Nivel: ⭐ Principiante
Vale, vamos a dejarlo claro desde el principio: si trabajas con datos de clientes —sean pacientes, compras o historiales— y crees que con quitar el nombre y poner un número ya está todo anónimo, tengo una mala noticia.
El 7 de julio de 2026, el Comité Europeo de Protección de Datos (EDPB) soltó un documento que revienta esa idea. Y no es una tontería: si tienes un sistema montado así, igual tienes que replanteártelo.
Pero vayamos por partes, que esto es más sencillo de lo que parece cuando te lo explican bien.
¿Qué ha pasado exactamente?
El EDPB ha publicado las Directrices 02/2026 sobre anonimizaciónProceso mediante el cual se elimina cualquier dato que pueda identificar a una persona (nombre, DNI, email, IP, etc.) de un conjunto de datos. Una vez anonimizados, los datos ya no se consideran datos personales según el RGPD, lo que permite usarlos para análisis o IA sin riesgos legales. No confundir con seudonimización: en la seudonimización los datos aún pueden revertirse con una clave; en la anonimización, no hay vuelta atrás. de datos. Son un conjunto de criterios que actualizan lo que se entendía por «dato anónimo» desde 2014. Y el cambio es gordo.
Hasta ahora: Un dato era anónimo o no lo era. Como un interruptor: ON u OFF. Quitabas el nombre, ponías un ID, y listo, ya podías decir que los datos eran anónimos.
Desde el 7 de julio: El anonimato ya no es blanco o negro. Depende de quién mire los datos y con qué herramientas. Un mismo conjunto de datos puede ser anónimo para tu gestoría pero no para Google, que tiene mil bases de datos para cruzarlo.
Para que se entienda: no es que la norma haya cambiado. Es que han puesto condicionales sobre los datos que se tienen pero, sobre todo, a dónde se mandan.
Los tres criterios (explicados para dummies)
El núcleo de las directrices son tres filtros. Si tus datos los superan todos, enhorabuena, puedes llamarlos anónimos. Si fallan en uno solo, sigue siendo dato personal y le aplica el RGPDNormativa europea que regula cómo las empresas y organizaciones deben tratar los datos personales de los ciudadanos de la UE. Establece principios como el consentimiento explícito, el derecho al olvido, la notificación de brechas de seguridad, y sanciones de hasta el 4% de la facturación anual. Para un autónomo o PYME, cumplir el RGPD no es opcional: si trabajas con datos de clientes, estás sujeto a él..
1. Que no se pueda aislar a una persona
Imagina que tienes una lista de clientes con edad, código postal y gasto mensual. Si en esa lista solo hay un cliente de 47 años de un código postal concreto, aunque le llames «Cliente 003», lo has señalado. ¿Por qué? Pues porque aunque no haya personales como el nombre o la dirección, si alguien (por ejemplo Google, que es el Dios de los datos) cruza edad con código postal, puede identificar al sujeto.
Esto pasa muchísimo en negocios pequeños: cuando tienes pocos clientes, agrupar datos ya los identifica.
2. Que no se pueda cruzar con otras fuentes
Aquí está el truco más común. Tú tienes una tabla con diagnósticos identificados por un ID, y otra tabla con los nombres reales. Piensas: «están separadas, está seguro».
Pero si alguien accede a las dos tablas —un empleado, un hacker, un proveedor— ya tiene la correspondencia. Y si cruza tu tabla de IDs con datos públicos, puede reconstruir quién es quién.
Para que se entienda: separar nombre y datos en dos tablas es pseudonimización, no anonimizaciónProceso mediante el cual se elimina cualquier dato que pueda identificar a una persona (nombre, DNI, email, IP, etc.) de un conjunto de datos. Una vez anonimizados, los datos ya no se consideran datos personales según el RGPD, lo que permite usarlos para análisis o IA sin riesgos legales. No confundir con seudonimización: en la seudonimización los datos aún pueden revertirse con una clave; en la anonimización, no hay vuelta atrás.. Y pseudonimizado sigue siendo dato personal.
3. Que no se pueda inferir algo sobre alguien
Este es el más sutil. Aunque no tengas el nombre de nadie, si de tus datos se puede deducir información sobre una persona concreta, has vulnerado su privacidad.
Ejemplo: un pequeño comercio tiene ventas anonimizadas, pero solo una persona compró un producto muy específico. Si alguien ve eso y sabe que su vecino lo compró, se ha producido una inferencia.
No es lo mismo los datos de salud que los datos del súper
No todos los datos tienen el mismo nivel de sensibilidad.
Si eres psicólogo, médico o abogado y manejas historiales clínicos, el riesgo de reidentificación es máximo. Los datos sanitarios son de los más protegidos del RGPDNormativa europea que regula cómo las empresas y organizaciones deben tratar los datos personales de los ciudadanos de la UE. Establece principios como el consentimiento explícito, el derecho al olvido, la notificación de brechas de seguridad, y sanciones de hasta el 4% de la facturación anual. Para un autónomo o PYME, cumplir el RGPD no es opcional: si trabajas con datos de clientes, estás sujeto a él..
Si eres una tienda online con registro de compras, el riesgo también existe, pero las consecuencias son distintas. Las directrices aplican a todos, pero las exigencias no son las mismas.
El dilema de fondo (y, sí, es muy real)
Si el dato es útil, permite reidentificar en algún grado.
Si anonimizas tanto que no se puede aislar, cruzar ni inferir nada, los datos ya no sirven. Has matado la información para salvarla.
La directriz plantea dos enfoques:
- Simplificado: criterio conservador para todos. Seguro, pero puedes tratar como personales datos que en práctica no lo serían.
- Contextual: caso por caso, según quién accede y con qué medios. Más realista, más complejo de justificar.
La reflexión que no viene en las directrices
Leyendo esto con calma, te das cuenta de algo que imposibilita muchas estructuras de datos: estas directrices, que nacen para proteger, terminan dejando al pequeño negocio sin término medio.
Hasta ahora, el autónomo tenía una solución práctica: pseudonimizar y firmar un DPADPA (Data Protection Authority, Autoridad de Protección de Datos) — organismo público independiente encargado de supervisar la aplicación de las leyes de protección de datos en un país o región. En España, la DPA es la AEPD (Agencia Española de Protección de Datos). En Europa, cada país tiene su propia DPA (la CNIL en Francia, la ICO en Reino Unido, el Garante en Italia). Su función incluye investigar violaciones de datos, imponer sanciones, emitir directrices y atender reclamaciones. Bajo el RGPD, las DPAs europeas coordinan actuaciones a través del CEPD.. No era perfecto, pero era un punto medio entre hacerlo todo local o rendirse a las grandes tecnológicas.
Con este criterio, ese punto medio se debilita. Quedan dos opciones:
- Local, en tu máquina. Seguro, pero requiere conocimientos y tiempo. La buena noticia es que cada vez existen más IA locales que necesitan menos recursos para correr (y que puedes contratar a alguien para que te diseñe todo el sistema).
- Gran plataforma. Te dan el papel, te cubren, pero te atan a su ecosistema y sus precios.
Cuando el listón se pone tan alto, solo los que tienen recursos pueden saltarlo. Y eso, siempre, beneficia a los mismos.
Puedes opinar (y deberías)
Las directrices están en consulta pública hasta el 30 de octubre de 2026. Cualquier persona puede presentar comentarios.
Guidelines 02/2026 — Public Consultation (EDPB)
Pero…
- No son ley firme. En consulta hasta octubre. Pueden cambiar.
- No hay sanciones aún. La AEPD tendrá que pronunciarse.
- El criterio contextual deja una puerta abierta.
- No es retroactivo. El estándar para adelante es otro.
¿Y ahora qué hago?
1. Deja de llamarlo anónimo si no lo es. Si separas nombre y datos con un ID, es pseudonimización. Trátalo como dato personal.
2. Si usas IA, haz las cuentas. Servicio externo → necesitas DPADPA (Data Protection Authority, Autoridad de Protección de Datos) — organismo público independiente encargado de supervisar la aplicación de las leyes de protección de datos en un país o región. En España, la DPA es la AEPD (Agencia Española de Protección de Datos). En Europa, cada país tiene su propia DPA (la CNIL en Francia, la ICO en Reino Unido, el Garante en Italia). Su función incluye investigar violaciones de datos, imponer sanciones, emitir directrices y atender reclamaciones. Bajo el RGPD, las DPAs europeas coordinan actuaciones a través del CEPD.. IA localModelos de inteligencia artificial que se ejecutan en tu propio ordenador o servidor, sin necesidad de conexión a internet. A diferencia de ChatGPT o Claude (que funcionan en la nube de terceros), la IA local procesa tus datos en tu máquina. Esto significa más privacidad, sin costes por uso, y disponibilidad sin conexión. Herramientas como Ollama facilitan tener IA local en cualquier portátil moderno. → riesgo mucho menor.
3. Documenta. Si demuestras que has evaluado los tres criterios y reevalúas periódicamente, estás cubierto.
4. Sigue esto. En consulta hasta octubre. Habrá guías, casos prácticos, sanciones.
Referencias:
– Directrices 02/2026 sobre anonimización (Dataseg)
– Documento oficial EDPB (PDF)
– Directrices blockchain y RGPD (misma semana)