Anonimizar y seudonimizar no son lo mismo, y confundirlo sale caro

Hay una conversación que se repite en todos los despachos donde empiezan a usar inteligencia artificial. Alguien dice: «tranquilo, que el documento va anonimizado». Y cuando preguntas cómo lo ha anonimizado, la respuesta es que ha cambiado los nombres por iniciales y ha guardado en un Excel a quién corresponde cada una, «por si acaso hay que recuperarlo».

Eso no es anonimizar. Es seudonimizar. Y la diferencia, que suena a matiz de manual, decide algo muy concreto: si ese documento sigue estando sujeto al Reglamento General de Protección de Datos o ha salido de su ámbito de aplicación.

Lo que dice exactamente la norma

El artículo 4.5 del RGPD define la seudonimización como el tratamiento de datos personales de manera tal que ya no puedan atribuirse a un interesado sin utilizar información adicional, siempre que dicha información adicional figure por separado y esté sujeta a medidas técnicas y organizativas destinadas a garantizar que no se atribuyan a una persona identificada o identificable.

Fíjate en dónde está colocada esa definición: en el artículo de definiciones, junto a «dato personal» y «tratamiento». No en un artículo que excluya nada. La seudonimización aparece después en el texto como medida de seguridad —en el artículo 32, entre las medidas técnicas apropiadas— y como elemento que ayuda a demostrar diligencia. Es una buena práctica. No es una puerta de salida.

La anonimización, en cambio, ni siquiera está definida en el articulado. Está en el considerando 26, que dice que los principios de protección de datos no deben aplicarse a la información anónima, es decir, la que no guarda relación con una persona física identificada o identificable, ni a los datos convertidos en anónimos de forma que el interesado no sea identificable o deje de serlo.

Y añade la frase que lo decide todo: para determinar si una persona es identificable hay que tener en cuenta todos los medios que razonablemente pueda utilizar el responsable o cualquier otra persona, considerando el coste, el tiempo necesario y la tecnología disponible.

Traducido al despacho

Si guardas la tabla que dice que [ACTOR_1] era Juan Antonio Pérez Molina, la reidentificación no es que sea posible: es trivial. Basta abrir un fichero. Con eso, el documento «anonimizado» sigue siendo dato personal para cualquiera que tenga acceso a esa tabla, y todo el RGPD le sigue aplicando: base jurídica, deber de información, plazos de conservación, medidas de seguridad, notificación de brechas.

Solo hay anonimización de verdad cuando esa vuelta atrás es imposible con medios razonables. Y eso, en la práctica, significa que la tabla no existe. Que la destruiste. Que ni tú puedes deshacerlo.

Por qué esto no es una discusión académica

Porque cambia lo que puedes hacer con el documento.

Si está anonimizado de verdad, puedes publicarlo en el blog del despacho, usarlo en una formación, subirlo a la herramienta de IA que quieras o cederlo a un tercero. Ya no hay datos personales, luego no hay tratamiento que legitimar.

Si está seudonimizado, no puedes hacer nada de eso sin base jurídica. Sigue habiendo datos personales de tu cliente, de la parte contraria, de los testigos y de los menores que aparezcan. Y si además esos datos son de los del artículo 9 —salud, ideología, orientación sexual, antecedentes penales—, la protección es reforzada y las bases jurídicas disponibles se reducen muchísimo.

He visto despachos publicar sentencias «anonimizadas» en LinkedIn con las iniciales cambiadas, el juzgado, la fecha y el número de autos intactos. Cualquiera con acceso a CENDOJ localiza esa resolución en dos minutos. Eso no es un documento anónimo: es un documento identificable con un paso intermedio.

El error de mirar dato a dato

La trampa habitual es evaluar cada dato por separado: «he quitado el nombre, luego ya no se le identifica».

La identificabilidad no funciona así. Funciona en conjunto. Un procedimiento de despido con la fecha, la localidad, el sector, el puesto y la antigüedad puede señalar a una única persona en una empresa de veinte empleados aunque no aparezca su nombre por ningún lado. La combinación identifica aunque ningún elemento aislado lo haga.

Por eso una anonimización seria tiene que preguntarse no solo «¿queda algún nombre?», sino «¿podría alguien con acceso a otras fuentes reconstruir de quién se trata?». Y en un documento judicial hay muchísimas fuentes: el propio expediente, los boletines, la prensa local, las redes.

Entonces, ¿qué hago en mi despacho?

Lo primero, dejar de usar las dos palabras como sinónimos, porque llevan a decisiones distintas.

Lo segundo, decidir antes de empezar qué necesitas:

Necesitas revertirlo. Es el caso más común: quieres trabajar con el documento, compartirlo con un perito o pasarlo por una IA, pero después tienes que volver a los nombres reales para presentar el escrito. Entonces vas a seudonimizar, y tienes que asumirlo: guarda la tabla de equivalencias en un sitio distinto del documento, no la envíes por el mismo canal, protégela y bórrala en cuanto deje de hacerte falta. Mientras exista, el documento sigue siendo dato personal.

No necesitas revertirlo. Vas a publicar, a formar o a ceder. Entonces anonimiza de verdad y destruye la tabla. No la guardes «por si acaso», porque ese «por si acaso» es exactamente lo que te devuelve al régimen del RGPD.

Lo tercero: documenta lo que has hecho. El artículo 5.2, el principio de responsabilidad proactiva, no te pide solo cumplir, sino poder demostrar que cumples. Un registro de qué se sustituyó, de qué tipo, cuándo y con qué herramienta es lo que convierte una afirmación en una prueba.

Cómo lo resuelve Anonimizator

Cuando construimos Anonimizator, esta distinción fue la primera decisión de diseño, y por eso está a la vista en la propia interfaz en lugar de escondida en las condiciones.

Al procesar un documento eliges el modo. Si quieres poder deshacerlo, te descargas el documento anonimizado y un Excel de equivalencias — y ese Excel lleva dentro, en su primera hoja, el aviso de que mientras exista lo que has hecho es seudonimizar, con las cuatro precauciones que hay que tomar. No en letra pequeña: en la primera pestaña que se abre.

Si no lo necesitas, simplemente no conservas ese fichero y tienes anonimización real.

Y con cada documento se genera un acta de anonimización: cuántos datos se detectaron, de qué tipo, con qué modelo, cuándo, y el hash del fichero original y del resultado. Sin el contenido, que no guardamos. Es exactamente la prueba de diligencia que exige el artículo 5.2 si algún día alguien pregunta.

El detalle que más nos costó, y el que más se agradece después, es la correferencia: «D. Juan Antonio Pérez Molina», «el Sr. Pérez» y «mi mandante» son la misma persona y reciben la misma etiqueta. Sin eso, el documento anonimizado queda incoherente y, lo que es peor, medio identificable: basta que se escape una de las tres formas para que todo el trabajo no haya servido de nada.

---

La regla, si te quedas con una sola frase: si puedes deshacerlo, no lo has anonimizado. Y eso está bien, siempre que sepas que sigue siendo dato personal y lo trates como tal.