EDPB 2025: Guías de pseudonimización explicadas
Actualizado para 2026
Qué cambió en enero de 2025
El Comité Europeo de Protección de Datos publicó las Directrices 01/2025 en enero de 2025. El tema: la pseudonimización. El punto principal es breve. Los archivos pseudonimizados siguen siendo archivos personales. Permanecen dentro del alcance de la ley. Muchos equipos habían asumido lo contrario. Las nuevas directrices dicen que no.
Si su organización tiene la clave para revertir el proceso, las reglas aún se aplican.
El dominio de pseudonimización
Las directrices añaden una nueva idea: el dominio de pseudonimización. Este es el grupo de partes que puede vincular un elemento pseudonimizado con una persona real.
Cualquier parte de ese grupo está cubierta por la ley. Si tiene la clave — o puede deducirla — pertenece a ese grupo. Se aplican todas las reglas.
Dos términos. Una brecha.
Estos dos términos no son lo mismo.
La verdadera anonimización no puede revertirse. Ninguna parte puede hacerlo — ahora ni después. Los archivos verdaderamente anonimizados quedan fuera del alcance de la ley.
La pseudonimización puede revertirse. Una clave, una tabla de consulta o un archivo adicional puede restaurar los valores originales. Esos elementos permanecen bajo la ley para cualquier parte que tenga la clave.
Tres tipos de herramientas que producen resultados pseudonimizados — no anonimizados:
- Sistemas de tokens: reemplazan datos personales con tokens fijos y conservan una tabla de consulta
- Herramientas de cifrado: bloquean los valores de datos personales y retienen la clave de descifrado
- Herramientas de cifrado que conservan el formato
El hash es más cercano a la verdadera anonimización — pero solo para entradas difíciles de adivinar. Para nombres cortos o códigos de identificación comunes, los ataques de tabla arcoíris pueden revertir el hash. El EDPB señala este riesgo. El hash de valores fáciles de adivinar puede no contar como verdadera anonimización.
Pasos para los DPO
Revise cada conjunto de archivos etiquetado como "anonimizado". Pregunte: ¿puede alguna parte revertirlo? Si la respuesta es sí, está pseudonimizado. La ley aún se aplica.
Archivos que deben permanecer fuera del alcance de la ley — análisis, archivos, totales de investigación — necesitan pasos que no puedan revertirse. Opciones: redacción permanente, enmascaramiento con valores no recuperables o hash de entradas difíciles de adivinar. Anote el método y su razonamiento.
Archivos donde el proceso debe ser reversible — recontacto en investigación, registros de auditoría, conservación legal — deben etiquetarse como archivos personales pseudonimizados. Mantenga todos los deberes legales. Documente la custodia de claves usando las reglas de separación de claves del EDPB.
El marco de cinco métodos corresponde a esta división. Reemplazar, Enmascarar y Cifrar producen resultados pseudonimizados. Redactar y Hashear (solo entradas difíciles de adivinar) pueden alcanzar la verdadera anonimización, sujeto a revisión de completitud.
Verifique qué producen realmente sus herramientas. Un producto vendido como herramienta de "anonimización" puede producir elementos pseudonimizados si conserva alguna correspondencia o clave. Nuestra guía de cumplimiento RGPD cubre todas las reglas de clasificación. Nuestro resumen de cumplimiento de seguridad explica los controles técnicos que los DPO deben registrar. Para orientación sobre herramientas, vea nuestra guía de ajustes de anonimización y auditoría.