Seudonimización: qué es, cómo se aplica en sanidad y en qué se diferencia del anonimato
Qué es la seudonimización, cómo la define el RGPD, en qué se diferencia de la anonimización, para qué se usa en el ámbito sanitario, qué garantías técnicas exige y qué obligaciones tiene el centro que la aplica en su operativa.
La seudonimización sustituye los identificadores directos por códigos custodiados separadamente.
1. Qué es la seudonimización, en una frase
La seudonimización es la técnica de tratamiento por la que los datos personales dejan de poder atribuirse a una persona concreta sin utilizar información adicional que se conserva separada y con las medidas de seguridad que impidan su vinculación indebida, con la posibilidad —controlada y trazable— de reidentificar al titular de los datos cuando sea necesario y legítimo para la finalidad del tratamiento.
1.1. Reversibilidad controlada
El rasgo distintivo de la seudonimización es la reversibilidad controlada: los datos seudonimizados pueden reidentificarse con la información adicional custodiada por el responsable, si concurren las condiciones legales y operativas que lo permiten. Esta diferencia con la anonimización irreversible es la que hace útil la seudonimización en usos secundarios donde puede ser necesario volver al identificador original ante una necesidad legítima concreta.
1.2. Reconocida por el RGPD
La seudonimización está expresamente reconocida en el RGPD como salvaguarda técnica y organizativa que reduce el riesgo del tratamiento para los derechos y libertades de las personas afectadas. Su uso adecuado facilita el cumplimiento del principio de minimización de datos y del principio de seguridad del tratamiento, con ventajas jurídicas concretas para el responsable del tratamiento correspondiente al centro sanitario que la aplica en su operativa.
2. Cómo la define el RGPD
El RGPD define la seudonimización con precisión técnica y jurídica.
2.1. Definición del artículo 4
El artículo 4 apartado 5 del RGPD define la seudonimización como el tratamiento de datos personales de manera tal que ya no puedan atribuirse a un interesado sin utilizar información adicional, siempre que dicha información adicional figure por separado y esté sujeta a medidas técnicas y organizativas destinadas a garantizar que los datos personales no se atribuyan a una persona física identificada o identificable. La definición es precisa y establece requisitos concretos.
2.2. Tres elementos exigibles
La definición del RGPD exige tres elementos: la información adicional debe figurar por separado, debe estar sujeta a medidas técnicas y organizativas de seguridad y estas medidas deben ser efectivas para impedir la vinculación indebida. La ausencia de cualquiera de los tres elementos degrada la seudonimización a una técnica insuficiente, sin las garantías que el RGPD reconoce a la seudonimización propiamente dicha con las consecuencias jurídicas correspondientes.
2.3. Los datos siguen siendo personales
Los datos seudonimizados siguen siendo datos personales conforme al RGPD, con las obligaciones que el tratamiento de datos personales impone al responsable. La seudonimización reduce el riesgo pero no lo elimina, y no exime del cumplimiento del resto de obligaciones del RGPD. Esta distinción es crucial: seudonimizar no equivale a salir del ámbito de aplicación del RGPD, algo que la anonimización irreversible sí consigue en su propio ámbito de aplicación técnica.
3. Seudonimización frente a anonimización
La distinción entre ambas técnicas es fundamental y con consecuencias jurídicas relevantes.
3.1. Anonimización irreversible
La anonimización es la técnica que hace irreversible la identificación del titular de los datos. Los datos anonimizados no permiten volver al identificador original por ninguna vía razonable, y por tanto dejan de ser datos personales conforme al RGPD y salen del ámbito de aplicación del reglamento. La irreversibilidad exigible al proceso técnico correspondiente es criterio elevado y no todas las técnicas cumplen la anonimización real en todo caso.
3.2. Seudonimización reversible
La seudonimización, por contraste, mantiene la posibilidad de reidentificación con la información adicional custodiada. Los datos seudonimizados siguen siendo datos personales conforme al RGPD, aunque con menor riesgo del tratamiento por la reducción de la exposición del identificador directo. La reversibilidad controlada es útil para escenarios donde puede ser necesario volver al identificador ante una necesidad legítima concreta que aparezca en el desarrollo de la actividad correspondiente al centro sanitario.
3.3. Elección entre ambas técnicas
La elección entre seudonimización y anonimización depende de la finalidad del tratamiento y de la necesidad futura de reidentificación. Para investigación clínica con seguimiento longitudinal de pacientes, la seudonimización es adecuada porque puede ser necesario volver al identificador ante un hallazgo relevante para el paciente concreto. Para estadística pública o publicación agregada, la anonimización irreversible es adecuada porque no hay necesidad de reidentificación posterior en ningún caso.
La información adicional se custodia separadamente con medidas técnicas y organizativas estrictas.
4. Usos habituales en sanidad
La seudonimización tiene aplicaciones concretas en el ámbito sanitario que conviene conocer.
4.1. Investigación clínica
La investigación clínica es el uso más consolidado de la seudonimización. Los datos del paciente se seudonimizan antes de incorporarse a la base de datos del estudio, con la información adicional de reidentificación custodiada por el promotor o por el investigador principal según el diseño del estudio. Esta seudonimización permite el análisis estadístico sin exposición innecesaria del identificador y facilita la protección de datos exigida por el propio protocolo del estudio de investigación clínica correspondiente.
4.2. Usos secundarios de la información
Los usos secundarios de la información sanitaria —análisis estadístico, mejora de calidad asistencial, formación de profesionales— se benefician de la seudonimización previa. La información puede analizarse con las garantías correspondientes sin exposición innecesaria del identificador del paciente, con la posibilidad de reidentificación cuando concurra necesidad legítima —contactar con el paciente ante un hallazgo relevante para su salud, verificar un dato que resulte discrepante—.
4.3. Comunicación con proveedores tecnológicos
La comunicación con proveedores tecnológicos externos —análisis en la nube, servicios de inteligencia artificial que procesen información clínica— puede beneficiarse de la seudonimización previa. La información se envía seudonimizada al proveedor, que procesa sin conocer el identificador directo del paciente. La reidentificación del resultado se hace en el centro con la información adicional custodiada, sin exposición del identificador al proveedor externo correspondiente al servicio contratado.
5. Cómo se hace técnicamente
Las técnicas concretas de seudonimización tienen variantes con implicaciones prácticas distintas.
5.1. Sustitución por código
La técnica más simple es la sustitución del identificador directo del paciente por un código —secuencial, aleatorio, alfanumérico— con una tabla de correspondencias custodiada separadamente. La calidad de la seudonimización depende de la calidad de las medidas técnicas y organizativas que protejan la tabla de correspondencias, que es la información adicional imprescindible para la reidentificación en el ámbito del tratamiento correspondiente.
5.2. Cifrado con clave
La sustitución por función criptográfica con clave —cifrado simétrico o función hash con salt— es técnica más robusta. El identificador se transforma con la función y la clave custodiada permite la reidentificación cuando corresponda. La complejidad técnica es mayor pero la robustez frente a ataques también es mayor. La gestión adecuada de la clave criptográfica es la variable crítica del tratamiento correspondiente al centro sanitario que aplica esta técnica.
5.3. Separación organizativa
Además de la técnica concreta, la separación organizativa entre quien maneja los datos seudonimizados y quien custodia la información adicional es requisito exigido por el RGPD. La separación efectiva —no solo formal— es lo que hace real la seudonimización. Cuando la misma persona tiene acceso simultáneo a ambos, la seudonimización pierde eficacia práctica y las garantías previstas quedan comprometidas en el tratamiento realizado.
Demo configurada para tu especialidad
30 minutos con datos reales de tu tipo de clínica. Sin ejemplos genéricos.
6. Obligaciones del centro que la aplica
El centro sanitario que aplica seudonimización tiene obligaciones específicas de gestión.
6.1. Documentación de la técnica
El centro debe documentar la técnica de seudonimización aplicada, con la descripción de la función utilizada, la gestión de la información adicional, las medidas de seguridad de esa información y los criterios de reidentificación. La documentación forma parte del registro de actividades de tratamiento y debe estar disponible ante requerimiento de la AEPD con la profundidad que la agencia requiera en cada caso.
6.2. Separación efectiva
La separación entre quien procesa los datos seudonimizados y quien custodia la información adicional debe ser efectiva. Los permisos del sistema, la organización interna del equipo y los procedimientos de trabajo deben articularse para que la separación no sea solo formal. La AEPD ha sancionado supuestos en los que la seudonimización era nominal por acceso simultáneo del mismo profesional a ambas partes del tratamiento correspondiente al centro sanitario correspondiente.
6.3. Trazabilidad de reidentificaciones
Las reidentificaciones —cuando el centro vuelve del código al identificador original— deben quedar trazadas con quién las hizo, cuándo y con qué motivo legítimo. La reidentificación es el momento crítico del tratamiento seudonimizado, y su documentación auditable es requisito de la calidad del régimen de seudonimización aplicado. Reidentificaciones sin trazabilidad son señal de gestión insuficiente y pueden comprometer el conjunto del régimen aplicable al tratamiento realizado.
7. Qué debe cumplir tu software con la seudonimización
Cinco criterios comprobables antes de asumir que el sistema soporta bien la seudonimización.
7.1. Los tres criterios estructurales
- Función de seudonimización disponible con técnica robusta y configurable.
- Custodia separada de la información adicional con controles de acceso estrictos.
- Documentación técnica de la técnica disponible para auditoría de la AEPD.
7.2. Los dos criterios operativos
- Trazabilidad de reidentificaciones con quién, cuándo y motivo declarado.
- Separación efectiva por permisos entre quien procesa y quien reidentifica.
7.3. La prueba con un uso secundario simulado
Coge un uso secundario imaginario —extracto para análisis estadístico interno— y simula el flujo. Comprueba que el sistema seudonimiza los datos antes de la exportación, que la información adicional queda custodiada separadamente y que una eventual reidentificación posterior queda trazada. Si el flujo cierra con evidencia técnica objetiva, el sistema soporta bien la operativa de seudonimización en el centro con la solvencia que la AEPD puede requerir.
Las reidentificaciones se registran con quién, cuándo y con qué motivo declarado.
8. Errores frecuentes al hablar de seudonimización
Tres confusiones habituales, sobre todo entre personal no técnico.
8.1. «Con seudonimizar los datos ya salen del RGPD»
Los datos seudonimizados siguen siendo datos personales conforme al RGPD, con las obligaciones que el tratamiento de datos personales impone al responsable. La seudonimización reduce el riesgo pero no lo elimina, y no exime del cumplimiento del resto de obligaciones. La confusión con anonimización —que sí saca los datos del RGPD por irreversibilidad— es error interpretativo habitual que puede llevar a asumir cumplimiento que la seudonimización no aporta por sí sola al tratamiento correspondiente.
8.2. «Basta con cambiar el nombre por un número»
La seudonimización requiere separación efectiva de la información adicional con las medidas técnicas y organizativas que impidan la vinculación indebida. Cambiar el nombre por un número sin custodia adecuada de la tabla de correspondencias no es seudonimización conforme al RGPD, es solo una capa cosmética que no aporta las garantías reales exigidas por la definición del artículo 4 del reglamento europeo aplicable al tratamiento correspondiente al centro.
8.3. «La seudonimización es opcional siempre»
La seudonimización puede ser una salvaguarda exigible en tratamientos concretos, especialmente cuando la evaluación de impacto sobre protección de datos —EIPD— identifica riesgos que justifican su aplicación. Considerarla opcional en todo caso es interpretación que puede dejar al centro fuera de la diligencia debida en tratamientos con riesgo elevado, con las consecuencias que eso puede tener ante requerimiento de la AEPD o ante incidente de seguridad en el tratamiento correspondiente.
¿Tienes dudas antes de decidir? Hablamos.
Respuesta en menos de 2 horas en horario laboral. Te atiende el equipo que conoce el producto.
9. Qué aporta obeliOmed con esto
El sistema incorpora seudonimización como salvaguarda técnica disponible para tratamientos que la requieran.
9.1. Función de seudonimización integrada
El sistema ofrece función de seudonimización integrada para exportaciones destinadas a usos secundarios —análisis estadístico, investigación, comunicación con proveedores externos que no necesiten conocer identificador directo—. La técnica utilizada es criptográficamente robusta y configurable según el nivel de exigencia del tratamiento correspondiente al caso concreto de uso secundario planificado por el centro sanitario correspondiente.
9.2. Custodia separada de la información adicional
La información adicional para reidentificación se custodia separadamente del resto del sistema, con controles de acceso estrictos que impiden la vinculación indebida por parte de quien procesa los datos seudonimizados. La separación es efectiva por permisos del sistema, no solo formal, con la garantía que la definición del RGPD exige a la seudonimización propiamente dicha aplicada por el centro correspondiente.
9.3. Trazabilidad completa de reidentificaciones
Las reidentificaciones ocasionales —cuando el centro vuelve del código al identificador original ante necesidad legítima— quedan trazadas con quién las hizo, cuándo y con qué motivo declarado. La documentación auditable de cada reidentificación permite responder ante requerimiento de la AEPD sobre la coherencia de los reidentificaciones realizadas con las finalidades declaradas del tratamiento seudonimizado en la operativa del centro sanitario correspondiente al ejercicio profesional realizado.
10. Preguntas frecuentes sobre la seudonimización
¿La seudonimización es obligatoria en el sector sanitario?
No es obligatoria con carácter general, pero puede ser exigible en tratamientos concretos cuando la evaluación de impacto sobre protección de datos identifica riesgos que justifican su aplicación como salvaguarda técnica. El artículo 32 del RGPD la recoge expresamente como una de las medidas técnicas apropiadas que el responsable puede aplicar en función del riesgo. En investigación clínica, la seudonimización es prácticamente universal en la práctica actual del sector porque los protocolos de los estudios la exigen habitualmente. En usos primarios de la asistencia sanitaria, no es habitual seudonimizar porque el profesional necesita el identificador directo para atender al paciente concreto. La aplicación de la seudonimización debe hacerse con análisis específico del caso concreto y del tratamiento correspondiente al centro sanitario.
¿Puedo publicar estadísticas con datos seudonimizados sin restricciones?
No sin más. Los datos seudonimizados siguen siendo datos personales conforme al RGPD, con las obligaciones que su tratamiento impone. La publicación de estadísticas debe hacerse con las garantías del tratamiento correspondiente, con la base jurídica adecuada y con la información al interesado cuando corresponda. Si el objetivo es publicar información agregada sin posibilidad de reidentificación, la técnica adecuada es la anonimización irreversible, no la seudonimización. Publicar datos seudonimizados sin las medidas complementarias correspondientes puede exponer al centro a reclamación por tratamiento inadecuado de los datos personales de los pacientes cuyos datos están en la publicación, aunque los identificadores directos hayan sido sustituidos por códigos en el conjunto publicado por el centro sanitario correspondiente.
¿Qué diferencia hay entre seudonimización y cifrado?
Son técnicas distintas con finalidades relacionadas pero no idénticas. El cifrado transforma los datos completos con una clave criptográfica de manera que solo quien tiene la clave puede acceder al contenido original. La seudonimización sustituye solo los identificadores del titular con la información adicional custodiada separadamente. El cifrado protege la confidencialidad del conjunto de los datos, mientras que la seudonimización protege específicamente la vinculación entre datos e identificador del titular. Ambas técnicas son salvaguardas complementarias que el RGPD reconoce y pueden aplicarse conjuntamente en un mismo tratamiento cuando el nivel de riesgo lo justifique, con las ventajas acumulativas correspondientes a cada técnica combinada.
¿Cuánto tiempo puede conservarse la información adicional?
Depende de la finalidad del tratamiento seudonimizado. La información adicional debe conservarse mientras exista finalidad legítima para reidentificar —seguimiento del paciente en investigación, comunicación de hallazgos relevantes, necesidad clínica que aparezca en el desarrollo del uso secundario—. Cuando la finalidad cesa y ya no es necesario reidentificar, la información adicional debe destruirse, con lo que la seudonimización se convierte de facto en anonimización irreversible al desaparecer la posibilidad técnica de reidentificación. La destrucción debe documentarse formalmente, con el certificado de destrucción que corresponda, y a partir de ese momento los datos pueden considerarse anonimizados en el tratamiento correspondiente al centro sanitario que gestiona el uso secundario de la información inicialmente seudonimizada.
¿Los datos seudonimizados están protegidos frente a brechas de seguridad?
Menos expuestos, pero no inmunes. Una brecha de seguridad que afecte a datos seudonimizados tiene menor impacto que una brecha en datos con identificador directo, porque el atacante no puede vincular directamente los datos con las personas concretas. Pero si la brecha afecta también a la información adicional custodiada separadamente, la seudonimización deja de proteger y la brecha equivale a la exposición del identificador directo. La AEPD valora la seudonimización como factor atenuante en la valoración de brechas de seguridad, pero la seudonimización no exime de la obligación de notificar la brecha si supone riesgo para los derechos y libertades de las personas afectadas. La notificación debe hacerse conforme al régimen general del RGPD, con la matización del efecto de la seudonimización en la valoración del riesgo correspondiente al caso concreto de la brecha detectada por el centro correspondiente.
¿Puedo enviar datos seudonimizados a un proveedor cloud?
Puedes, con las garantías correspondientes. El envío de datos seudonimizados a un proveedor cloud es práctica útil que reduce la exposición del identificador directo, pero sigue exigiendo el contrato de encargo del tratamiento con el proveedor conforme al artículo 28 del RGPD y el cumplimiento del resto de garantías del tratamiento —seguridad, ubicación de los datos, notificación de brechas por parte del proveedor—. La seudonimización previa aporta capa adicional de protección pero no sustituye a las obligaciones generales del encargo del tratamiento. Antes de contratar cualquier servicio cloud es imprescindible verificar la ubicación de los datos, las garantías del proveedor sobre seguridad y las condiciones específicas del contrato de encargo, con asesoramiento profesional cuando el tratamiento tenga particularidades relevantes correspondientes al ámbito sanitario.
¿Cómo compruebo si la seudonimización en mi centro es efectiva?
Con una comprobación concreta. Coge un flujo de seudonimización real de tu centro y verifica cuatro cosas: la técnica utilizada es criptográficamente robusta y actualizada, la información adicional está custodiada separadamente con controles de acceso estrictos, ninguna persona tiene acceso simultáneo a los datos seudonimizados y a la información adicional con permiso operativo y las reidentificaciones quedan trazadas con motivo declarado. Si todos los elementos se cumplen con solvencia, la seudonimización es efectiva; si detectas lagunas —acceso simultáneo del mismo perfil, trazabilidad insuficiente, técnica obsoleta— ajusta la operativa para las próximas ocasiones con la mejora correspondiente identificada en la revisión periódica de la operativa del centro correspondiente al tratamiento de datos personales realizado.
¿La seudonimización se aplica en la historia clínica ordinaria?
No con carácter general. La historia clínica ordinaria mantiene el identificador directo del paciente porque el profesional que la consulta necesita saber a quién corresponde para atenderlo. Aplicar seudonimización a la historia clínica ordinaria complicaría innecesariamente la asistencia sin aportar protección real, porque el profesional tendría que reidentificar constantemente para poder actuar. La seudonimización tiene su aplicación adecuada en usos secundarios —investigación, estadística, comunicación con proveedores externos— donde el uso no requiere el identificador directo del paciente para su finalidad concreta. La distinción entre uso primario y uso secundario es determinante para decidir si la seudonimización es adecuada en cada tratamiento correspondiente al centro sanitario que la considera.
¿Comparando opciones?
Compara obeliomed con tu software actual en 30 minutos
Te mostramos en la demo exactamente en qué se diferencia: precio real, funcionalidades que importan y tiempo de implementación.
Más sobre seguridad, custodia y protección del dato
Derecho al olvido en sanidad: qué es y cómo se ejerce cuando choca con la conservación clínica
Referencias RGPD, artículo 17: derecho a la supresión (derecho al olvido) y sus excepciones tasadas. Ley 41/2002, básica…
Leer artículo →
Firma electrónica: qué es, qué tipos hay y qué eficacia jurídica tiene en sanidad
Referencias Reglamento (UE) 910/2014 eIDAS: reglamento europeo de identificación electrónica y servicios de confianza. Ley 6/2020 sobre servicios…
Leer artículo →
Anonimización frente a seudonimización: qué las distingue y cuándo aplicar cada una
Referencias RGPD, considerando 26: definición de dato personal y su relación con la identificación razonable. AEPD — Orientaciones…
Leer artículo →Referencias
- RGPD, artículo 4 apartado 5 y artículo 32: definición de seudonimización y su papel como medida técnica.
- ENISA — Técnicas avanzadas de seudonimización: orientación técnica europea sobre implementación de la seudonimización.
- AEPD — Informes y resoluciones: doctrina española sobre seudonimización y anonimización en tratamientos concretos.
Última actualización: agosto de 2026.
