Normativa y datos
Seudonimización
La seudonimización es tratar datos personales de forma que ya no puedan atribuirse a una persona sin una información adicional que se guarda aparte y protegida (art. 4.5 del RGPD). Los datos seudonimizados siguen siendo datos personales; los anónimos, no.
También se le llamapseudonimización · datos seudonimizados · pseudonymisation
Seudónimo o anónimo: la diferencia que importa
Un ejemplo de residencia: un informe de averías por habitación en el que cada residente aparece como «R-0412», y la tabla que dice quién es R-0412 sólo la tiene administración. Quien lee el informe no sabe de quién se habla; el centro, sí. Eso es seudonimizar. El considerando 26 lo deja claro: esos datos son información sobre una persona identificable, y el RGPD se les sigue aplicando entero.
| Seudonimizado | Anónimo | |
|---|---|---|
| ¿Se puede volver a la persona? | Sí, con la información adicional que se guarda aparte | No, con ningún medio que razonablemente pueda usarse |
| ¿Se aplica el RGPD? | Sí (considerando 26) | No (considerando 26) |
| Para qué sirve | Reducir el riesgo, como medida de protección desde el diseño (art. 25.1) y de seguridad (art. 32.1.a) | Estadísticas o estudios que ya no tratan datos personales |
El considerando 28 añade que seudonimizar reduce los riesgos para los interesados y ayuda a cumplir, pero que no excluye ninguna otra medida: no convierte en lícito un tratamiento que no tenía base, ni exime del registro, ni del deber de informar.
Ojo con esto
Cambiar el nombre por un código no basta si el código se puede deshacer. Un resumen (hash) del DNI o del teléfono parece un seudónimo, pero quien tenga la lista de teléfonos del centro puede calcular los mismos resúmenes y emparejarlos. La AEPD publicó con el Supervisor Europeo de Protección de Datos una introducción al hash como técnica de seudonimización que pide analizar ese riesgo de reidentificación caso por caso. Para proteger además lo que se guarda, se combina con el cifrado.
Fuentes
Términos relacionados
- RGPDEl RGPD es el Reglamento (UE) 2016/679, la norma de la Unión que regula el tratamiento de datos personales. Se aplica directamente desde el 25 de mayo de 2018 y en España lo completa la LOPDGDD. Obliga igual a un colegio mayor, a una residencia privada y a un coliving.
- CifradoEl cifrado es la técnica que convierte unos datos en un texto ilegible para quien no tiene la clave. El RGPD lo nombra entre las medidas de seguridad de su art. 32 y le da un efecto práctico: si se pierden datos cifrados y la clave está a salvo, puede no hacer falta avisar a cada afectado.