La seudonimización es uno de los conceptos que más confusión genera en la práctica de la protección de datos. Se emplea a diario en informes, exportaciones, entornos de pruebas de software y proyectos de análisis, y se confunde con frecuencia con la anonimización. La diferencia entre ambas no es un matiz técnico: determina si el RGPD se aplica o no a esos datos.
La distinción es clara en la norma pero se malinterpreta a menudo. Los datos seudonimizados siguen siendo datos personales: pueden volver a atribuirse a una persona utilizando información adicional, de modo que el RGPD se les aplica por completo. Solo los datos verdaderamente anónimos —aquellos en los que la reidentificación es irreversible— quedan fuera del ámbito del RGPD. Y lograr una anonimización real es mucho más difícil de lo que suele creerse.
En resumen
- La seudonimización (art. 4.5 RGPD) sustituye los identificadores por un seudónimo, pero mantiene por separado la información que permite reidentificar a la persona.
- Los datos seudonimizados siguen siendo datos personales y el RGPD se les aplica en su totalidad (considerando 26).
- La anonimización real es irreversible: cuando se logra, los datos dejan de ser personales y quedan fuera del ámbito del RGPD. Es técnicamente exigente y difícil de conseguir.
- La seudonimización es una medida de seguridad reforzada (art. 32) y un ejemplo de protección de datos desde el diseño (art. 25). No exime del cumplimiento, pero reduce el riesgo.
Qué es la seudonimización según el RGPD (art. 4.5)
El RGPD define la seudonimización de forma expresa en su artículo 4, apartado 5. Según ese precepto, la seudonimización es el tratamiento de datos personales de manera tal que ya no puedan atribuirse a un interesado sin utilizar información adicional, siempre que dicha información adicional figure por separado y esté sujeta a medidas técnicas y organizativas que garanticen que los datos no se atribuyen a una persona física identificada o identificable.
La idea central de la definición legal es que la seudonimización no rompe el vínculo entre el dato y la persona: lo separa y lo protege. Existe una pieza —la información adicional, habitualmente una tabla de correspondencia o una clave— que permite deshacer el proceso y volver a identificar a cada individuo. Mientras esa pieza exista en algún lugar, la reidentificación es posible.
Un ejemplo cotidiano: una empresa sustituye en su base de datos de análisis los nombres y DNI de sus clientes por códigos (CLI-00817, CLI-00818…) y guarda la tabla que asocia cada código con la persona real en un fichero cifrado, con acceso restringido, en un servidor distinto. Los datos de análisis están seudonimizados. Pero como la tabla de correspondencia existe, esos registros siguen refiriéndose a personas identificables.
Qué es la anonimización y por qué es distinta
La anonimización persigue un objetivo diferente: eliminar de forma irreversible toda posibilidad de vincular los datos con una persona concreta. Un dato verdaderamente anónimo es aquel que ya no guarda relación con una persona física identificada o identificable, ni siquiera utilizando medios adicionales razonables.
El RGPD aborda esta cuestión en su considerando 26, que establece que los principios de la protección de datos no se aplican a la información anónima, es decir, a la información que no guarda relación con una persona identificada o identificable, ni a los datos convertidos en anónimos de forma que el interesado no sea o deje de ser identificable. Dicho de otro modo: cuando la anonimización es real, esos datos dejan de ser datos personales y salen del ámbito de aplicación del RGPD.
El mismo considerando 26 introduce el criterio decisivo para valorar cuándo alguien es "identificable": deben tenerse en cuenta todos los medios que razonablemente puedan ser utilizados por el responsable o por cualquier otra persona para identificar directa o indirectamente a la persona, considerando factores objetivos como el coste, el tiempo necesario y la tecnología disponible. Por eso la anonimización real es tan exigente: no basta con borrar el nombre; hay que garantizar que ninguna combinación de datos restantes, cruzada con otras fuentes razonablemente accesibles, permita volver a identificar a alguien.
La diferencia clave: qué datos siguen bajo el RGPD y cuáles no
Aquí está el punto que más errores provoca. La consecuencia jurídica de una y otra técnica es radicalmente distinta:
- Datos seudonimizados → siguen siendo datos personales. El considerando 26 del RGPD es explícito: los datos personales seudonimizados que puedan atribuirse a una persona física mediante la utilización de información adicional deben considerarse información sobre una persona física identificable. Por tanto, el RGPD se les aplica en su totalidad: base de legitimación, deber de información, derechos de los interesados, obligación de seguridad, notificación de brechas, etc.
- Datos verdaderamente anónimos → fuera del RGPD. Si la anonimización es real e irreversible, esos datos dejan de ser datos personales y no están sujetos al Reglamento (considerando 26). Ahora bien, el mero hecho de llamar "anónimo" a un conjunto de datos no lo convierte en tal: si existe cualquier vía razonable de reidentificación, sigue siendo dato personal.
La frontera no la marca la etiqueta que pongamos al proceso, sino la reversibilidad real. Mientras exista —en poder de cualquiera, no solo del responsable— un medio razonable para volver a identificar a la persona, estamos ante datos personales y el RGPD sigue vigente.
Tabla comparativa: seudonimización frente a anonimización
| Criterio | Seudonimización | Anonimización |
|---|---|---|
| Reversibilidad | Reversible con la información adicional | Irreversible (cuando es real) |
| ¿Sigue siendo dato personal? | Sí, siempre | No, deja de serlo |
| ¿Aplica el RGPD? | Sí, en su totalidad | No (considerando 26) |
| Base normativa | Art. 4.5 RGPD (definición) | Considerando 26 RGPD |
| Naturaleza jurídica | Medida de seguridad y de minimización | Vía para excluir datos del ámbito del RGPD |
| Utilidad del dato | Se conserva casi íntegra | Se reduce (pérdida de granularidad) |
| Dificultad de ejecución | Moderada | Alta: garantizar la irreversibilidad es exigente |
La seudonimización como medida de seguridad y de minimización
Aunque los datos seudonimizados sigan bajo el RGPD, seudonimizar no es un esfuerzo estéril. Al contrario: es una de las medidas técnicas que el propio Reglamento cita de forma expresa y que ayuda a cumplir varias obligaciones a la vez.
Medida de seguridad del tratamiento (art. 32)
El artículo 32 del RGPD, dedicado a la seguridad del tratamiento, menciona la seudonimización —junto con el cifrado— como uno de los ejemplos de medidas técnicas y organizativas apropiadas para garantizar un nivel de seguridad adecuado al riesgo. Su lógica es de reducción de impacto: si un tercero accede indebidamente a un conjunto de datos seudonimizados pero no dispone de la tabla de correspondencia que se guarda por separado, el daño potencial para las personas es sensiblemente menor que si accediera a los datos completos.
Protección de datos desde el diseño (art. 25)
El artículo 25 del RGPD, sobre protección de datos desde el diseño y por defecto, cita también la seudonimización como ejemplo concreto de medida que el responsable puede aplicar para incorporar los principios de protección de datos en sus tratamientos desde el primer momento. Diseñar un sistema que trabaje con identificadores seudonimizados en lugar de datos directos es una forma práctica de aplicar este principio.
Apoyo al principio de minimización
La seudonimización contribuye igualmente al principio de minimización de datos (art. 5.1.c RGPD): permite que muchas operaciones —análisis, estadística interna, desarrollo de software, informes— se realicen sin necesidad de manejar identificadores directos. El personal que trabaja con esos datos no necesita ver el nombre real de cada persona para cumplir su función, lo que reduce la exposición.
"El error más frecuente que vemos no es técnico, es conceptual: creer que sustituir un nombre por un código pone los datos fuera de la ley. No es así. Si alguien, en algún lugar, guarda la llave para revertir el proceso, sigues tratando datos personales y respondes por ellos. Seudonimizar protege; anonimizar de verdad libera. Confundir ambas cosas es asumir un riesgo que no se ha medido."
Mario P. Talamillo · Socio director, Certix®
Casos de uso habituales
La seudonimización encaja especialmente bien en escenarios donde se necesita trabajar con datos reales sin exponer la identidad directa de las personas:
- Entornos de desarrollo y pruebas de software. En lugar de volcar datos reales de clientes en un entorno de test, se seudonimizan los identificadores para reducir el riesgo. La regla de oro sigue siendo no usar datos reales en pruebas cuando sea evitable; si se usan, la seudonimización es un mínimo.
- Análisis y estadística interna. Departamentos que estudian comportamiento, rendimiento o segmentación pueden operar sobre identificadores seudonimizados sin acceder a los nombres reales.
- Investigación. Proyectos que tratan datos de participantes suelen seudonimizar los registros y custodiar por separado la clave que permite reidentificar, con acceso muy restringido.
- Compartir datos con encargados del tratamiento. Cuando se traslada información a un proveedor para una tarea concreta, seudonimizar reduce el volumen de datos identificativos que este maneja.
- Reducción del impacto de brechas. Un conjunto seudonimizado comprometido, sin la información adicional, expone mucho menos que uno con identificadores directos.
Técnicas de seudonimización más comunes
Existen distintas formas de seudonimizar, con diferentes garantías. A grandes rasgos, las más utilizadas son:
- Sustitución por tabla de correspondencia. Se reemplaza cada identificador por un código y se guarda por separado, cifrada, la tabla que asocia código y persona. Es reversible por definición mientras esa tabla exista.
- Tokenización. Los identificadores se sustituyen por tokens generados y gestionados por un sistema que conserva la relación entre token y dato original en un almacén protegido.
- Funciones hash con clave. Se aplica una función criptográfica que transforma el identificador. Su solidez depende de la técnica concreta y de la gestión de la clave: sin las debidas cautelas, algunos hashes pueden ser vulnerables a ataques de fuerza bruta o de diccionario, por lo que su idoneidad se valora caso a caso.
- Cifrado de identificadores. Los identificadores se cifran con una clave que se custodia por separado. Quien no dispone de la clave no puede revertir el proceso.
En todas ellas, el elemento crítico no es solo el algoritmo, sino cómo se protege y se separa la información adicional (la tabla, el token, la clave). Si esa pieza se guarda mal —en el mismo sistema, sin control de accesos, sin cifrar—, la seudonimización pierde buena parte de su valor.
Errores comunes: cuando se cree que seudonimizar es anonimizar
El malentendido más extendido, y el de mayores consecuencias, es tratar los datos seudonimizados como si fueran anónimos. De ahí se derivan otros errores frecuentes:
| Error | Por qué es un problema |
|---|---|
| Llamar "anónimos" a datos seudonimizados | Se asume erróneamente que quedan fuera del RGPD y se dejan de aplicar sus garantías (información, derechos, seguridad). |
| Guardar la tabla de correspondencia junto a los datos | Rompe la exigencia del art. 4.5 de mantener la información adicional por separado y protegida. La seudonimización pierde eficacia. |
| Creer que basta con borrar el nombre | Combinaciones de datos restantes (código postal, fecha, sexo, etc.) pueden permitir reidentificar. La identificabilidad se evalúa por todos los medios razonables (considerando 26). |
| Publicar como "anónimo" un conjunto reidentificable | Si existe cualquier vía razonable de reidentificación, sigue siendo dato personal y su difusión es un tratamiento sujeto al RGPD. |
| Confundir seudonimización con cifrado | Son medidas distintas del art. 32 con finalidades diferentes; conviene entender qué aporta cada una y, con frecuencia, combinarlas. |
Checklist práctico
Antes de dar por seudonimizado o anonimizado un conjunto de datos, conviene revisar estos puntos:
| ✓ | Comprobación | Referencia |
|---|---|---|
| □ | Determinar si el objetivo es seudonimizar (reducir riesgo, seguir tratando) o anonimizar (sacar del RGPD) | Art. 4.5 · Cons. 26 |
| □ | Mantener la información adicional por separado, cifrada y con acceso restringido | Art. 4.5 RGPD |
| □ | Tratar los datos seudonimizados como datos personales a todos los efectos del RGPD | Cons. 26 RGPD |
| □ | En anonimización, valorar la reidentificación por todos los medios razonables (cruce con otras fuentes) | Cons. 26 RGPD |
| □ | Documentar la técnica empleada y su justificación dentro de las medidas de seguridad | Art. 32 RGPD |
| □ | Incorporar la seudonimización en el diseño de nuevos sistemas y tratamientos | Art. 25 RGPD |
| □ | Revisar periódicamente si la técnica sigue siendo adecuada frente a nuevas capacidades de reidentificación | Art. 32 (evaluación continua basada en el riesgo) |
Seudonimización, anonimización y el resto del RGPD
Estas dos técnicas no operan en el vacío: se conectan con el conjunto de obligaciones del Reglamento. Si quieres situarlas en el marco completo —principios del art. 5, bases de legitimación, derechos de los interesados, obligaciones de seguridad y régimen sancionador—, puedes consultar nuestra guía completa del RGPD, que desarrolla cómo encajan la seguridad del tratamiento (art. 32) y la protección de datos desde el diseño (art. 25) dentro del sistema general de la norma.
La decisión de seudonimizar o de intentar anonimizar, y la elección de la técnica concreta, dependen del tratamiento, del riesgo y de la finalidad perseguida. No es una decisión meramente técnica: tiene consecuencias jurídicas directas sobre si el RGPD sigue aplicándose y sobre qué obligaciones asume la organización.
Preguntas frecuentes sobre seudonimización y anonimización
¿Los datos seudonimizados están fuera del RGPD?
No. Los datos seudonimizados siguen siendo datos personales y el RGPD se les aplica en su totalidad. El artículo 4.5 y el considerando 26 del RGPD aclaran que la información seudonimizada que pueda atribuirse a una persona utilizando información adicional se considera información sobre una persona identificable. Solo la anonimización real e irreversible deja los datos fuera del ámbito del Reglamento.
¿Qué diferencia hay entre seudonimización y anonimización?
La seudonimización sustituye los identificadores por un seudónimo pero conserva por separado la información adicional que permite reidentificar; por eso los datos siguen siendo personales. La anonimización elimina de forma irreversible cualquier posibilidad de reidentificación, de modo que los datos dejan de ser personales y quedan fuera del RGPD (considerando 26). La anonimización real es técnicamente exigente y difícil de lograr.
¿Seudonimizar es lo mismo que cifrar los datos?
No son lo mismo, aunque ambas son medidas de seguridad citadas en el artículo 32 del RGPD. El cifrado transforma los datos con una clave para hacerlos ilegibles a quien no la posee. La seudonimización sustituye los identificadores directos por un seudónimo manteniendo la utilidad del dato para el tratamiento. A menudo se combinan: se seudonimiza el conjunto y se cifra la tabla de correspondencia que permite revertir el proceso.
¿Por qué es útil la seudonimización si los datos siguen siendo personales?
Porque reduce el riesgo para las personas y ayuda a cumplir varias obligaciones del RGPD: es una medida de seguridad expresamente citada en el artículo 32, un ejemplo de protección de datos desde el diseño del artículo 25 y una técnica que apoya el principio de minimización. Aunque no exime del cumplimiento del RGPD, disminuye el impacto de una posible brecha y refuerza la posición del responsable.
Este contenido es meramente orientativo y divulgativo; no constituye en ningún caso asesoramiento jurídico especializado. La aplicación de la normativa a cada caso concreto requiere análisis individualizado. Para evaluar si tu organización debe seudonimizar o anonimizar un tratamiento concreto, y con qué técnica, contacta con un especialista en protección de datos.