Dos palabras que no significan lo mismo
Si guardas la tabla de equivalencias, es seudonimizado, no anónimo.
El RGPD define la seudonimización en su artículo 4.5:
«El tratamiento de datos personales de manera tal que ya no puedan atribuirse a un interesado sin utilizar información adicional, siempre que dicha información adicional figure por separado y esté sujeta a medidas técnicas y organizativas destinadas a garantizar que los datos personales no se atribuyan a una persona física identificada o identificable.»
La anonimización no tiene artículo propio, pero el considerando 26 dice cuándo un dato deja de estar protegido: cuando es información anónima, que «no guarda relación con una persona física identificada o identificable»1. Y deja claro que los datos seudonimizados «deben considerarse información sobre una persona física identificable».
| Seudonimizado | Anónimo | |
|---|---|---|
| ¿Se puede saber quién es? | Sí, con la información adicional (la clave o la tabla de equivalencias) | No, con ningún medio razonable |
| ¿Se aplica el RGPD? | Sí | No |
| Para qué sirve | Trabajar con el documento reduciendo el riesgo, y poder volver a los datos reales | Publicar o compartir sin que nadie pueda llegar a las personas |
| Ejemplo | [NOMBRE 1] + tabla aparte | cifras agregadas, sin personas |
La Agencia Española de Protección de Datos y el Supervisor Europeo lo ponen como el primero de sus 10 malentendidos relacionados con la anonimización: seudonimizar no es anonimizar, y cifrar tampoco2.
¿Un documento tachado es anónimo?
Depende de quién lo mire. Tú, que guardas el original, siempre puedes saber quién era la persona tachada: para ti el documento sigue teniendo datos personales. La pregunta interesante es si lo son para quien lo recibe.
El Tribunal de Justicia de la Unión Europea respondió en su sentencia de 4 de septiembre de 2025 (asunto C‑413/23 P, SEPD contra la Junta Única de Resolución)3. El caso trataba de comentarios de accionistas del Banco Popular que se enviaron a una consultora con un código en lugar del nombre. Resolvió sobre el reglamento que aplican las instituciones de la UE, cuyas definiciones son las mismas que las del RGPD, y dijo en resumen:
- Unos datos seudonimizados no son necesariamente datos personales para todo el mundo. Si el destinatario no puede identificar a las personas con medios razonables, para él pueden no serlo.
- Para quien los seudonimizó y guarda la clave siguen siendo datos personales, con todas sus obligaciones, incluida la de informar a los interesados de a quién se comunican.
Traducido a un despacho: tachar bien un documento antes de enviarlo reduce mucho el riesgo, pero no te libra de tus obligaciones sobre él. Y para que sea anónimo para el destinatario, no basta con quitar el nombre si el resto del texto permite saber de quién se habla (ver qué datos personales hay que ocultar).
Qué propone el CEPD en 2026
El Comité Europeo de Protección de Datos (CEPD), que reúne a las autoridades de protección de datos de la UE, aprobó el 7 de julio de 2026 un borrador de Directrices 02/2026 sobre anonimización, en consulta pública hasta el 30 de octubre de 20264. Actualiza el dictamen de 2014 del antiguo Grupo del Artículo 29 y recoge la idea de la sentencia: el anonimato se valora desde el punto de vista de cada destinatario.
Propone tres pruebas. Si los datos pasan las tres, se pueden considerar anónimos:
Que no se pueda aislar a una persona: que no haya un registro, una fila o un párrafo que corresponda a alguien concreto y se pueda distinguir del resto.
Que no se pueda vincular: que no se puedan cruzar esos datos con otros (un registro público, una noticia, redes sociales) para llegar a la persona.
Que no se pueda deducir: que no se pueda inferir con suficiente seguridad un dato de alguien a partir del resto.
Es un borrador y puede cambiar. Antes, en enero de 2025, el CEPD había sacado a consulta sus Directrices 01/2025 sobre seudonimización5, que insisten en guardar la información que permite reidentificar separada de los datos seudonimizados.
El caso de la IA: pegar un documento en un asistente
La tabla se queda en tu equipo; al asistente solo le llegan las marcas.
Cada vez más profesionales pegan contratos o expedientes en ChatGPT, Claude o Copilot para resumirlos o revisarlos. Sustituir los datos por marcas antes de hacerlo es seudonimizar, y es una buena medida: el proveedor de la IA recibe «[NOMBRE 1] arrienda a [NOMBRE 2]» en lugar de los nombres.
Es lo que hace el texto para usar con IA de Copia limpia: cada dato revisado se cambia por una marca y el mismo dato lleva siempre la misma marca, para que la IA entienda el documento. La tabla de equivalencias se descarga aparte. Dos cosas que conviene tener presentes:
- La tabla es la «información adicional» del artículo 4.5: contiene los datos reales. Guárdala separada del texto y no la pegues nunca en la IA.
- Las marcas quitan los identificadores, no el contexto. Si el texto dice «la alcaldesa de un municipio de 300 habitantes», sigue siendo fácil saber de quién se habla.
Cuál necesitas
- Vas a publicar (un blog, una web, un repositorio, una presentación): necesitas anonimizar, y eso suele exigir quitar o generalizar también los datos indirectos.
- Vas a trabajar con el documento y volver a los datos reales (una revisión con IA, un informe para un perito, un caso para formación interna): seudonimizar es suficiente y más útil, siempre que guardes la clave aparte.
- Vas a enviarlo a alguien concreto: quita lo que esa persona no necesita ver. Para ti sigue siendo un tratamiento de datos personales.
Fuentes
- Reglamento (UE) 2016/679 (RGPD)art. 4.5; considerandos 26 y 28 · BOE, DOUE-L-2016-80807
- 10 malentendidos relacionados con la anonimizaciónAEPD y Supervisor Europeo de Protección de Datos · 2021
- Sentencia del Tribunal de Justicia de 4 de septiembre de 2025, SEPD / JURasunto C‑413/23 P · EUR-Lex, CELEX 62023CJ0413
- Guidelines 02/2026 on Anonymisation (borrador para consulta pública)CEPD · aprobado el 7 de julio de 2026 · en inglés
- Guidelines 01/2025 on Pseudonymisation (versión para consulta pública)CEPD · 16 de enero de 2025 · en inglés
Esta guía explica cómo funcionan los documentos y qué dicen las normas citadas; no es asesoramiento jurídico. Si tu caso tiene consecuencias legales, consúltalo con tu delegado de protección de datos o con un abogado.