Anonimización de datos: guía completa según el RGPD
Julio 2026 · Lectura: ~15 min
La anonimización de datos es el proceso de transformar datos personales de forma irreversible, de modo que ninguna persona pueda ser identificada por medios razonables. Los datos correctamente anonimizados dejan de ser datos personales y quedan fuera del ámbito de aplicación del RGPD.
Esa definición, aparentemente sencilla, esconde el concepto más exigente de toda la normativa de protección de datos. La anonimización es la única puerta de salida del RGPD: el único tratamiento que convierte información regulada en información libre. Precisamente por eso el listón es alto, y por eso la mayoría de los conjuntos de datos que las organizaciones llaman «anonimizados» no lo están: son seudonimizados, agregados de forma insuficiente o simplemente maquillados.
Esta guía explica qué convierte un dato personal en un dato anónimo a ojos del RGPD y de la AEPD, qué técnicas y modelos formales existen, en qué casos de uso reales se aplica —del test de software a la publicación en abierto— y qué relación guarda todo esto con la anonimización de documentos, donde el dato no vive en una tabla sino en el texto libre de un PDF.
Datos anonimizados vs datos personales: dónde está la frontera
El RGPD define dato personal como «toda información sobre una persona física identificada o identificable» (art. 4.1). La palabra que sostiene todo el edificio es identificable: no hace falta que el dato lleve nombre y apellidos; basta con que alguien, con medios razonables, pueda llegar hasta la persona.
El considerando 26 concreta el criterio: para decidir si una persona es identificable hay que tener en cuenta «todos los medios, como la singularización, que razonablemente pueda utilizar el responsable del tratamiento o cualquier otra persona», valorando el coste, el tiempo necesario y la tecnología disponible en el momento del tratamiento y su evolución previsible. Es un test dinámico: un dataset anónimo en 2015 puede no serlo en 2026 si han aparecido fuentes públicas con las que cruzarlo.
La consecuencia práctica de cruzar la frontera es enorme. Mientras el dato es personal, necesitas base legal para tratarlo, debes atender los derechos de acceso, rectificación y supresión, aplicar los principios del artículo 5 RGPD y responder ante la AEPD. Cuando el dato es anónimo, nada de eso aplica: puedes conservarlo indefinidamente, publicarlo, venderlo o usarlo para entrenar modelos. Por eso la anonimización no es solo una medida de seguridad: es una decisión estratégica sobre qué información puede circular libremente.
Y por eso también el error más caro en esta materia es el falso positivo: tratar como anónimo lo que no lo es. Quitar el nombre y el DNI de una tabla no anonimiza nada si quedan cuasi-identificadores —fecha de nacimiento, código postal, profesión— que combinados singularizan a la persona. El caso clásico lo demostró Latanya Sweeney: el 87 % de la población de EE.UU. es identificable de forma única con solo tres atributos (código postal, fecha de nacimiento y sexo).
El marco legal: RGPD, dictamen 05/2014 y guía de la AEPD
Tres textos forman el canon de la anonimización en Europa y en España:
Considerando 26 RGPD
Excluye la información anónima del Reglamento «inclusive con fines estadísticos o de investigación» y fija el test de los medios razonables. Su reverso es el artículo 4.5: la seudonimización no es anonimización, como detalla la guía sobre seudonimización vs anonimización.
Dictamen 05/2014 del Grupo de Trabajo del Artículo 29 (WP216)
Sigue siendo la referencia técnica europea. Define los tres riesgos que toda anonimización debe neutralizar: singularización (aislar a un individuo en el dataset), vinculabilidad (enlazar registros de la misma persona entre fuentes) e inferencia (deducir un atributo con alta probabilidad). Además evalúa técnica por técnica —aleatorización, generalización, seudonimización— frente a esos tres vectores.
Guía de la AEPD: orientaciones y garantías en los procedimientos de anonimización
Traslada el marco europeo a la práctica española: recomienda gobernanza del proceso (definir finalidades y roles antes de anonimizar), análisis de riesgo de reidentificación documentado, pruebas periódicas contra fuentes externas y un principio rector honesto: la anonimización absoluta no existe; el objetivo es reducir el riesgo hasta un nivel insignificante y poder demostrarlo.
Cómo se anonimiza: familias de técnicas
El dictamen 05/2014 agrupa las técnicas en dos grandes familias, que en la práctica se combinan:
Aleatorización
Altera la veracidad del dato para romper su vínculo con la persona: adición de ruido, permutación de valores entre registros, privacidad diferencial. El dato deja de ser exacto pero conserva utilidad estadística.
Generalización
Diluye al individuo en un grupo: sustituir la edad exacta por una franja, la dirección por el municipio, la fecha por el trimestre. Es la base de los modelos formales tipo k-anonimato.
A ellas se suman la supresión directa del atributo, el enmascaramiento con etiquetas y la seudonimización como paso intermedio (nunca como resultado final). El detalle de cada técnica, con tabla comparativa y criterios de elección, está en la guía de técnicas de anonimización.
k-anonimato, l-diversidad y privacidad diferencial, sin fórmulas
Cuando el conjunto de datos debe conservar utilidad analítica, no basta con aplicar técnicas sueltas: hay que poder medir cuánta protección se ha conseguido. Para eso existen los modelos formales.
El k-anonimato garantiza que cada combinación de cuasi-identificadores aparece al menos k veces: si k=5, cualquier persona del dataset es indistinguible de al menos otras cuatro. Es intuitivo y verificable, pero tiene un punto ciego: si las cinco personas del grupo comparten el mismo dato sensible (todas tienen la misma enfermedad), el atacante no necesita distinguirlas para saberlo. Ese ataque de homogeneidad lo corrige la l-diversidad, que exige variedad en el atributo sensible dentro de cada grupo, y la t-proximidad afina más: la distribución del dato sensible en cada grupo debe parecerse a la del conjunto completo.
La privacidad diferencial juega en otra liga: en lugar de transformar el dataset, añade ruido calibrado a los resultados de las consultas, con una garantía matemática de que la presencia o ausencia de cualquier individuo apenas altera el resultado. Es el estándar de los censos y de la analítica a gran escala, pero exige conocimientos estadísticos serios y no es aplicable directamente a un expediente o una sentencia individual: su terreno son los agregados, no los documentos.
Casos de uso reales de la anonimización de datos
Datos de prueba para desarrollo de software
Copiar la base de datos de producción al entorno de test es una práctica tan extendida como sancionable: los datos reales quedan expuestos a todo el equipo de desarrollo, a proveedores y a entornos con menos medidas de seguridad. La alternativa correcta es doble: generar datos sintéticos con la misma estructura y distribución, o anonimizar la copia (suprimir identificadores, generalizar cuasi-identificadores, perturbar valores) antes de que salga de producción. La AEPD lo señala de forma recurrente en sus actuaciones de inspección.
Investigación y estadística
El RGPD y la LOPDGDD favorecen expresamente el uso de datos anonimizados en investigación: una vez anonimizados, los datos pueden conservarse y reutilizarse sin límite de finalidad. Cuando la anonimización total destruiría la utilidad (estudios longitudinales, cohortes pequeñas), la vía es la seudonimización con garantías reforzadas del art. 89 LOPDGDD para investigación en salud.
Publicación y open data
Portales de transparencia, datos abiertos y publicación de resoluciones: todo lo que se publica en abierto debe estar anonimizado de forma efectiva, porque el «atacante» potencial es cualquiera y los medios disponibles son todos. Es el escenario con el listón más alto, y también donde más falsas anonimizaciones se detectan: datasets agregados con celdas de valor 1, sentencias con el nombre tachado pero el DNI intacto en un anexo.
Entrenamiento de modelos de IA
Usar datos personales para entrenar modelos exige base legal y plantea riesgos de memorización: un modelo puede reproducir literalmente datos de entrenamiento. Anonimizar el corpus antes del entrenamiento —o los documentos antes de cargarlos en herramientas de IA de terceros— elimina el problema en origen. Es una de las prácticas que más ha crecido desde 2024.
Compartición con terceros y auditorías
Cuando un tercero (auditor, consultor, perito) no necesita saber quién es la persona sino qué dicen los datos, la minimización del art. 5.1.c RGPD apunta en una dirección: anonimizar antes de compartir. Lo que no sale identificado no necesita contrato de encargo que lo proteja.
El riesgo de reidentificación: por qué fallan las anonimizaciones
La historia de la anonimización se cuenta mejor por sus fracasos. En 2006, AOL publicó 20 millones de búsquedas «anonimizadas» sustituyendo usuarios por números; periodistas del New York Times reidentificaron a la usuaria 4417749 en días, solo por el contenido de sus búsquedas. El mismo año, Netflix liberó un dataset de valoraciones de películas para un concurso; investigadores lo cruzaron con IMDb y reidentificaron usuarios con dos o tres valoraciones públicas. Ninguno de los dos datasets contenía nombres.
La lección es la que formalizó el WP29: la anonimización no falla por dejar el nombre, sino por dejar huellas combinables. Fechas precisas, ubicaciones, secuencias de comportamiento, atributos raros: cada uno inocuo por separado, identificador en conjunto. Por eso una anonimización seria exige un análisis de riesgo documentado —qué fuentes externas existen, qué sabría un atacante razonable, qué pasa si el dataset se cruza con el padrón o con redes sociales— y una revisión periódica, porque las fuentes externas crecen cada año.
Y la consecuencia jurídica de un fallo es doble: los datos «anonimizados» reidentificables se tratan retroactivamente como personales (con todas las infracciones que eso destapa: tratamiento sin base legal, comunicación no autorizada) y la publicación misma puede constituir una brecha notificable del art. 33 RGPD.
De los datos a los documentos: cuando el dato vive en un PDF
Todo lo anterior asume un escenario cómodo: datos estructurados, en tablas, con cada atributo en su columna. Pero en el mundo jurídico-administrativo español la mayor parte de los datos personales no viven ahí: viven en texto libre —sentencias, expedientes, actas, informes, contratos— y en formatos como el PDF que además guardan información en capas invisibles: metadatos, capas de texto bajo imágenes, anotaciones, historial de revisiones.
Anonimizar un documento exige por tanto dos pasos que en los datos estructurados no existen: primero encontrar los datos (detección de entidades en lenguaje natural: nombres, DNI, IBAN, direcciones, referencias a menores o datos de salud) y después eliminarlos de verdad, del contenido real del archivo y de todas sus capas, no cubrirlos con un rectángulo. Las técnicas son las mismas de esta guía —supresión, enmascaramiento— pero aplicadas sobre un soporte mucho más traicionero.
Ese es exactamente el terreno de la anonimización de documentos: la aplicación de la anonimización de datos al mundo del texto libre y el PDF. Si tu problema tiene esa forma —publicar resoluciones, compartir expedientes, depurar informes—, con AnonDocs puedes anonimizar documentos de forma automática, estructural y auditable.
Preguntas frecuentes
¿Qué es la anonimización de datos?
Es el proceso de transformar datos personales de forma que ninguna persona pueda ser identificada por ningún medio razonable, de manera irreversible. Un conjunto de datos correctamente anonimizado deja de ser dato personal y queda fuera del ámbito de aplicación del RGPD: puede tratarse, compartirse o publicarse sin base legal, sin derechos ARCO que atender y sin límite de conservación.
¿Los datos anonimizados están sujetos al RGPD?
No, siempre que la anonimización sea efectiva. El considerando 26 del RGPD excluye expresamente la información anónima de su ámbito de aplicación, incluso para fines estadísticos o de investigación. La condición es exigente: teniendo en cuenta todos los medios que razonablemente puedan utilizarse, no debe ser posible reidentificar al interesado. Si la reidentificación es factible, los datos siguen siendo personales aunque se llamen «anonimizados».
¿Qué diferencia hay entre datos anonimizados y datos seudonimizados?
Los datos seudonimizados conservan la posibilidad de reidentificación: los identificadores se han sustituido por códigos, pero existe información adicional (una tabla de correspondencia, una clave) que permite revertir el proceso. Por eso siguen siendo datos personales y el RGPD se les aplica íntegramente. Los datos anonimizados han perdido esa posibilidad de forma irreversible y quedan fuera del Reglamento.
¿Cómo se anonimizan datos de prueba para desarrollo de software?
La práctica recomendada es no copiar producción a los entornos de test: o bien se generan datos sintéticos con la misma estructura, o bien se aplica una anonimización efectiva sobre la copia (supresión o sustitución de identificadores, generalización de cuasi-identificadores y perturbación de valores sensibles) antes de que llegue al entorno de desarrollo. Usar datos reales sin anonimizar en entornos de prueba es una de las infracciones que la AEPD encuentra con más frecuencia en auditorías.
¿Qué es el k-anonimato?
Es un modelo formal de privacidad que exige que cada combinación de atributos cuasi-identificadores (edad, sexo, código postal...) aparezca al menos k veces en el conjunto de datos, de modo que ningún individuo sea distinguible de al menos k-1 personas más. Sus debilidades frente a ataques de homogeneidad se corrigen con extensiones como la l-diversidad y la t-proximidad.
¿Es lo mismo anonimizar datos que anonimizar documentos?
El objetivo legal es el mismo, pero el problema técnico es distinto. La anonimización de datos suele operar sobre información estructurada (tablas, bases de datos) donde cada campo está delimitado. La anonimización de documentos trabaja sobre texto libre en ficheros como PDF, donde primero hay que detectar los datos (nombres, DNI, direcciones) dentro del contenido y después eliminarlos de todas las capas del archivo, metadatos incluidos.
Conclusión
La anonimización de datos es la herramienta más poderosa del RGPD precisamente porque es la única que saca la información de su ámbito. Pero esa potencia tiene un precio: un estándar técnico exigente (resistir singularización, vinculabilidad e inferencia con medios razonables presentes y futuros), un proceso documentado y la honestidad de asumir que el riesgo cero no existe y que lo que hoy es anónimo puede dejar de serlo.
El siguiente paso natural es elegir herramienta según el terreno: para datos estructurados, las técnicas de anonimización y los modelos formales; para diferenciar regímenes jurídicos, seudonimización vs anonimización; y para el texto libre y los PDF, la guía completa de anonimización de documentos.