Solo cuenta como anonimizado lo que ya no permite identificar a nadie con medios razonables. Si se conserva una tabla o una clave para volver al original, el dato está seudonimizado. Sigue siendo dato personal, y el RGPD se aplica en su totalidad.
Qué dicen las normas
La regla está en el Reglamento. El artículo 4.5 define la seudonimización: los datos ya no se atribuyen a una persona sin información adicional, que se guarda aparte y protegida. El considerando 26 excluye la información anónima. Para saber si alguien es identificable, pide valorar todos los medios que razonablemente puedan usarse.
En España, la LOPDGDD completa ese régimen y la AEPD lo aplica. El dictamen del GT29 de 2014 explica el umbral de la anonimización. Las directrices del CEPD de 2025 tratan la seudonimización. No son ley, pero indican cómo se inspecciona.
La AEPD forma parte del CEPD. La guía del ICO dice lo mismo para el Reino Unido, aunque no rige en España.
El criterio de los medios razonables
El criterio no exige que la reidentificación sea imposible. Exige que nadie pueda reidentificar a la persona con los medios que razonablemente usaría. No basta con que usted o el destinatario no puedan, si un tercero con otra información sí podría.
Aplicado a un expediente, el criterio se resume en tres preguntas:
- ¿Existe en algún sitio una clave o una tabla que devuelva el original? Si existe, aunque la tenga un proveedor, el dato está seudonimizado.
- ¿Permite lo que queda aislar a alguien? Un contrato sin nombres que cita a la «directora financiera de la filial de Vigo» sigue señalando a una persona. El GT29 lo llama singularización.
- ¿Cuánto costaría reidentificar? El considerando 26 cita el coste, el tiempo y la tecnología disponible, que avanza.
La primera pregunta suele ser la decisiva, y es la que más se omite. Un DNI o un IBAN puede pasar a ser un código. Si se guarda la correspondencia, el resultado es reversible a propósito. Lo reversible no es anónimo.
Que los nombres ya no se vean no basta
Se pulsa un botón, los nombres desaparecen y el documento se archiva como anonimizado. Pero esa palabra afirma que ya nadie puede reidentificar a la persona. La tabla que permite devolver los nombres es la información adicional del artículo 4.5.
Un tratamiento que se cree anónimo sale del registro de actividades y se salta la evaluación de impacto. Además, se comparte sin contrato de encargo y se conserva sin plazo. Si la AEPD lo revisa, juzgará cada omisión como si el dato siempre hubiera sido personal.
Seudonimizar no es un fracaso
La seudonimización no es un defecto, sino un estatuto jurídico distinto. El Reglamento la cita como protección desde el diseño (artículo 25) y como medida de seguridad (artículo 32). Reduce el riesgo si la información adicional se guarda aparte y con acceso restringido.
Pero sigue haciendo falta una base jurídica, una entrada en el registro y, cuando proceda, una evaluación de impacto. Un tercero que trate los datos por su cuenta es encargado del tratamiento. Necesita el contrato del artículo 28.
Cómo se aplica a promptShield
En promptShield, Codificar sustituye cada valor por un código y guarda la correspondencia en el Registro de códigos, en su equipo. Es reversible, y por tanto seudonimización. Decodificar devuelve los originales en su equipo, lo que prueba que la clave existe (así funciona la codificación reversible).
El Registro de códigos es un archivo SQLite local y no está cifrado, a propósito. Los originales ya están sin cifrar en el mismo disco. Su exportación es un JSON en texto plano, y un archivo que viaje con ella queda reidentificado.
Los códigos son propios de cada carpeta. Solo un código fijado a mano vale en toda la Biblioteca.
Tachar elimina el contenido en lugar de taparlo. Lo hace también en el texto alternativo, el XMP y los campos de formulario, y descarta las miniaturas previas. Aun así, solo responde a la primera pregunta. El resto del texto debe superar las otras dos, sin ninguna exportación de la tabla al lado (PDF jurídicos sin la nube).
Tampoco la detección cierra la cuestión. Ningún modelo local encuentra todos los identificadores, y por eso la aplicación pide revisar antes de descargar. El Análisis profundo es opcional. Si activa su modo de API remota, envía texto a un servicio externo.
La aplicación de escritorio funciona sin conexión. El plan Pro añade un modo aislado sin comprobación de licencia ni informes de errores. La versión gratuita del navegador envía una señal anónima al iniciarse, pero en ambas el documento se queda en el equipo.
Preguntas frecuentes
¿Anonimizar elimina mis obligaciones del RGPD?
Si la anonimización es real, el Reglamento deja de aplicarse a los datos resultantes. Pero anonimizar es en sí un tratamiento que necesita base jurídica, y el resultado debe poder justificarse ante la AEPD. Mientras exista una clave, las obligaciones siguen.
¿Conviene anonimizar o seudonimizar?
Depende de si necesita volver atrás. Si el informe debe regresar con los nombres reales, seudonimice y declárelo así. Si no, tachar y revisar el resto puede dar un resultado anónimo, y la decisión es del responsable del tratamiento.
¿Basta cifrar la tabla para hablar de anonimización?
Cifrar la tabla protege la clave, pero no la destruye: quien tenga la clave de cifrado puede volver al original. Las directrices del CEPD de 2025 tratan esa custodia como una garantía que refuerza la seudonimización sin cambiar su naturaleza.
Antes de escribir la palabra
La comprobación cabe en una línea del registro: dónde está la clave y quién puede usarla. Si puede responder, el documento está seudonimizado, y anotarlo así describe un tratamiento protegido. Esa calificación es responsabilidad suya.