Guía práctica · Protección de datos
Anonimización y RGPD: cómo saber si un dato deja de ser personal
La anonimización exige analizar el riesgo real de volver a identificar a una persona. No basta con borrar el nombre o sustituirlo por un código.
Anonimización no es ocultar nombres
La anonimización se analiza sobre el conjunto completo y sobre los medios que pueden utilizarse razonablemente para volver a identificar. Quitar nombre, teléfono o correo puede no ser suficiente si permanecen una fecha exacta, una ubicación, un patrón de conducta o una combinación rara de atributos.
Una revisión útil parte de tres preguntas: si una persona puede singularizarse, si los datos pueden vincularse con otras fuentes y si puede inferirse información sobre ella. La respuesta depende de la finalidad, del acceso disponible, del tamaño del conjunto y de la información auxiliar.
Cómo documentar una anonimización
Definir el uso
Precisar qué análisis se quiere realizar y qué nivel de detalle es realmente necesario.
Medir el riesgo
Probar escenarios de singularización, vinculación e inferencia con datos plausibles y medios disponibles.
Controlar el entorno
Restringir fuentes, accesos, exportaciones y usos secundarios que puedan cambiar el resultado.
Técnicas que deben evaluarse con cuidado
La agregación, la supresión de atributos, la generalización, la perturbación y el muestreo pueden reducir el riesgo, pero cada una tiene límites. Una fecha convertida en mes puede proteger más que una fecha exacta; a la vez, demasiada generalización puede hacer que el análisis deje de ser útil.
La revisión debe tener fecha, responsable y criterio de aceptación. Una base que era difícil de reidentificar puede dejar de serlo cuando se cruza con una nueva fuente o cuando cambia el acceso interno.
Preguntas frecuentes
¿La anonimización es una decisión única?
No. Es una conclusión condicionada por el contexto y debe revisarse cuando cambian los datos, las fuentes o la finalidad.
¿Se puede publicar cualquier dato agregado?
No automáticamente. Hay que comprobar si grupos pequeños, combinaciones raras o cruces externos permiten inferir personas.
¿Quién debe aprobarla?
La empresa debe asignar responsabilidad y conservar la evidencia técnica y organizativa que sustenta la decisión.
Fuentes y revisión
Contenido revisado el 27 de agosto de 2026. Para el marco general se recomienda consultar la Agencia Española de Protección de Datos, el Reglamento General de Protección de Datos y las guías del Comité Europeo de Protección de Datos. Esta guía es informativa y debe adaptarse al tratamiento concreto.
Habla con el equipo digital
Revisamos tu exposición digital
Cuéntanos tu contexto y te orientamos sobre RGPD, inteligencia artificial, contratos tecnológicos y gobierno del dato.