SeudonimaSeudonimización y anonimización: qué dicen el RGPD y la AEPD
Esto no es asesoramiento jurídico. Resume textos oficiales para que puedas leerlos.
La definición
El artículo 4.5 del RGPD define la seudonimización así:
el tratamiento de datos personales de manera tal que ya no puedan atribuirse a un interesado sin utilizar información adicional, siempre que dicha información adicional figure por separado y esté sujeta a medidas técnicas y organizativas destinadas a garantizar que los datos personales no se atribuyan a una persona física identificada o identificable.
Fuente: Reglamento (UE) 2016/679, texto en EUR-Lex.
Sigue siendo un dato personal
El considerando 26 dice que los datos seudonimizados, si se pueden atribuir a una persona con información adicional, son información sobre una persona identificable. El dato anónimo es otro caso: no guarda relación con una persona identificada o identificable, y el Reglamento no se le aplica.
El considerando 28 añade que la seudonimización puede reducir riesgos y ayudar a cumplir obligaciones. No sustituye al resto de medidas.
El considerando 29 pide que la información adicional se mantenga por separado, con medidas técnicas y organizativas.
Lo que dice la AEPD
La Agencia Española de Protección de Datos lo resume en su blog: el conjunto anonimizado queda fuera del RGPD. El conjunto seudonimizado y la información adicional que permite revertirlo siguen dentro.
Fuente: AEPD, «Anonimización y seudonimización», 6 de octubre de 2021.
Lo que dice el CEPD
El Comité Europeo de Protección de Datos adoptó el 16 de enero de 2025 las Directrices 01/2025 sobre seudonimización. Aclara dos cosas: el dato seudonimizado sigue siendo personal si se puede atribuir a una persona con información adicional, aunque esa información la tenga otro. Y puede reducir riesgos, sin dispensar del resto del RGPD.
Esas directrices se sometieron a consulta pública hasta el 28 de febrero de 2025. Aquí no damos por cerrada una versión posterior.
Fuentes: nota del CEPD del 17 de enero de 2025 y Directrices 01/2025 (PDF).
Qué no dice esto
Seudonimizar no equivale a anonimizar. Tampoco demuestra, por sí solo, que un tratamiento cumpla el RGPD.
Volver a Seudonima. Siguiente guía: Cómo una gestoría puede usar Claude sin exponer datos de clientes.