Anonimización o seudonimización, cuál necesitas

Las dos palabras suenan parecido y se usan como si fueran intercambiables, pero describen operaciones distintas con consecuencias distintas. Cuando sustituyes el nombre de un paciente por un código y guardas la correspondencia en un cajón, has seudonimizado. Cuando nadie, ni siquiera tú, puede volver a saber de quién hablaba el documento, has anonimizado. Esta guía explica la diferencia con ejemplos, qué dice el RGPD de cada una y cómo decidir cuál necesitas antes de compartir un documento, en especial si el destinatario es una IA.

Seudonimizar, sustituir con camino de vuelta

Seudonimizar es sustituir los datos que identifican a una persona por marcadores o códigos, de forma que el documento deja de identificarla por sí solo. La clave está en el «por sí solo», porque la correspondencia entre cada marcador y su valor real sigue existiendo, guardada aparte. El RGPD la llama «información adicional» y exige mantenerla separada y protegida con medidas técnicas y organizativas. Si alguien consigue el documento y además esa correspondencia, la sustitución se deshace, y por eso el reglamento considera que un documento seudonimizado sigue conteniendo datos personales y sigue dentro de sus obligaciones.

A cambio, la seudonimización conserva lo que hace útil al documento. Un texto donde pone [NOMBRE_1] y [DNI_1] se puede leer, resumir, analizar y comentar con normalidad, y quien tenga la correspondencia puede devolver cada valor a su sitio cuando el trabajo termine. Es la herramienta natural cuando necesitas que un tercero, humano o máquina, trabaje sobre el contenido sin conocer a las personas.

Anonimizar, romper el vínculo del todo

Anonimizar es ir un paso más allá y eliminar cualquier camino de vuelta, no solo el tuyo. Un documento anonimizado de verdad queda fuera del RGPD, porque ya no hay persona identificable detrás, pero llegar ahí cuesta más de lo que parece. No basta con quitar nombres y números, porque el contexto también identifica. Si el texto habla de «la única profesora de música del pueblo», o combina un cargo, una fecha y un municipio, cualquiera del entorno sabe de quién se trata aunque el nombre no aparezca. Esos identificadores indirectos son la razón de que la anonimización se evalúe por el resultado, y si alguien con medios razonables puede reidentificar, no está anonimizado.

Cuál necesitas según lo que vayas a hacer

La pregunta que lo decide es si vas a necesitar volver atrás. Para pedirle a una IA que resuma un contrato o revise una nómina, la seudonimización es la opción correcta, porque la respuesta llegará llena de marcadores y querrás reponer los valores reales al final. Para publicar un caso, compartir estadísticas o subir un ejemplo a un foro, apunta a la anonimización, revisa los identificadores indirectos y asume que no habrá vuelta atrás. Y en los dos supuestos rige el mismo principio de minimización, porque cada dato que no viaja es un problema que no hay que gestionar.

Cómo lo hace Ofusca

Ofusca aplica este esquema sin que el documento salga de tu navegador. Al censurar y exportar el texto para una IA, cada dato tapado se sustituye por un marcador tipado y numerado, [DNI_1] o [NOMBRE_2], y la correspondencia con los valores reales solo existe si marcas la casilla del fichero clave, un JSON que se descarga a tu equipo y que puedes cifrar con contraseña. Esa clave es exactamente la «información adicional» de la que habla el RGPD, y guardarla aparte del texto es lo que mantiene la seudonimización en pie. El viaje de vuelta lo hace «Recuperar datos de la IA», que reinyecta los valores originales en la respuesta del asistente. Si no descargas la clave, no existe ningún camino de vuelta que dependa de Ofusca, aunque para hablar de anonimización plena conviene revisar también lo que el texto restante cuenta por contexto. El método completo para trabajar con asistentes lo contamos en la guía sobre subir documentos con datos a ChatGPT.

Errores frecuentes al anonimizar o seudonimizar

• Llamar anonimizado a lo que está seudonimizado. No es un matiz de vocabulario, cambia tus obligaciones. Mientras exista una correspondencia que deshaga la sustitución, el documento sigue conteniendo datos personales.
• Guardar la clave junto al documento. Una correspondencia que viaja en el mismo correo o vive en la misma carpeta compartida anula la protección. Separada y, si los datos son sensibles, cifrada.
• Olvidar los identificadores indirectos. Un cargo, unas fechas, un municipio o un detalle único identifican sin necesidad de nombre. Revisa lo que el texto sigue contando después de quitar los datos evidentes.
• Sustituir sin numerar. Imagina un contrato de alquiler donde el casero y el inquilino aparecen los dos como [NOMBRE]. Ya no se sabe quién paga a quién ni quién se comprometió a qué. Con [NOMBRE_1] para uno y [NOMBRE_2] para el otro, cualquiera sigue la historia completa sin saber jamás cómo se llaman.

Publicada el 6 de agosto de 2026.