Durante años, la respuesta prudente en protección de datos europea ha sido que los datos seudonimizados siguen siendo datos personales mientras alguien, en cualquier lugar, conserve la clave. El proyecto de directrices del CEPD sobre seudonimización de enero de 2025 lo sigue afirmando incluso cuando los datos y la clave están en manos distintas. Dos textos más recientes han precisado esa respuesta. El 4 de septiembre de 2025 el Tribunal de Justicia resolvió el asunto SEPD/SRB (C-413/23 P), y el 7 de julio de 2026 el Comité Europeo de Protección de Datos (CEPD) adoptó el proyecto de directrices 02/2026 sobre anonimización, abierto a comentarios hasta el 30 de octubre de 2026 a las 23:59 CET. Leídos juntos, explican cuándo un mismo archivo puede ser dato personal para ti y anónimo para otro, y por qué eso sirve de poco cuando ese otro es un proveedor de servicios que trabaja para ti.
A continuación encontrarás lo que dicen los dos textos, con referencias a los apartados, y después la pregunta práctica para despachos de abogados, asesorías, equipos de RR. HH. y cualquiera que pegue documentos en una herramienta de IA: ¿seudonimizar de forma reversible o tachar para siempre?
Los datos clave de un vistazo
| Elemento | Dato verificado | Fuente |
|---|---|---|
| Documento del CEPD | Directrices 02/2026 sobre anonimización, versión 1.0 | PDF del CEPD, portada |
| Adopción | 7 de julio de 2026, «para consulta pública» | historial de versiones, p. 1 |
| Consulta | del 8 de julio al 30 de octubre de 2026, 23:59 CET (115 días) | página de consulta del CEPD |
| Extensión | 103 apartados, 25 ejemplos prácticos, un anexo con diagrama de flujo | PDF del CEPD |
| Sustituye a | Dictamen 05/2014 del Grupo de Trabajo del Artículo 29 | apdo. 2 |
| Texto complementario | Directrices 01/2025 sobre seudonimización, adoptadas el 16 de enero de 2025, consulta cerrada el 14 de marzo de 2025, versión final aún sin publicar | página de consulta del CEPD |
| Sentencia | TJUE, Sala Primera, C-413/23 P, SEPD/SRB, 4 de septiembre de 2025 | encabezamiento de la sentencia |
| Datos del asunto | 23 822 comentarios de 2855 personas; 1104 comentarios enviados a Deloitte con un código aleatorio de 33 dígitos | apartados 23 a 26 |
| Legislación | Digital Omnibus, COM(2025) 837: el mandato del Consejo del 21 de octubre de 2026 suprime la nueva redacción del art. 4, punto 1; el Parlamento aún no ha votado | doc. del Consejo 14756/26; Observatorio Legislativo del PE |
Conviene hacer una aclaración, porque varios comentarios describen el texto de 2026 como una guía sobre «seudonimización y anonimización». El título y el contenido tratan solo de anonimización. La palabra «seudonimización» no aparece en el documento; los seudónimos se mencionan en un único ejemplo y en un apartado sobre datos claramente no anónimos. La seudonimización tiene su propio proyecto, las directrices 01/2025, que el texto de 2026 no cita.
Qué decidió el Tribunal en el asunto SRB
Tras la resolución de Banco Popular en 2017, la Junta Única de Resolución (SRB) invitó a los accionistas y acreedores afectados a comentar su decisión preliminar. Recibió 23 822 comentarios de 2855 participantes, descartó 20 101 idénticos y conservó 3730 comentarios individuales. De ellos, 1104 se referían a la valoración y se enviaron a Deloitte el 17 de junio de 2019 (apartados 24 a 26). Cada comentario llevaba un identificador aleatorio de 33 dígitos, y solo la SRB podía vincular ese código con los documentos de identidad recogidos en el registro (apartados 23 y 28). Algunos participantes se quejaron de que el aviso de privacidad no mencionaba a Deloitte como destinatario.
El Tribunal estableció cuatro principios que valen más allá de los hechos del caso.
Las opiniones son datos personales de quien las expresa. Una opinión personal está «necesariamente vinculada a esa persona» (apartado 58), de modo que no hace falta analizar por separado su finalidad o su efecto.
Los datos seudonimizados no son automáticamente personales para todos. La seudonimización es una medida de reducción del riesgo y no forma parte de la definición de dato personal (apartado 72). Como la clave existe, los datos seudonimizados no pueden considerarse anónimos «en todos los casos» (apartado 73). Pero es igual de erróneo considerarlos personales «en todos los casos y para cualquier persona» (apartado 86). Para un destinatario, los datos pueden no ser personales si se cumplen dos condiciones: el destinatario no puede levantar las medidas técnicas y organizativas, y esas medidas impiden de verdad la atribución, incluso cruzando otra información que el destinatario posea (apartado 77).
Las transferencias posteriores devuelven los datos al ámbito del RGPD. Si no se puede descartar que un destinatario posterior disponga de medios para reidentificar, los datos son personales para esa transferencia y para el tratamiento de ese destinatario (apartado 85).
La transparencia se valora desde el lado del responsable, en el momento de la recogida. La SRB debía nombrar a Deloitte en su aviso de privacidad cuando recogió los comentarios, «con independencia de que esos datos fueran o no datos personales» desde el punto de vista de Deloitte (apartados 111 y 112). Sobre esa base, el Tribunal rechazó el motivo principal de la SRB, anuló la sentencia del Tribunal General de 2023 y devolvió el asunto únicamente para un motivo distinto sobre buena administración (apartados 118 a 122).
La sentencia interpreta el Reglamento 2018/1725 sobre las instituciones de la UE, cuya definición de dato personal el Tribunal lee del mismo modo que el artículo 4, punto 1, del RGPD (apartado 52).
Qué añade el proyecto del CEPD
El CEPD convierte el razonamiento del asunto SRB en una prueba general. La información es anónima si no se refiere a una persona o si la persona no es identificable, y «estas respuestas pueden variar de una entidad a otra» (apdo. 6). La pregunta que guía toda evaluación es «¿para quién deben ser anónimos los datos?» (apdo. 12). Varios apartados reducen después el margen que deja este enfoque relativo.
Los encargados heredan la perspectiva del responsable. Si una entidad trata datos por cuenta de un responsable para el que son personales, los datos son personales también para esa entidad, que es un encargado del tratamiento con arreglo al RGPD (apdo. 15). El CEPD lo ilustra con un minorista que envía extractos a una agencia de análisis que actúa por su cuenta: datos personales para ambos (ejemplo 3). Solo un destinatario que decide sus propios fines y medios, como un instituto de investigación independiente, se evalúa desde su propia perspectiva (ejemplo 4).
Basta una probabilidad insignificante. La identificación no tiene que ser imposible, pero su probabilidad «debe ser insignificante en la realidad» (apdo. 22), y los medios solo se descartan cuando son imposibles, desproporcionados en tiempo, coste y esfuerzo, o están prohibidos por ley (apdo. 26).
Los contratos no son ley. Una prohibición contractual de reidentificar no es una prohibición legal y solo puede complementar las medidas técnicas (apdo. 34). Tampoco es un argumento fiable la falta de motivación para reidentificar (apdo. 31).
Reidentificar es cada vez más barato. La mayoría de las técnicas documentadas funcionan con hardware corriente, y el CEPD espera que la IA agéntica «reduzca aún más el tiempo y los costes» de la reidentificación (apdo. 92). También se puede inducir a los modelos de IA a revelar información sobre personas (apdo. 82).
Tres criterios. Los datos superan la prueba si no es posible aislar un registro, vincularlo con otros datos ni hacer inferencias; si se cumplen los tres criterios, los datos «pueden considerarse con seguridad anónimos» (apdo. 52). La prueba puede aplicarse de forma contextual, entidad por entidad, o de forma simplificada, que ignora las diferencias entre entidades y es más prudente (apdos. 45 a 47).
Palabras y registros. Los responsables no deberían llamar a los datos «anónimos», «desidentificados» o «despersonalizados» cuando las personas siguen siendo identificables (apdo. 40), y deberían documentar el proceso de anonimización y sus pruebas, y conservar esa documentación (apdo. 41). Las evaluaciones hechas con el Dictamen de 2014 no tienen que repetirse (nota 3).
Cómo encajan los proyectos de 2025 y 2026
Los dos proyectos del CEPD se escribieron a ambos lados de la sentencia, y se nota. Las directrices 01/2025 afirman que los datos seudonimizados siguen siendo personales incluso cuando los datos y la información adicional «no están en manos de la misma persona» (apdo. 22). Después el Tribunal declaró que los datos seudonimizados no son personales «en todos los casos y para cualquier persona». El proyecto de 2026 sigue al Tribunal y cita la sentencia SRB en diez notas, pero no menciona el texto de 2025, que a su vez no se ha finalizado. Hasta que se actualicen las directrices sobre seudonimización, las organizaciones leerán el texto 01/2025 para la mecánica de la seudonimización (dominios de seudonimización, secretos, tablas de correspondencia) y el texto 02/2026 junto con la sentencia SRB para saber para quién son personales los datos.
El terreno común es más amplio de lo que sugiere la tensión. Ambos textos coinciden en que el responsable que conserva la clave siempre trata datos personales (resumen de las directrices 01/2025; 02/2026, apdo. 37), en que una tabla de correspondencia es en sí misma un dato personal que debe protegerse (01/2025, apdo. 93) y en que la seudonimización es útil como garantía con arreglo a los artículos 25 y 32 del RGPD incluso cuando no saca los datos del ámbito de aplicación.
El Digital Omnibus: el legislador aborda la cuestión
El enfoque relativo está ahora también ante el legislador de la UE. El 19 de noviembre de 2025 la Comisión propuso el Digital Omnibus, COM(2025) 837 (procedimiento 2025/0360 (COD)), que añadiría tres frases a la definición de datos personales del artículo 4, punto 1, del RGPD. La central dice que la información «no será personal para una entidad determinada cuando esa entidad no pueda identificar a la persona física», teniendo en cuenta los medios que esa entidad pueda utilizar razonablemente. La última añade que la información no pasa a ser personal para esa entidad solo porque un posible destinatario posterior pudiera identificar a la persona (artículo 3, punto 1, de la propuesta). La Comisión presenta el cambio como una codificación de la jurisprudencia sobre seudonimización (exposición de motivos, pp. 10 y 11), y un nuevo artículo 41 bis le permitiría decidir mediante acto de ejecución cuándo los datos seudonimizados dejan de ser personales para determinadas entidades.
El CEPD y el SEPD rechazaron ambas ideas en el Dictamen conjunto 2/2026 del 10 de febrero de 2026. A su juicio, el texto toma «un solo elemento de un solo asunto» (apdo. 15), y su última frase va más allá de la sentencia SRB, en la que el Tribunal confirmó que los datos puestos a disposición de un destinatario capaz de identificar pasan a ser personales para ese destinatario y, de forma indirecta, para quien los puso a su disposición (apdo. 16, que cita los apartados 84 y 85 de la sentencia). Instaron a los colegisladores a no adoptar el cambio (apdo. 21), pidieron suprimir el artículo 41 bis (apdo. 25) y señalaron que las cuestiones abiertas corresponden a las orientaciones del CEPD (apdo. 19). Una de las cuestiones que enumeraron, si un destinatario que no puede identificar a nadie pero trabaja por cuenta de un responsable es un encargado del tratamiento (nota 29), es la que las directrices 02/2026 respondieron después en su apdo. 15.
El Consejo sigue un camino distinto al de la Comisión. Su mandato de negociación, acordado por el Coreper el 21 de octubre de 2026 (documento del Consejo 14756/26), suprime las nuevas frases del artículo 4, punto 1, y sustituye el artículo 41 bis por un nuevo artículo 25 bis sobre seudonimización. Los datos seudonimizados no son personales para un tercero que no puede identificar a la persona (artículo 25 bis, apdo. 2); si ese tercero los transmite a alguien que sí puede, tanto la transferencia como el tratamiento posterior afectan a datos personales (25 bis, apdo. 3); y para un encargado que actúa por cuenta del responsable son siempre datos personales (25 bis, apdo. 4). En lugar de actos de ejecución, el CEPD emitiría un dictamen sobre seudonimización y anonimización (25 bis, apdo. 6). En el Parlamento Europeo, las comisiones conjuntas ITRE y LIBE tienen un proyecto de informe, pero a 27 de octubre de 2026 no habían votado: los trílogos no han empezado y nada de esto es todavía ley.
| Texto | Fecha y estado | Qué dice sobre los datos seudonimizados |
|---|---|---|
| TJUE, SEPD/SRB, C-413/23 P | Sentencia, 4 de septiembre de 2025 | No son personales «en todos los casos y para cualquier persona» (apartado 86) |
| CEPD, Directrices 01/2025 | Proyecto del 16 de enero de 2025, no finalizado | Personales incluso si datos y clave están en manos distintas (apdo. 22) |
| CEPD, Directrices 02/2026 | Proyecto del 7 de julio de 2026, comentarios hasta el 30 de octubre de 2026 | Prueba relativa, pero siempre personales para un encargado (apdo. 15) |
| Comisión, Digital Omnibus, COM(2025) 837 | Propuesta, 19 de noviembre de 2025 | Redacción relativa en el art. 4, punto 1; actos de ejecución con arreglo al art. 41 bis |
| CEPD-SEPD, Dictamen conjunto 2/2026 | 10 de febrero de 2026 | No adoptar la nueva definición; suprimir el art. 41 bis (apdos. 21, 25) |
| Mandato del Consejo, doc. 14756/26 | Coreper, 21 de octubre de 2026 | Art. 4, punto 1 sin cambios; nuevo art. 25 bis, personales para encargados (25 bis, apdo. 4) |
| Parlamento Europeo, ITRE y LIBE | Proyecto de informe, sin votación en comisión a 27 de octubre de 2026 | Sin posición adoptada |
Puestos uno junto a otro, los textos convergen más de lo que sugiere el debate. El Tribunal aceptó que la identificabilidad depende de quién tiene los datos (SRB, apartado 86). El CEPD lo convirtió en una prueba que mantiene a los proveedores de servicios dentro del RGPD (02/2026, apdo. 15). El texto del Consejo escribiría esos mismos límites en el propio Reglamento. La única redacción que habría tratado con más laxitud las transferencias posteriores, la tercera frase de la Comisión, no cuenta con el apoyo de las autoridades de control ni del Consejo. Para quien deba decidir hoy cómo preparar un documento para una herramienta de IA o para un tercero, la sentencia SRB y los dos proyectos del CEPD siguen siendo la referencia.
Seudonimización reversible o anonimización permanente
La mayor parte del trabajo con documentos encaja en uno de dos patrones, y la sentencia SRB no cambia cuál conviene a cada tarea.
La seudonimización reversible sustituye nombres, identificadores y otros detalles por marcadores coherentes, mientras el responsable conserva una tabla de correspondencia. Es la opción adecuada cuando necesitas recuperar los valores reales: redactar una respuesta, analizar un contrato, resumir un expediente con un asistente de IA o pasar un papel de trabajo a un colega que más adelante deberá saber quién es quién. Para ti, el documento sigue siendo un dato personal. Para un proveedor que lo trata por tu cuenta también lo es (apdo. 15), por lo que sigue haciendo falta un contrato de encargado del tratamiento. La seudonimización aporta minimización y seguridad: el proveedor ve mucho menos, y una fuga o un uso indebido por su parte expone marcadores y no identidades.
La anonimización permanente o el tachado elimina la información sin dejar clave en ningún sitio, metadatos del documento incluidos. Es la opción adecuada cuando el documento sale de tu control hacia un destinatario independiente: publicación, entrega a la parte contraria o a un tribunal, respuesta a una solicitud de acceso que debe proteger a terceros, conjunto de datos de investigación o de entrenamiento. Aquí pesan más la sentencia SRB y el texto 02/2026, porque cuenta la perspectiva del destinatario, y los tres criterios indican qué comprobar: si un registro sigue destacando, si puede vincularse con otras fuentes y si puede inferirse algo concreto.
| Situación | Quién lo recibe | Opción habitual | ¿Dato personal para el destinatario? |
|---|---|---|---|
| Redacción o análisis con un servicio de IA que actúa por tu cuenta | Encargado del tratamiento | Seudonimización reversible | Sí (apdo. 15); hace falta contrato de encargado |
| Papel de trabajo compartido dentro del despacho | Tu propio personal | Seudonimización reversible | Sí, pero la exposición es menor |
| Escrito judicial, publicación, entrega a la contraparte | Tercero independiente | Tachado permanente | Solo si la reidentificación es razonablemente probable (apdos. 21, 22) |
| Conjunto de datos para un investigador independiente | Tercero independiente | Anonimización comprobada con los tres criterios | Se evalúa desde la perspectiva del destinatario (ejemplo 4) |
Qué significa en la práctica
Despachos de abogados. Los escritos y anexos que van a un tribunal o a la parte contraria necesitan un tachado permanente, y la prueba es si la parte contraria, un periodista o cualquier otro lector del expediente puede identificar todavía a la persona (el apdo. 30 cita entre los sujetos a considerar a periodistas de investigación, colegas y vecinos). Los detalles en texto libre son el punto débil habitual: un cargo, una fecha y una localidad pueden señalar a alguien aunque no figure el nombre, que es justo el problema del aislamiento de un registro. Para la redacción interna con herramientas de IA, la seudonimización reversible mantiene los nombres de los clientes fuera de los sistemas del proveedor sin perder la posibilidad de restaurarlos.
Asesorías y asesores fiscales. Los libros contables y las exportaciones de nóminas son datos estructurados, así que los tres criterios se aplican casi al pie de la letra: una columna con un NIF o un IBAN es un identificador, y la combinación de salario, fecha de alta y departamento puede aislar un registro. Seudonimizar por columnas conserva la aritmética y elimina los identificadores. Cuando los archivos van a un revisor externo que actúa por tu cuenta, recuerda que ese revisor es un encargado del tratamiento y que los datos siguen siendo personales.
RR. HH. Las encuestas a empleados y las investigaciones internas son una fuente recurrente de falso anonimato. El CEPD da el ejemplo de una encuesta de equipo en la que las puntuaciones agregadas revelan igualmente lo que pensaba cada miembro (ejemplo 17), y la sentencia SRB confirma que las opiniones son datos personales de su autor. Si los resultados se comparten con los mandos, importan más los umbrales mínimos de agregación y la supresión de los grupos pequeños que quitar los nombres.
Cualquiera que envíe documentos a herramientas de IA. Un proveedor de IA que trata tus peticiones siguiendo tus instrucciones es, según la lectura del CEPD, un encargado para el que los datos siguen siendo personales. La seudonimización no elimina esa relación, pero cambia lo que queda expuesto. Dos detalles merecen atención: si la tabla de correspondencia sale alguna vez de tu control y si el proveedor conserva los datos introducidos o los usa para entrenar. La advertencia del CEPD sobre las peticiones que llevan a los modelos de IA a extraer información sobre personas (apdo. 82) recuerda que lo que entra puede salir.
Herramientas como Redactic aplican los dos patrones sobre el mismo archivo: marcadores reversibles para el trabajo con IA, con los valores reales restaurados solo en el navegador del usuario, y tachado permanente con eliminación de metadatos para los documentos que salen de la organización, además de un certificado de tachado con los hashes de los documentos en cada operación, útil para el registro documental que describe el apdo. 41.
Para usar la IA sin entregar nombres ni identificadores, Redactic puede preparar tus documentos para la IA: los valores detectados se convierten en marcadores y los nombres reales vuelven a tu navegador cuando llega la respuesta.
Preguntas frecuentes
¿Siguen siendo datos personales los datos seudonimizados tras la sentencia SRB?
Para el responsable que conserva la clave, siempre. Para un destinatario depende: los datos pueden no ser personales para un destinatario independiente que no puede revertir la seudonimización ni reidentificar cruzando otra información (SRB, apartados 77 y 86), pero siguen siéndolo para cualquier encargado que trabaje por cuenta del responsable (02/2026, apdo. 15).
¿Tratan las directrices 02/2026 de la seudonimización?
No, tratan de la anonimización. La seudonimización se aborda en las directrices 01/2025, adoptadas para consulta el 16 de enero de 2025 y todavía no definitivas.
¿Cuándo termina la consulta del CEPD y cómo se responde?
El 30 de octubre de 2026 a las 23:59 CET, mediante el formulario de la página de consulta del CEPD. Las respuestas se publican en el sitio web del CEPD.
¿Hace anónimos los datos para el destinatario un contrato que prohíbe la reidentificación?
Por sí solo, no. Según el CEPD, una prohibición contractual no es una prohibición legal y solo puede complementar las medidas técnicas (apdo. 34).
¿Cambiará el Digital Omnibus la definición de datos personales del RGPD?
Todavía no, y probablemente no en la forma propuesta al principio. La propuesta de la Comisión COM(2025) 837 añadiría un criterio relativo al artículo 4, punto 1, del RGPD. El CEPD y el SEPD pidieron a los colegisladores que no lo adoptaran (Dictamen conjunto 2/2026, apdo. 21), y el mandato de negociación del Consejo del 21 de octubre de 2026 lo suprime en favor de un nuevo artículo 25 bis, según el cual los datos seudonimizados siguen siendo personales para los encargados del tratamiento y para las transferencias posteriores a cualquiera que pueda identificar. El Parlamento Europeo aún no ha adoptado su posición, de modo que los trílogos no han empezado. Hasta que se adopte un texto, la sentencia SRB y las directrices del CEPD son la referencia.
¿Debo repetir las evaluaciones de anonimización hechas con el Dictamen de 2014?
No, según la nota 3, aunque se recomienda una reevaluación periódica porque la reidentificación es cada vez más fácil con el tiempo (apdo. 35).
Si trabajas con documentos de clientes, empleados o pacientes y quieres probar los dos enfoques con tus propios archivos, puedes empezar en redactic.eu. La detección y el tachado se ejecutan en infraestructura controlada por Redactic en Europa, y las tareas opcionales de IA son un paso aparte que trabaja con el texto preparado.
Cómo citar este artículo
Redactic. «¿Seudonimizados o anónimos? CEPD 02/2026 y la sentencia SRB». redactic.eu, octubre de 2026. https://redactic.eu/es/blog/seudonimizacion-anonimizacion-directrices-cepd-02-2026-srb/
Fuentes primarias: CEPD, Directrices 02/2026 sobre anonimización (v1.0, 7 de julio de 2026); CEPD, Directrices 01/2025 sobre seudonimización (16 de enero de 2025); TJUE, C-413/23 P, SEPD/SRB, 4 de septiembre de 2025; Comisión Europea, Digital Omnibus, COM(2025) 837 final, 19 de noviembre de 2025; CEPD-SEPD, Dictamen conjunto 2/2026, 10 de febrero de 2026; Consejo de la UE, doc. 14756/26 (mandato de negociación), 22 de octubre de 2026.
Guías relacionadas
- Anonimización de datos personales: guía RGPD e IA 2026
- Shadow AI en RR. HH.: usar IA sin infringir el RGPD (2026)
- Anonimizar contratos y escritos judiciales: guía 2026
- Asesorías y RGPD: anonimizar nóminas y NIF (2026)
Descubre cómo Redactic lo pone en práctica: Redactic, anonimización de documentos · Páginas de confianza y DPA.