Guía práctica · RGPD
Más allá del RGPD: ePrivacy, CCPA y qué significa anonimizar en cada marco
Cómo tratan la anonimización el RGPD, la Directiva ePrivacy y la CCPA/CPRA de California, y qué implica para organizaciones que operan en varios países.
Una organización que publica documentos, atiende clientes en varios países o comparte datos con proveedores fuera de la UE se mueve en más de un marco legal a la vez. La anonimización no se define igual en todos.
RGPD (Unión Europea)
El considerando 26 del RGPD deja fuera de su ámbito la información anónima: aquella que no guarda relación con una persona identificada o identificable, teniendo en cuenta todos los medios que razonablemente puedan usarse para reidentificarla. La seudonimización, en cambio, sigue dentro del reglamento. En España se completa con la LOPDGDD, cuya disposición adicional séptima regula cómo identificar a las personas en publicaciones y notificaciones por anuncios.
Directiva ePrivacy
Regula las comunicaciones electrónicas y el acceso a información almacenada en el dispositivo del usuario: cookies, identificadores, datos de tráfico y localización. Su relación con la anonimización es distinta: exige consentimiento previo para almacenar o acceder a información en el equipo del usuario y limita la conservación de datos de tráfico, que deben borrarse o anonimizarse cuando dejan de ser necesarios. Afecta sobre todo a la analítica web y a los registros de comunicaciones, no al contenido de un expediente en PDF.
CCPA / CPRA (California)
La normativa californiana usa el concepto de deidentified information: información que no puede razonablemente vincularse a un consumidor, siempre que la empresa adopte salvaguardas técnicas, prohíba contractualmente la reidentificación y se comprometa públicamente a no intentarla. La diferencia práctica con el RGPD es que la CCPA exige compromisos organizativos explícitos, no solo un resultado técnico.
Qué implica en la práctica
- Documenta el método: qué categorías se suprimen, con qué técnica y con qué revisión. Los tres marcos valoran el proceso, no solo el archivo final.
- Evalúa el riesgo de reidentificación con datos indirectos: fechas, localidades, cargos, diagnósticos poco frecuentes.
- Separa la anonimización de la seudonimización y mantén la información adicional en un entorno distinto y con acceso restringido.
- Controla dónde se procesa: cifrado en tránsito y en reposo, registro auditable y sin uso del contenido para entrenar modelos de terceros.
Y si trabajas con el sector público español
A lo anterior se suma el Esquema Nacional de Seguridad (Real Decreto 311/2022): el proveedor debe acreditarlo. oGov cuenta con ENS Medio y los servidores de despliegue con ENS Alto, con certificado de gobierno del dato.
Fuentes
Fuentes y referencias
Todo lo que se explica aquí se apoya en normativa publicada y en las orientaciones de la Agencia Española de Protección de Datos. Estos son los textos originales:
¿Anonimizas documentos a diario?
Deja de tachar a mano. Automatízalo con anonimizia.
Sube tus PDFs y obtén documentos anonimizados conforme al RGPD en segundos.
Probar gratis