Anonimizar vs Seudonimizar: 20 M€ en Juego
El artículo 83 del RGPD fija multas máximas de 20 millones de euros o el 4 % de la facturación mundial anual. Una sola pregunta jurídica determina ese riesgo: ¿se aplica el reglamento a su conjunto de datos?
La anonimización elimina el ámbito de aplicación. La seudonimización no. Esa diferencia es enorme.
Las Dos Definiciones en Términos Claros
El considerando 26 establece el umbral de anonimización. Una persona debe ser «no identificada o no identificable». La prueba es amplia. Abarca todos los medios «razonablemente susceptibles de utilizarse». Eso incluye al responsable del tratamiento, a cualquier encargado y a cualquier tercero.
El artículo 4(5) define la seudonimización. Los datos se consideran seudonimizados cuando una clave puede revertirlos. Retire la clave y los datos permanecen. Esa información adicional debe conservarse por separado. No es anonimización.
Los datos seudonimizados siguen siendo datos personales. El reglamento se aplica en su totalidad. No existe exención del ámbito de aplicación. Punto final.
Lo que Cuesta una Etiqueta Errónea
Tratar un conjunto de datos seudonimizados como anónimos crea cinco problemas a la vez:
- Entradas del ROPA incorrectas en virtud del artículo 30
- Sin procedimiento de derechos del interesado para acceso, supresión o portabilidad
- Sin calendario de conservación — no existe ningún detonante de eliminación
- Sin garantías de transferencia para actividades transfronterizas
- Sin vía de supresión para solicitudes de derecho al olvido
Cada brecha es una infracción independiente. Las cinco pueden coexistir en un solo flujo de trabajo.
La Señal de Aplicación de 2025
En 2025, el EDPB realizó una acción de supervisión coordinada. El informe identificó un fallo recurrente: «técnicas de anonimización ineficientes utilizadas como alternativa a la supresión». Las autoridades de protección de datos auditan ahora la calidad de la anonimización, no solo si existe un paso de anonimización.
Un conjunto de datos tokenizado con una tabla de correspondencias está seudonimizado. No es anónimo. Tiene una clave. La clave puede revertirlo. Denominarlo anónimo es exactamente el fallo que señala el informe de 2025.
Elegir el Método Correcto
Anonimización real — fuera del ámbito de aplicación. Utilice la supresión definitiva. Los datos personales desaparecen sin enlace de retorno. También puede aplicar hash a valores de alta entropía sin ruta de preimagen. Documente la base. Ninguna obligación legal recae sobre el resultado.
Seudonimización — dentro del ámbito de aplicación. Utilice sustitución, enmascaramiento o cifrado. El reglamento se aplica en su totalidad. La seudonimización reduce el daño en caso de brecha. No reduce las obligaciones legales.
Reversibilidad controlada — investigación o auditoría. Utilice cifrado con claves en poder del cliente. La custodia de claves debe cumplir las Directrices 05/2022 del EDPB sobre separación de claves. Anote el dominio en la EIPD.
Un Caso Real
Una empresa vende registros de clientes «anonimizados» a investigadores. Aplica el método de supresión definitiva. Los datos personales han desaparecido. Sin tabla de tokens. Sin preimagen de hash. La reidentificación no tiene camino posible.
El DPO lo documenta en la EIPD. Método utilizado. Tipos de identificadores cubiertos. Por qué no puede deshacerse. Nivel de riesgo residual. El resultado queda fuera del ámbito de aplicación. Los derechos del interesado, los plazos de conservación y las normas de transferencia no se aplican a las copias de investigación.
El método coincide con la afirmación. Ese es el proceso correcto. Resiste una auditoría.
Por qué Documentar la Base es Importante
Una empresa no puede simplemente afirmar la anonimización. La afirmación debe estar respaldada por un registro. La EIPD debe mostrar cuatro cosas. Qué identificadores se cubrieron. Qué método se utilizó. Por qué la reidentificación no tiene camino. Cuál es el nivel de riesgo residual.
Sin ese registro, una auditoría trata el conjunto de datos como dentro del ámbito de aplicación. Se aplica el conjunto completo de obligaciones. La entrada del ROPA debe existir. Las garantías de transferencia deben existir. La vía de supresión debe existir. Ninguna obligación desaparece sin prueba.
Para saber cómo interactúan los derechos de supresión con los datos anonimizados, consulte Derecho de supresión del RGPD y orientaciones del EDPB 2025. Para las normas de transferencia al compartir registros transfronterizos, consulte Cumplimiento de transferencias y la multa de TikTok.