GDPR: redacción, seudonimización y anonimización — ¿cuál y cuándo?

Estos tres términos generan confusión. El GDPR los trata de forma diferente. Aquí están las diferencias y cuándo aplica cada uno.

El GDPR utiliza "seudonimización" y "anonimización" como términos esencialmente distintos. La redacción es una técnica para lograr uno u otro. ¿En qué se diferencian?

Anonimización

Los datos se vuelven irreversiblemente no identificables: la persona ya no puede ser identificada, ni siquiera con información adicional. Una vez anonimizados, los datos dejan de estar sujetos al GDPR.

Criterio: nadie puede razonablemente identificar a la persona, aunque realice un gran esfuerzo o disponga de fuentes de datos adicionales.

Seudonimización

Los datos reducen su capacidad de identificación. Quien disponga de la tabla de traducción o la clave todavía puede identificar a la persona. Los datos seudonimizados siguen sujetos al GDPR, pero con un riesgo de tratamiento reducido.

Ejemplos

• "Kees Janssen, Calle Mayor 123" → "K.J., [redactado]": seudonimizado (un compañero podría seguir reconocerle).
• Nombre completo y todos los metadatos eliminados, sin posibilidad de retroceder: anonimizado.
• Datos agregados estadísticamente (edad media del equipo): anonimizado.
• Dirección de correo electrónico hasheada con una función hash conocida: seudonimizado (el mismo hash permite la comparación).

¿Por qué importa?

• Con anonimización: ya no existen obligaciones GDPR. Puedes compartir, conservar y tratar los datos libremente.
• Con seudonimización: aún bajo el GDPR, pero con riesgo reducido. Sigue habiendo deber de información y derechos del interesado.
• Identificación completa (sin redacción): GDPR en su totalidad.

Consejos prácticos

• Documentos destinados al público: anonimizar (redacción real + metadatos + sin clave hash).
• Tratamiento interno en el que "si descubrimos algo sospechoso" sea relevante: seudonimizar para que la identificación siga siendo posible.
• Investigación / estadística: la anonimización suele ser suficiente y resuelve muchas cuestiones de gobernanza.

Véase también: pilar de redacción, pilar GDPR.