Guía completa sobre seudonimización de datos: qué es y cómo aplicarla

La seudonimización es una de las técnicas más recomendadas por el Reglamento General de Protección de Datos (RGPD) para reducir el riesgo asociado al tratamiento de datos personales. Sin embargo, se confunde con frecuencia con la anonimización y esa confusión puede acabar en sanciones. En esta guía verás qué es, en qué se diferencia, cómo aplicarla y cuándo conviene ir un paso más allá.

¿Qué es la seudonimización?

El artículo 4.5 del RGPD define la seudonimización como el tratamiento de datos personales de manera tal que ya no puedan atribuirse a un interesado sin utilizar información adicional, siempre que esa información se conserve por separado y esté sujeta a medidas técnicas y organizativas para impedir la reidentificación.

En la práctica: sustituyes identificadores directos (nombre, DNI, correo, matrícula) por un token, código o hash, y guardas la tabla de correspondencias en un lugar seguro y separado.

Seudonimización vs. anonimización

• Seudonimización: reversible. Sigue siendo dato personal. Sigue aplicando el RGPD.
• Anonimización: irreversible. Deja de ser dato personal. Queda fuera del RGPD (Considerando 26).

Esta distinción es crítica: muchas organizaciones creen que están anonimizando cuando en realidad están seudonimizando, y por tanto siguen obligadas a cumplir todo el reglamento (base legal, información al interesado, derechos ARSOPL, medidas de seguridad, brechas, etc.).

¿Por qué el RGPD considera los datos seudonimizados como dato personal?

Porque existe una clave que permite volver a asociar el token con la persona. Aunque esa clave la custodie otra entidad, el riesgo de reidentificación no desaparece. Por eso el RGPD trata la seudonimización como una medida de seguridad, no como una vía para dejar de aplicar la norma.

Aun así, es una medida muy valorada: aparece explícitamente en los artículos 25 (privacidad desde el diseño), 32 (seguridad del tratamiento) y 89 (fines de investigación y estadística).

Técnicas habituales de seudonimización

1. Tokenización

Cada identificador se sustituye por un token aleatorio sin significado. La tabla token↔valor real se guarda cifrada en un almacén separado con control de acceso.

2. Hashing con sal (keyed hash)

Se aplica una función hash (SHA-256, HMAC) con una clave secreta. Sin la clave, no se puede recalcular el hash. Útil para comparar registros sin exponer el original.

3. Cifrado reversible

El identificador se cifra con AES u otro algoritmo simétrico. Requiere gestión estricta de claves.

4. Enmascaramiento parcial

Se conserva parte del dato (por ejemplo, últimos 4 dígitos de un DNI) para trazabilidad interna, ocultando el resto.

Cuándo usar seudonimización y cuándo anonimizar

Escenario	Técnica recomendada
Entornos de desarrollo y test	Seudonimización
Análisis interno con posibilidad de reidentificar	Seudonimización
Publicación en portal de transparencia u open data	Anonimización
Compartir con terceros sin acuerdo de tratamiento	Anonimización
Entrenamiento de modelos IA con datos sensibles	Seudonimización + evaluación de riesgo, o anonimización

Buenas prácticas al seudonimizar

1. Separa la clave: quien procesa los datos no debe tener acceso a la tabla de correspondencias.
2. Cifra el almacén de claves y limita el acceso a un grupo reducido con MFA.
3. Rota las claves periódicamente y ante cualquier incidente.
4. Documenta el proceso en el registro de actividades (art. 30 RGPD).
5. Evalúa cuasi-identificadores: fecha de nacimiento, código postal, sexo pueden reidentificar aunque hayas seudonimizado el nombre.
6. Revisa periódicamente si la seudonimización sigue siendo suficiente o conviene pasar a anonimización.

Errores frecuentes

• Guardar la tabla token↔dato en la misma base de datos que los datos seudonimizados.
• Usar hashes sin sal o sin clave: el DNI hasheado se puede recuperar por fuerza bruta en segundos.
• Publicar datos "seudonimizados" en un portal público creyendo que ya cumples con transparencia sin riesgo.
• Olvidar los cuasi-identificadores y metadatos.
• No informar al interesado ni establecer base legal porque "ya no hay datos personales".

Cómo lo aborda anonimIA

anonimIA gestiona tanto la seudonimización como la anonimización de documentos. Puedes elegir sustituir identificadores por tokens reversibles cuando necesites trazabilidad interna (por ejemplo, en flujos de revisión o expedientes en tramitación), y aplicar una anonimización irreversible cuando el documento vaya a publicarse o compartirse fuera. El paso entre ambos estados queda registrado con trazabilidad completa y cifrado en tránsito y en reposo.

Preguntas frecuentes sobre seudonimización

¿Los datos seudonimizados se pueden publicar libremente?

No. Siguen siendo datos personales y su publicación requiere base legal, información al interesado y medidas de seguridad. Para publicar sin restricciones hay que anonimizar de forma irreversible.

¿La seudonimización elimina la obligación de notificar brechas?

No, pero reduce el riesgo. Una brecha que afecte solo a datos seudonimizados y en la que la clave no se vea comprometida puede no requerir comunicación al interesado (art. 34.3.a RGPD).

¿Puedo usar la seudonimización para entrenar modelos de IA?

Sí, pero con evaluación de impacto (DPIA) si el tratamiento es a gran escala o afecta a categorías especiales de datos. Muchas veces conviene ir un paso más allá y anonimizar el dataset de entrenamiento.

Conclusión

La seudonimización es una herramienta esencial para reducir riesgo sin perder utilidad interna del dato, pero no libera del cumplimiento del RGPD. Combínala con anonimización allí donde la reidentificación deba quedar descartada, y documenta cada paso.