física identificada ou identificable, nin sequera utilizando medios adicionais razoables.
O RGPD aborda esta cuestión no seu considerando 26, que establece que os principios da protección de datos non se aplican á información anónima, é dicir, á información que non garda relación cunha persoa identificada ou identificable, nin aos datos convertidos en anónimos de forma que o interesado non sexa ou deixe de ser identificable. Dito doutro modo: cando a anonimización é real, eses datos deixan de ser datos persoais e saen do ámbito de aplicación do RGPD.
O mesmo considerando 26 introduce o criterio decisivo para valorar cando alguén é "identificable": deben terse en conta todos os medios que razoablemente poidan ser utilizados polo responsable ou por calquera outra persoa para identificar directa ou indirectamente á persoa, considerando factores obxectivos como o custo, o tempo necesario e a tecnoloxía dispoñible. Por iso a anonimización real é tan esixente: non abonda con borrar o nome; hai que garantir que ningunha combinación de datos restantes, cruzada con outras fontes razoablemente accesibles, permita volver identificar a alguén.
A diferenza clave: que datos seguen baixo o RGPD e cales non
Aquí está o punto que máis erros provoca. A consecuencia xurídica dunha e outra técnica é radicalmente distinta:
- Datos seudonimizados → seguen sendo datos persoais. O considerando 26 do RGPD é explícito: os datos persoais seudonimizados que poidan atribuírse a unha persoa física mediante a utilización de información adicional deben considerarse información sobre unha persoa física identificable. Por tanto, o RGPD aplícaselles na súa totalidade: base de lexitimación, deber de información, dereitos dos interesados, obriga de seguridade, notificación de brechas, etc.
- Datos verdadeiramente anónimos → fóra do RGPD. Se a anonimización é real e irreversible, eses datos deixan de ser datos persoais e non están suxeitos ao Regulamento (considerando 26). Agora ben, o mero feito de chamar "anónimo" a un conxunto de datos non o converte en tal: se existe calquera vía razoable de reidentificación, segue sendo dato persoal.
A fronteira non a marca a etiqueta que poñamos ao proceso, senón a reversibilidade real. Mentres exista —en poder de calquera, non só do responsable— un medio razoable para volver identificar á persoa, estamos ante datos persoais e o RGPD segue vixente.
Táboa comparativa: seudonimización fronte a anonimización
| Criterio | Seudonimización | Anonimización |
|---|---|---|
| Reversibilidade | Reversible coa información adicional | Irreversible (cando é real) |
| Segue sendo dato persoal? | Si, sempre | Non, deixa de selo |
| Aplica o RGPD? | Si, na súa totalidade | Non (considerando 26) |
| Base normativa | Art. 4.5 RGPD (definición) | Considerando 26 RGPD |
| Natureza xurídica | Medida de seguridade e de minimización | Vía para excluír datos do ámbito do RGPD |
| Utilidade do dato | Consérvase case íntegra | Redúcese (perda de granularidade) |
| Dificultade de execución | Moderada | Alta: garantir a irreversibilidade é esixente |
A seudonimización como medida de seguridade e de minimización
Aínda que os datos seudonimizados sigan baixo o RGPD, seudonimizar non é un esforzo estéril. Ao contrario: é unha das medidas técnicas que o propio Regulamento cita de forma expresa e que axuda a cumprir varias obrigas á vez.
Medida de seguridade do tratamento (art. 32)
O artigo 32 do RGPD, dedicado á seguridade do tratamento, menciona a seudonimización —xunto co cifrado— como un dos exemplos de medidas técnicas e organizativas apropiadas para garantir un nivel de seguridade adecuado ao risco. A súa lóxica é de redución de impacto: se un terceiro accede indebidamente a un conxunto de datos seudonimizados pero non dispón da táboa de correspondencia que se garda por separado, o dano potencial para as persoas é sensiblemente menor que se accedese aos datos completos.
Protección de datos desde o deseño (art. 25)
O artigo 25 do RGPD, sobre protección de datos desde o deseño e por defecto, cita tamén a seudonimización como exemplo concreto de medida que o responsable pode aplicar para incorporar os principios de protección de datos nos seus tratamentos desde o primeiro momento. Deseñar un sistema que traballe con identificadores seudonimizados en lugar de datos directos é unha forma práctica de aplicar este principio.
Apoio ao principio de minimización
A seudonimización contribúe igualmente ao principio de minimización de datos (art. 5.1.c RGPD): permite que moitas operacións —análise, estatística interna, desenvolvemento de software, informes— se realicen sen necesidade de manexar identificadores directos. O persoal que traballa con eses datos non necesita ver o nome real de cada persoa para cumprir a súa función, o que reduce a exposición.
"O erro máis frecuente que vemos non é técnico, é conceptual: crer que substituír un nome por un código pon os datos fóra da lei. Non é así. Se alguén, nalgún lugar, garda a chave para reverter o proceso, segues tratando datos persoais e respondes por eles. Seudonimizar protexe; anonimizar de verdade libera. Confundir ambas as cousas é asumir un risco que non se mediu."
Mario P. Talamillo · Socio director, Certix®
Casos de uso habituais
A seudonimización encaixa especialmente ben en escenarios onde se necesita traballar con datos reais sen expoñer a identidade directa das persoas:
- Contornos de desenvolvemento e probas de software. En lugar de verter datos reais de clientes nun contorno de test, seudonimízanse os identificadores para reducir o risco. A regra de ouro segue sendo non usar datos reais en probas cando sexa evitable; se se usan, a seudonimización é un mínimo.
- Análise e estatística interna. Departamentos que estudan comportamento, rendemento ou segmentación poden operar sobre identificadores seudonimizados sen acceder aos nomes reais.
- Investigación. Proxectos que tratan datos de participantes adoitan seudonimizar os rexistros e custodiar por separado a chave que permite reidentificar, con acceso moi restrinxido.
- Compartir datos con encargados do tratamento. Cando se traslada información a un provedor para unha tarefa concreta, seudonimizar reduce o volume de datos identificativos que este manexa.
- Redución do impacto de brechas. Un conxunto seudonimizado comprometido, sen a información adicional, expón moito menos que un con identificadores directos.
Técnicas de seudonimización máis comúns
Existen distintas formas de seudonimizar, con diferentes garantías. A grandes trazos, as máis utilizadas son:
- Substitución por táboa de correspondencia. Substitúese cada identificador por un código e gárdase por separado, cifrada, a táboa que asocia código e persoa. É reversible por definición mentres esa táboa exista.
- Tokenización. Os identificadores substitúense por tokens xerados e xestionados por un sistema que conserva a relación entre token e dato orixinal nun almacén protexido.
- Funcións hash con clave. Aplícase unha función criptográfica que transforma o identificador. A súa solidez depende da técnica concreta e da xestión da clave: sen as debidas cautelas, algúns hashes poden ser vulnerables a ataques de forza bruta ou de dicionario, polo que a súa idoneidade se valora caso a caso.
- Cifrado de identificadores. Os identificadores cífranse cunha clave que se custodia por separado. Quen non dispón da clave non pode reverter o proceso.
En todas elas, o elemento crítico non é só o algoritmo, senón como se protexe e se separa a información adicional (a táboa, o token, a clave). Se esa peza se garda mal —no mesmo sistema, sen control de accesos, sen cifrar—, a seudonimización perde boa parte do seu valor.
Erros comúns: cando se cre que seudonimizar é anonimizar
O malentendido máis estendido, e o de maiores consecuencias, é tratar os datos seudonimizados coma se fosen anónimos. De aí derívanse outros erros frecuentes:
| Erro | Por que é un problema |
|---|---|
| Chamar "anónimos" a datos seudonimizados | Asúmese erroneamente que quedan fóra do RGPD e deixan de aplicarse as súas garantías (información, dereitos, seguridade). |
| Gardar a táboa de correspondencia xunto aos datos | Rompe a esixencia do art. 4.5 de manter a información adicional por separado e protexida. A seudonimización perde eficacia. |
| Crer que abonda con borrar o nome | Combinacións de datos restantes (código postal, data, sexo, etc.) poden permitir reidentificar. A identificabilidade avalíase por todos os medios razoables (considerando 26). |
| Publicar como "anónimo" un conxunto reidentificable | Se existe calquera vía razoable de reidentificación, segue sendo dato persoal e a súa difusión é un tratamento suxeito ao RGPD. |
| Confundir seudonimización con cifrado | Son medidas distintas do art. 32 con finalidades diferentes; convén entender que achega cada unha e, con frecuencia, combinalas. |
Checklist práctico
Antes de dar por seudonimizado ou anonimizado un conxunto de datos, convén revisar estes puntos:
| ✓ | Comprobación | Referencia |
|---|---|---|
| □ | Determinar se o obxectivo é seudonimizar (reducir risco, seguir tratando) ou anonimizar (sacar do RGPD) | Art. 4.5 · Cons. 26 |
| □ | Manter a información adicional por separado, cifrada e con acceso restrinxido | Art. 4.5 RGPD |
| □ | Tratar os datos seudonimizados como datos persoais a todos os efectos do RGPD | Cons. 26 RGPD |
| □ | En anonimización, valorar a reidentificación por todos os medios razoables (cruce con outras fontes) | Cons. 26 RGPD |
| □ | Documentar a técnica empregada e a súa xustificación dentro das medidas de seguridade | Art. 32 RGPD |
| □ | Incorporar a seudonimización no deseño de novos sistemas e tratamentos | Art. 25 RGPD |
| □ | Revisar periodicamente se a técnica segue sendo adecuada fronte a novas capacidades de reidentificación | Art. 32 (avaliación continua baseada no risco) |
Seudonimización, anonimización e o resto do RGPD
Estas dúas técnicas non operan no baleiro: conéctanse co conxunto de obrigas do Regulamento. Se queres situalas no marco completo —principios do art. 5, bases de lexitimación, dereitos dos interesados, obrigas de seguridade e réxime sancionador—, podes consultar a nosa guía completa do RGPD, que desenvolve como encaixan a seguridade do tratamento (art. 32) e a protección de datos desde o deseño (art. 25) dentro do sistema xeral da norma.
A decisión de seudonimizar ou de intentar anonimizar, e a elección da técnica concreta, dependen do tratamento, do risco e da finalidade perseguida. Non é unha decisión meramente técnica: ten consecuencias xurídicas directas sobre se o RGPD segue aplicándose e sobre que obrigas asume a organización.
Preguntas frecuentes sobre seudonimización e anonimización
Os datos seudonimizados están fóra do RGPD?
Non. Os datos seudonimizados seguen sendo datos persoais e o RGPD aplícaselles na súa totalidade. O artigo 4.5 e o considerando 26 do RGPD aclaran que a información seudonimizada que poida atribuírse a unha persoa utilizando información adicional considérase información sobre unha persoa identificable. Só a anonimización real e irreversible deixa os datos fóra do ámbito do Regulamento.
Que diferenza hai entre seudonimización e anonimización?
A seudonimización substitúe os identificadores por un seudónimo pero conserva por separado a información adicional que permite reidentificar; por iso os datos seguen sendo persoais. A anonimización elimina de forma irreversible calquera posibilidade de reidentificación, de modo que os datos deixan de ser persoais e quedan fóra do RGPD (considerando 26). A anonimización real é tecnicamente esixente e difícil de lograr.
Seudonimizar é o mesmo que cifrar os datos?
Non son o mesmo, aínda que ambas son medidas de seguridade citadas no artigo 32 do RGPD. O cifrado transforma os datos cunha clave para facelos ilexibles a quen non a posúe. A seudonimización substitúe os identificadores directos por un seudónimo mantendo a utilidade do dato para o tratamento. A miúdo combínanse: seudonimízase o conxunto e cífrase a táboa de correspondencia que permite reverter o proceso.
Por que é útil a seudonimización se os datos seguen sendo persoais?
Porque reduce o risco para as persoas e axuda a cumprir varias obrigas do RGPD: é unha medida de seguridade expresamente citada no artigo 32, un exemplo de protección de datos desde o deseño do artigo 25 e unha técnica que apoia o principio de minimización. Aínda que non exime do cumprimento do RGPD, diminúe o impacto dunha posible brecha e reforza a posición do responsable.
Este contido é meramente orientativo e divulgativo; non constitúe en ningún caso asesoramento xurídico especializado. A aplicación da normativa a cada caso concreto require análise individualizada. Para avaliar se a túa organización debe seudonimizar ou anonimizar un tratamento concreto, e con que técnica, contacta cun especialista en protección de datos.