Anonimización frente a seudonimización: qué las distingue y cuándo aplicar cada una

1. Qué es la anonimización, en una frase

La anonimización es la técnica de tratamiento por la que los datos personales dejan de ser identificables de manera irreversible con los medios razonables que puedan utilizarse, de modo que ya no pueden atribuirse a ninguna persona física identificada o identificable, con la consecuencia jurídica de que dejan de ser datos personales conforme al RGPD y salen del ámbito de aplicación del reglamento europeo.

1.1. Irreversibilidad efectiva

El rasgo esencial de la anonimización es la irreversibilidad efectiva: la técnica debe ser tal que, con los medios razonables que puedan emplearse teniendo en cuenta la tecnología y los recursos disponibles, no sea posible volver del dato anonimizado al identificador original. La irreversibilidad no es absoluta en términos teóricos —cualquier técnica puede reevaluarse con avance tecnológico futuro—, sino razonable con los medios disponibles y previsibles en el momento del tratamiento correspondiente al centro sanitario.

1.2. Salida del RGPD

La consecuencia jurídica más relevante de la anonimización efectiva es que los datos anonimizados dejan de ser datos personales y salen del ámbito de aplicación del RGPD. Esta salida es la diferencia práctica más importante con la seudonimización, cuyos datos siguen siendo personales y sujetos a todas las obligaciones del reglamento. La ventaja jurídica de la anonimización tiene contrapartida operativa: no se puede volver al identificador original ante ninguna necesidad posterior.

2. Qué la distingue de la seudonimización

Las diferencias entre ambas técnicas son sustantivas y con consecuencias jurídicas relevantes.

2.1. Reversibilidad frente a irreversibilidad

La seudonimización mantiene la posibilidad de reidentificación con la información adicional custodiada separadamente; la anonimización hace irreversible la identificación. La reversibilidad de la seudonimización es útil cuando puede aparecer necesidad legítima de volver al identificador —seguimiento longitudinal en investigación, hallazgo relevante para el paciente— pero mantiene los datos en el ámbito del RGPD. La irreversibilidad de la anonimización es adecuada cuando no aparecerá esa necesidad, y saca los datos del ámbito del reglamento.

2.2. Régimen jurídico distinto

Los datos seudonimizados siguen siendo datos personales conforme al RGPD, con todas las obligaciones del tratamiento de datos personales aplicables. Los datos anonimizados dejan de ser datos personales y salen del reglamento, sin obligaciones específicas del RGPD sobre ellos. Esta diferencia jurídica es fundamental para el diseño de tratamientos, para la contratación con proveedores externos y para la publicación de estadísticas o resultados agregados correspondientes al tratamiento realizado.

2.3. Elección según finalidad

La elección entre ambas técnicas depende de la finalidad del tratamiento: cuando pueda haber necesidad legítima futura de reidentificar, se aplica seudonimización; cuando no, se aplica anonimización. Confundir ambas técnicas o aplicar la equivocada según la finalidad genera problemas: seudonimización cuando podía anonimizarse deja los datos innecesariamente bajo el RGPD; anonimización cuando podía necesitarse reidentificación impide seguimiento legítimo con la pérdida de valor asistencial correspondiente al proceso.

3. Régimen jurídico de cada una

El régimen jurídico distinto tiene implicaciones prácticas relevantes.

3.1. Datos seudonimizados bajo RGPD

Los datos seudonimizados siguen sujetos al RGPD con todas sus obligaciones: base jurídica del tratamiento, información al interesado, gestión de derechos ARSOPL, notificación de brechas, registro de actividades, contratos con encargados del tratamiento y todas las restantes obligaciones del reglamento europeo aplicables a datos personales. La seudonimización aporta salvaguardas técnicas reforzadas pero no exime del cumplimiento del resto del régimen del RGPD que sigue plenamente vigente sobre esos datos correspondientes al tratamiento.

3.2. Datos anonimizados fuera del RGPD

Los datos anonimizados efectivamente dejan de ser datos personales y salen del ámbito de aplicación del RGPD. No es necesario base jurídica específica para su tratamiento posterior, no hay obligación de información al interesado sobre ellos, no aplican los derechos ARSOPL sobre ellos y no procede notificar brechas que solo afecten a datos anonimizados. Esta libertad de tratamiento posterior es la ventaja jurídica principal de la anonimización efectiva correspondiente al régimen aplicable.

3.3. La proceso de anonimización sí es tratamiento

El propio proceso de anonimización —transformar datos personales en datos anonimizados— es tratamiento de datos personales sujeto al RGPD. Este proceso requiere base jurídica adecuada, información al interesado cuando corresponda y las restantes obligaciones del tratamiento. Es a partir del resultado del proceso —los datos ya anonimizados— cuando se aplica la libertad del régimen fuera del RGPD. Esta distinción entre proceso y resultado es importante para el diseño correcto del tratamiento correspondiente al centro sanitario que aplica la anonimización.

4. Cuándo elegir la anonimización

La anonimización es adecuada en escenarios específicos donde no se necesita reidentificación posterior.

4.1. Estadística pública

La publicación de estadísticas agregadas sobre información sanitaria del centro —número de intervenciones por especialidad, tasa de complicaciones, tiempos medios de espera, resultados por procedimiento— es el escenario paradigmático de la anonimización. La información se presenta agregada sin posibilidad de identificar pacientes individuales, con las técnicas técnicas de agregación y supresión de identificadores directos e indirectos que hagan efectiva la irreversibilidad de la identificación correspondiente al tratamiento realizado por el centro sanitario correspondiente.

4.2. Investigación agregada

Los estudios de investigación con análisis exclusivamente agregado que no requieran seguimiento longitudinal de pacientes individuales son adecuados para la anonimización. La anonimización previa a la incorporación de los datos al análisis simplifica el régimen jurídico del estudio y facilita la publicación de resultados sin las restricciones del RGPD que aplicarían a datos personales. La decisión entre anonimización o seudonimización se hace en el diseño del estudio con la coherencia con las necesidades analíticas del protocolo correspondiente.

4.3. Comunicación externa de datos agregados

La comunicación externa de datos agregados sobre la actividad del centro —informes públicos, memorias anuales, comunicación con la Administración con fines estadísticos generales— es adecuada para la anonimización. La agregación adecuada con supresión de identificadores es lo que hace efectiva la anonimización, con la libertad de circulación posterior de la información sin las restricciones del RGPD que aplicarían al tratamiento de datos personales del paciente individual correspondiente.

5. Qué exige la anonimización efectiva

La anonimización efectiva exige requisitos técnicos concretos.

5.1. Supresión de identificadores directos

La supresión de identificadores directos —nombre, documento de identidad, número de historia clínica, teléfono, dirección— es el primer paso de la anonimización pero rara vez suficiente por sí solo. La combinación de identificadores indirectos —edad, sexo, código postal, fecha de una intervención concreta— puede permitir la reidentificación de una persona incluso cuando los identificadores directos han sido suprimidos. La anonimización efectiva exige atender también a los identificadores indirectos con técnicas complementarias correspondientes.

5.2. Técnicas de generalización y supresión

Las técnicas habituales de anonimización efectiva incluyen la generalización —sustituir edad exacta por rango de edades, código postal exacto por área más amplia—, la supresión de casos únicos con combinaciones que los hacen identificables, la adición de ruido controlado a valores numéricos, la agregación temporal y espacial de eventos. Cada técnica tiene ventajas e inconvenientes y su combinación adecuada depende del conjunto de datos concreto y del riesgo de reidentificación en el contexto correspondiente al tratamiento realizado.

5.3. Evaluación del riesgo de reidentificación

La anonimización efectiva requiere evaluación específica del riesgo residual de reidentificación con los medios razonables que puedan emplearse. Metodologías como k-anonimato, l-diversidad y t-cercanía permiten cuantificar el riesgo con criterios técnicos objetivos. La documentación de la evaluación es requisito de la diligencia debida y protege al centro ante cuestionamiento posterior sobre la efectividad de la anonimización realizada correspondiente al tratamiento con los datos originales.

6. Riesgos de reidentificación residuales

La irreversibilidad de la anonimización tiene matices que conviene conocer.

6.1. Combinación con datos externos

Datos aparentemente anonimizados pueden reidentificarse combinándolos con otras fuentes de datos externas —redes sociales, registros públicos, bases comerciales de datos—. Un dato anonimizado con edad, sexo y código postal puede permitir la identificación de una persona única si esos tres campos ocurren pocas veces en la población de referencia. La evaluación del riesgo de reidentificación debe considerar estos escenarios de combinación con fuentes externas, no solo el riesgo interno del conjunto de datos aislado correspondiente al tratamiento realizado por el centro sanitario.

6.2. Avance tecnológico futuro

Las técnicas de anonimización que hoy se consideran efectivas pueden dejar de serlo con avance tecnológico futuro. La computación cuántica, el aprendizaje automático avanzado y la disponibilidad creciente de datos externos pueden hacer reversibles anonimizaciones que hoy se consideran irreversibles. La política del centro debe considerar la evolución tecnológica en el diseño de las anonimizaciones aplicadas, con la revisión periódica de las técnicas utilizadas y su adecuación al estado actual del arte correspondiente al régimen aplicable.

6.3. Reidentificación en casos únicos

Los casos con combinaciones únicas de características son especialmente vulnerables a reidentificación. Un paciente con enfermedad rara en un municipio pequeño puede ser identificable incluso con supresión de identificadores directos, porque la combinación de la enfermedad rara y la localización lo hace único en el conjunto de referencia. La supresión adicional de casos únicos o su generalización más agresiva es requisito de la anonimización efectiva en presencia de casos con estas características correspondientes al conjunto de datos del centro correspondiente.

7. Qué debe cumplir tu software con la anonimización

Cuatro criterios comprobables antes de asumir que el sistema soporta bien la anonimización.

7.1. Los dos criterios estructurales

• Funciones de anonimización disponibles con técnicas actuales configurables.
• Evaluación de riesgo integrada que mida el nivel de anonimización efectiva.

7.2. Los dos criterios operativos

• Documentación técnica de la anonimización aplicada con criterios objetivos.
• Trazabilidad del proceso con la fecha, técnica y responsable de cada anonimización.

7.3. La prueba con una exportación simulada

Coge una exportación imaginaria de datos agregados para publicación y simula el flujo de anonimización. Comprueba que el sistema aplica supresión de identificadores directos, generalización de indirectos donde corresponda, evaluación de riesgo residual con criterios objetivos y documentación del proceso. Si el flujo cierra con evidencia técnica objetiva y con nivel de anonimización efectiva medido, el sistema soporta bien la operativa de anonimización con la solvencia que la AEPD puede requerir correspondiente al tratamiento realizado.

8. Errores frecuentes al hablar de anonimización

Tres confusiones habituales sobre la anonimización en el ámbito sanitario.

8.1. «Con suprimir el nombre ya está anonimizado»

Suprimir el nombre y otros identificadores directos raramente es suficiente por sí solo para la anonimización efectiva. La combinación de identificadores indirectos —edad, sexo, código postal, fecha de una intervención, comorbilidades específicas— puede permitir reidentificación incluso con identificadores directos suprimidos. La anonimización efectiva exige análisis específico de los identificadores indirectos y aplicación de técnicas complementarias adecuadas al conjunto de datos concreto correspondiente al tratamiento realizado por el centro correspondiente al ejercicio profesional realizado por el equipo del centro sanitario.

8.2. «La seudonimización es anonimización light»

Son técnicas distintas con régimen jurídico distinto, no versiones más o menos exigentes de la misma técnica. La seudonimización mantiene los datos como personales bajo RGPD; la anonimización los saca del RGPD. La confusión terminológica —tratar seudonimización como si fuera anonimización— es fuente de errores graves de cumplimiento que pueden llevar a asumir libertades de tratamiento que la seudonimización no aporta. La distinción debe ser clara en la política del centro y en la formación del equipo correspondiente al régimen aplicable en cada caso concreto del tratamiento realizado.

8.3. «Los datos anonimizados no exigen ninguna precaución»

Aunque los datos anonimizados salen del RGPD, sigue siendo buena práctica mantener precauciones sobre su tratamiento: verificar periódicamente que la anonimización sigue siendo efectiva ante avance tecnológico, evitar combinaciones con datos externos que puedan revertir la anonimización, documentar el proceso para responder ante requerimiento sobre la efectividad de la anonimización realizada. La libertad jurídica no elimina la responsabilidad práctica sobre la información tratada por el centro correspondiente al ejercicio profesional realizado durante el proceso.

9. Qué aporta obeliOmed con esto

El sistema ofrece funciones distintas para anonimización y seudonimización con la coherencia jurídica correspondiente a cada régimen.

9.1. Funciones distintas por régimen

El sistema distingue claramente entre función de seudonimización —con custodia separada de la información adicional para eventual reidentificación— y función de anonimización —con supresión y generalización que hacen irreversible la identificación—. La operativa habitual del centro elige la función adecuada según la finalidad del tratamiento, con la política clara sobre qué técnica aplicar en cada caso concreto correspondiente al tratamiento realizado.

9.2. Evaluación de riesgo integrada

La función de anonimización incluye evaluación del riesgo de reidentificación con criterios objetivos como k-anonimato, con el resultado disponible antes de la exportación efectiva. Si el nivel de anonimización no es suficiente para la finalidad prevista, el sistema alerta y propone técnicas complementarias —generalización adicional, supresión de casos únicos— con la coherencia técnica que la anonimización efectiva requiere en cada conjunto de datos concreto correspondiente al tratamiento realizado.

9.3. Documentación completa del proceso

El sistema documenta cada proceso de anonimización con fecha, responsable, técnicas aplicadas, evaluación del riesgo residual y conjunto de datos resultante. La documentación queda archivada para responder ante requerimiento de la AEPD sobre la efectividad de la anonimización aplicada. La trazabilidad completa es capa de garantía adicional que refuerza la solvencia jurídica de la libertad de tratamiento sobre los datos anonimizados por el centro correspondiente al ejercicio profesional realizado.