Anonimización vs pseudonimización segundo o RXPD: diferenzas, usos e riscos

Anonimización e pseudonimización son dous conceptos que o RXPD distingue con precisión cirúrxica, pero que a maioría das empresas seguen a tratar como sinónimos. O erro non é menor: confundilos determina se un documento segue suxeito ao RXPD ou queda fóra do seu ámbito, se podes cedelo sen consentimento ou se te expós a unha sanción da AEPD. Nesta guía debullamos as diferenzas legais, técnicas e prácticas, con exemplos concretos de cando usar cada unha.

Que di exactamente o RXPD

O Regulamento xeral de protección de datos define ambos os conceptos no seu artigo 4:

• Pseudonimización (art. 4.5): tratamento de datos persoais de maneira tal que xa non poidan atribuírse a un interesado sen utilizar información adicional, sempre que a devandita información adicional figure por separado e estea suxeita a medidas técnicas e organizativas destinadas a garantir que os datos persoais non se atribúan a unha persoa física identificada ou identificable.
• Anonimización (considerando 26): exclúese do ámbito do RXPD a información que non garda relación cunha persoa física identificada ou identificable, nin os datos convertidos en anónimos de forma que o interesado non sexa identificable.

Traducido á linguaxe dun responsable de cumprimento: a pseudonimización é reversible; a anonimización non.

A diferenza fundamental nunha frase

Se existe nalgún sitio —aínda que sexa baixo sete chaves— unha táboa, un ficheiro, un algoritmo ou calquera mecanismo que permita recuperar a identidade orixinal da persoa, o dato non está anonimizado, está pseudonimizado, e segue a estar suxeito ao RXPD.

Isto ten consecuencias directas:

• Os datos pseudonimizados requiren base legal para tratarse, cederse ou transferirse.
• Os datos anonimizados non requiren base legal porque deixan de ser datos persoais.
• Os datos pseudonimizados entran no cómputo dunha violación de seguridade se se perden.
• Os datos anonimizados, ao non seren datos persoais, non xeran obriga de notificación ante a AEPD.

Exemplos prácticos

Exemplo 1 — Nómina compartida nunha auditoría

Un departamento de RRHH envíalle ao auditor as nóminas do persoal.

• Pseudonimización: substitúen o nome por un código interno (EMP-001, EMP-002…). O ficheiro de correspondencia queda en poder do responsable de RRHH. Aínda que o auditor quixese, non podería identificar cada empregado; pero a empresa si, e polo tanto os datos seguen a ser persoais. Base legal: interese lexítimo ou contrato de encargo de tratamento co auditor.
• Anonimización: elimínanse todos os identificadores directos e indirectos (nome, DNI, categoría profesional moi específica, antigüidade exacta, data de nacemento, código postal) de forma que nin sequera a empresa poida reconstruír a identidade a partir do documento compartido. Non require base legal adicional porque xa non son datos persoais.

Exemplo 2 — Investigación médica

Un hospital quere cederlle historiais a un grupo universitario para estudar a evolución dunha patoloxía.

• Pseudonimización: substitúense o nome e o DNI do paciente por un código aleatorio. O hospital mantén a táboa de correspondencia para poder contactar co paciente se aparecen achados clinicamente relevantes. Os datos seguen a ser persoais. Base legal: consentimento informado ou lexitimación por interese público en investigación.
• Anonimización: elimínanse todos os datos que permitan reidentificar, incluídas as datas exactas (convértense en intervalos como “primeiro trimestre 2025”), os códigos postais (agréganse a provincia) e os diagnósticos moi raros que por si mesmos identifican. Deixa de ser dato persoal. Os investigadores poden usalo libremente.

Exemplo 3 — Publicación dunha sentenza

Un xulgado publica unha resolución nun buscador xurídico.

• Pseudonimización: substitúen “Juan Pérez García” por “J.P.G.”. Incorrecto: se o caso é notorio ou se se coñecen o xulgado, a data e a materia, as iniciais son suficientes para reidentificar.
• Anonimización: elimínanse tamén os datos de contexto (localidade concreta, data exacta substituída por mes e ano, posto específico do demandado, empresa concreta). Só así o documento deixa de permitir a identificación.

Cando usar pseudonimización e cando anonimización

A elección non é arbitraria. Depende dunha pregunta clave: necesitas poder volver identificar a persoa no futuro?

• Se a resposta é si (pode haber actualizacións, reclamacións, dereito de supresión, seguimento lonxitudinal en investigación), a técnica correcta é a pseudonimización, acompañada da base legal que corresponda.
• Se a resposta é non (auditorías, informes estatísticos, publicacións oficiais, datos de adestramento para modelos), a técnica correcta é a anonimización, que ademais te libera do RXPD para ese tratamento.

A AEPD insistiu en que escoller pseudonimización cando abondaba con anonimización é unha mala práctica: multiplica innecesariamente as obrigas da organización e o risco de fuga de datos.

O test de reidentificación: cando un dato está realmente anonimizado

O considerando 26 do RXPD fixa o estándar: un dato está anonimizado cando non é razoablemente probable que se poida reidentificar a persoa usando “todos os medios que razoablemente poidan ser utilizados” polo responsable ou por calquera outra persoa.

Na práctica, a AEPD aplica tres tests:

1. Singularización: podo illar un individuo no conxunto de datos? Se hai un único rexistro con certas características, a persoa é identificable por esa unicidade.
2. Vinculabilidade: podo unir dous ou máis rexistros referidos á mesma persoa ou grupo? Se o cruzamento é posible, os datos non son anónimos.
3. Inferencia: podo deducir con alta probabilidade o valor dun atributo a partir doutros atributos? Se é posible, hai reidentificación por inferencia.

Se o dato supera os tres tests, pode considerarse anonimizado para os efectos do RXPD. Se falla nalgún, segue a ser dato persoal.

Erros frecuentes que a AEPD sanciona

Erro 1 — Riscar só o nome. Na maioría dos documentos, o resto do contexto (cargo, empresa, datas, localidade) permite reidentificar cun simple cruzamento en redes sociais ou rexistros públicos.

Erro 2 — Usar hash sen sal. Substituír un DNI polo seu hash SHA-256 sen sal non é anonimización: quen dispoña do universo de DNI españois pode recalcular os hashes e reverter a transformación en minutos.

Erro 3 — Chamarlle “anonimización” á pseudonimización. Na documentación interna, nas políticas de privacidade e nas respostas a exercicios de dereitos, chamarlle anonimización ao que en realidade é pseudonimización é unha infracción do principio de transparencia.

Erro 4 — Non avaliar o risco contextualmente. Un conxunto de datos pode ser anónimo nun contexto e non noutro. Publicar un informe agregado de baixas laborais nunha empresa de 5.000 empregados é anonimización; facelo nunha empresa de 12 empregados, non.

Preguntas frecuentes

Podo desanonimizar un dato que xa anonimicei correctamente?

Non, por definición. Se podes desanonimizalo, nunca estivo anonimizado: estaba pseudonimizado. Se necesitas trazabilidade, usa a pseudonimización desde o principio.

A pseudonimización serve para reducir a gravidade dunha violación de seguridade?

Si. O RXPD considera a pseudonimización unha medida técnica que reduce o risco. Unha fuga de datos pseudonimizados na que o ficheiro de correspondencia estea seguro pode non requirir notificación aos afectados. Unha fuga de datos en claro, si.

A anonimización exime de rexistrar a actividade de tratamento?

O propio proceso de anonimización é un tratamento de datos persoais e debe constar no rexistro de actividades. O que queda fóra do RXPD é o tratamento posterior dos datos xa anonimizados.

Necesito o consentimento das persoas para anonimizar os seus datos?

Non, porque a anonimización realízase sobre datos que xa tes lexitimamente. O que cambia é que, unha vez anonimizados, podes usalos para finalidades distintas sen as limitacións do RXPD.

Conclusión

Confundir anonimización con pseudonimización é o erro conceptual máis estendido e máis caro en materia de protección de datos. Antes de decidir como tratar un documento, pregúntate se necesitas manter a posibilidade de reidentificación. Se non, a anonimización é sempre preferible: aforrache obrigas, reduce riscos e encaixa co principio de minimización do RXPD.

Se necesitas ferramentas que apliquen anonimización real —irreversible, con log de auditoría e recoñecemento de identificadores españois— proba anonimiza.do gratis. Está deseñado especificamente para que as empresas españolas cumpran o RXPD en documentos de calquera tipo sen perder horas de revisión manual.