Anonimización y seudonimización: cuando cambiar el nombre no basta

Sustituir un nombre por un código puede reducir riesgos, pero no siempre impide que una persona vuelva a ser identificada.

En la Universidad Pontificia Comillas se manejan datos en contextos muy distintos: encuestas, investigación, tutorías, convocatorias, movilidad, seguimiento académico, bibliotecas, gestión administrativa, publicaciones o colaboración con entidades externas. En muchos de esos casos surge una idea aparentemente sencilla: “quitamos el nombre y ya está”.

El problema es que la realidad suele ser menos simple. Una persona puede no aparecer con su nombre y apellidos, pero seguir siendo reconocible por una combinación de datos: titulación, curso, edad, centro, fecha de participación, país de origen, grupo reducido, puesto, departamento o una respuesta muy específica. La privacidad no depende solo de borrar una columna; depende de si, razonablemente, alguien podría volver a relacionar esos datos con una persona concreta.

Por eso conviene distinguir bien entre anonimización y seudonimización. No es una cuestión terminológica menor. De esa diferencia dependen las medidas de seguridad, los permisos, el modo de compartir información y las precauciones antes de publicar o intercambiar datos.

Qué es anonimizar y qué es seudonimizar

Anonimizar significa transformar los datos de forma que ya no puedan asociarse a una persona física identificada o identificable, ni directa ni indirectamente, teniendo en cuenta los medios razonables que podrían utilizarse para intentar identificarla. Si el resultado es realmente anónimo, deja de tratarse como dato personal en el sentido del RGPD.

Seudonimizar significa sustituir identificadores directos por otros valores, como códigos, números internos o alias, manteniendo separada la información que permitiría volver a relacionar esos códigos con las personas. Es una medida de protección muy útil, pero los datos seudonimizados siguen siendo datos personales si alguien puede reidentificar a la persona utilizando información adicional.

La diferencia práctica es sencilla: si en una tabla aparece “E-4729” en vez del nombre de una estudiante, pero existe otra tabla que relaciona “E-4729” con su identidad, estamos ante seudonimización. Puede estar muy bien protegida, puede ser adecuada para investigación o gestión, pero no es anonimización. Si, en cambio, el conjunto se ha transformado de tal manera que ya no permite identificar razonablemente a nadie, hablamos de anonimización.

Esta distinción importa porque muchas decisiones se toman a partir de ella: quién puede acceder, durante cuánto tiempo, con qué finalidad, si puede compartirse, si puede publicarse, si requiere revisión adicional y qué medidas técnicas y organizativas conviene aplicar.

Por qué importa en la vida universitaria

En el ámbito universitario, los datos no siempre parecen sensibles a primera vista. Una encuesta de satisfacción, una extracción para un cuadro de seguimiento o un listado de participantes en un proyecto pueden parecer materiales de trabajo rutinarios. Sin embargo, cuando se combinan con otros elementos, pueden revelar mucho más de lo previsto.

Por ejemplo, una encuesta sin nombres puede incluir titulación, curso, asignatura, grupo, edad, sexo, modalidad de matrícula y una respuesta abierta. Si en ese grupo solo hay una persona con esa combinación, la identificación puede ser muy fácil. Lo mismo puede ocurrir con datos de movilidad internacional, necesidades de apoyo, resultados académicos, participación en actividades, becas, prácticas, proyectos de investigación o incidencias administrativas.

También hay que tener en cuenta el contexto. Un conjunto de datos que parece poco identificable dentro de un informe interno puede volverse más arriesgado si se publica, se comparte con una entidad colaboradora o se cruza con información disponible en páginas web, redes sociales, memorias, directorios, repositorios académicos o publicaciones.

El riesgo no consiste solo en que alguien “adivine” un nombre. También puede consistir en inferir información privada sobre una persona: su situación académica, su participación en una investigación, su rendimiento, sus hábitos, su pertenencia a un grupo reducido o su relación con una convocatoria concreta.

Señales útiles y límites razonables

Hay señales que ayudan a detectar que un conjunto de datos puede no estar tan protegido como parece. Una de las más claras es la presencia de grupos muy pequeños. Si una tabla permite filtrar hasta llegar a una, dos o tres personas, el riesgo aumenta. Otra señal es la combinación de variables que, por separado, parecen inocuas, pero juntas son muy descriptivas.

También conviene fijarse en los campos de texto libre. Las respuestas abiertas en encuestas o formularios pueden contener nombres, cargos, asignaturas concretas, referencias a una tutoría, menciones a una situación personal o detalles que no estaban previstos en el diseño inicial. Aunque se hayan eliminado columnas identificativas, esos textos pueden devolver identidad al conjunto.

Los metadatos son otro punto que suele pasar desapercibido. Un fichero puede incluir autor, fechas de creación, rutas internas, comentarios, revisiones, propiedades del documento o información de ubicación en imágenes. INCIBE recuerda en sus materiales de concienciación que los metadatos no forman parte visible del contenido, pero pueden ofrecer información útil a terceros si se comparten sin revisión.

Ahora bien, una señal aislada no confirma por sí sola que exista un problema. Que un fichero use códigos no significa que esté mal protegido. Que un grupo sea pequeño no implica automáticamente que no pueda tratarse. Lo importante es valorar el conjunto: finalidad, datos incluidos, destinatarios, controles de acceso, posibilidad de cruce con otras fuentes y consecuencias para las personas afectadas.

Qué ocurre por dentro cuando se reidentifica

La reidentificación suele producirse por capas. Primero desaparece el nombre, pero permanecen características que describen a la persona. Después, alguien combina esas características con otra fuente de información. Finalmente, el resultado permite acotar tanto que la identidad vuelve a ser evidente o razonablemente deducible.

Un caso típico es el de los identificadores indirectos. La edad, el curso, el centro, la nacionalidad, el horario o el tipo de participación no identifican siempre por sí solos, pero pueden hacerlo juntos. En una universidad, además, algunos grupos son pequeños y ciertos itinerarios académicos o proyectos son muy reconocibles.

Otro caso es la clave de correspondencia. En un conjunto seudonimizado suele existir una tabla que conecta cada código con una persona. Si esa tabla se guarda sin separación suficiente, se comparte por error o queda accesible para quien no la necesita, la protección pierde gran parte de su utilidad.

También está el riesgo de cruce de fuentes. Un fichero interno puede parecer seguro, pero si se combina con una publicación, un listado de participantes, una noticia, un repositorio académico o información disponible en Internet, puede facilitar la identificación. Cuantos más datos se publican o se comparten, más importante es pensar en el contexto completo, no solo en una hoja de cálculo concreta.

Qué está en juego en la Universidad

La Universidad trabaja con información que sostiene su actividad diaria. En expedientes y actas, la exactitud y la confidencialidad son especialmente importantes. En tutorías y orientación, pueden aparecer circunstancias personales o académicas que requieren un trato prudente. En bibliotecas, servicios, convocatorias o movilidad, los datos pueden revelar intereses, necesidades, destinos, solicitudes o participación en programas concretos.

En investigación, el reto puede ser mayor. A veces se necesitan datos suficientemente ricos para obtener resultados útiles, pero cuanto más detalle se conserva, más aumenta la posibilidad de reidentificación. El equilibrio entre utilidad y protección debe pensarse desde el diseño del proyecto, no al final, cuando ya hay que publicar, remitir resultados o compartir un fichero.

También hay riesgos en documentos compartidos, cuadros de mando, exportaciones temporales, carpetas colaborativas y envíos por correo. Un fichero creado para una finalidad interna puede circular después por otros canales, descargarse en un ordenador personal, reutilizarse para una presentación o adjuntarse a un mensaje sin revisar si contiene más información de la necesaria.

Por eso, la anonimización y la seudonimización no deben entenderse como tareas aisladas, sino como parte de una forma ordenada de trabajar con información: clasificar, limitar accesos, revisar destinatarios, reducir campos, proteger ficheros, eliminar metadatos cuando proceda y consultar antes de compartir datos dudosos.

Cómo ayuda el STIC

El STIC puede orientar cuando hay dudas sobre cómo proteger un conjunto de datos desde el punto de vista técnico: revisión de riesgos, contención si se ha compartido información por error, recomendaciones sobre almacenamiento, control de accesos, protección de ficheros, recuperación de evidencias útiles y coordinación con las áreas que proceda.

También puede ayudar a valorar medidas prácticas: separar la tabla de correspondencia, restringir permisos, evitar copias innecesarias, revisar configuraciones de carpetas compartidas, comprobar si un fichero contiene metadatos o recomendar formas más seguras de enviar información. No se trata de frenar el trabajo, sino de reducir riesgos antes de que un error pequeño tenga un impacto mayor.

Cuando la duda afecte a protección de datos, finalidad del tratamiento, base jurídica, publicación, cesión o derechos de las personas, será necesario coordinarse con los responsables competentes en materia de privacidad y protección de datos. La seguridad técnica y la protección jurídica no compiten: se complementan.

Lo que ha cambiado en 2025-2026

En 2025 se reforzó la atención europea sobre la seudonimización con las Directrices 01/2025 del Comité Europeo de Protección de Datos. La idea principal es clara: seudonimizar puede ser una medida muy valiosa, pero no convierte automáticamente los datos en anónimos ni elimina las obligaciones de protección de datos.

También ha cambiado el contexto tecnológico. La IA generativa es una tecnología capaz de crear texto, imágenes, código u otros contenidos a partir de instrucciones y datos de entrada. Su uso puede aportar productividad, pero también aumenta el riesgo de copiar en herramientas no adecuadas fragmentos de encuestas, listados, informes o datos de investigación que no deberían salir de los entornos autorizados.

El cruce masivo de datos es más fácil que antes. Herramientas de análisis, hojas compartidas, servicios en la nube y fuentes públicas permiten combinar información con poco esfuerzo. Esto hace que algunas técnicas simples, como borrar nombres o sustituirlos por códigos, puedan quedarse cortas si el conjunto conserva demasiados detalles.

También se habla más de datos sintéticos, que son datos generados artificialmente para parecerse a un conjunto real. Pueden ser útiles en pruebas, formación o desarrollo, pero no deben asumirse como anónimos sin una revisión adecuada: si reproducen patrones demasiado cercanos al conjunto original, podrían mantener riesgos de privacidad.

Por último, la cultura de publicación abierta y colaboración científica exige más cuidado. Compartir datos puede ser positivo y necesario en muchos proyectos, pero debe hacerse con criterios claros: minimización, finalidad, permisos, documentación, revisión de reidentificación y controles proporcionados al riesgo.

Datos recientes en contexto

Conviene manejar pocas cifras, pero bien entendidas. El RGPD define la seudonimización en su artículo 4.5: los datos no pueden atribuirse a una persona sin información adicional, y esa información adicional debe figurar por separado y estar protegida [RGPD, 2016].

La AEPD distingue entre 3 conceptos que a menudo se confunden: anonimización, desidentificación y reidentificación. La desidentificación elimina identificadores directos, pero no siempre impide que una persona pueda volver a ser identificada [AEPD, 2022].

Las Directrices 01/2025 del Comité Europeo de Protección de Datos se centran en la seudonimización y recuerdan que esta técnica puede ayudar al cumplimiento, pero debe acompañarse de medidas técnicas y organizativas adecuadas [EDPB, 2025].

La AEPD ha explicado que un conjunto seudonimizado requiere varias garantías: el propio proceso de seudonimización, los principios del RGPD, medidas adicionales según el riesgo y protección específica frente a brechas tanto del conjunto seudonimizado como de la información adicional [AEPD, 2021].

No hay un estudio público reciente que permita afirmar una cifra concreta y universal sobre cuántos conjuntos de datos universitarios se reidentifican tras sustituir nombres por códigos. El riesgo depende del contexto, del tamaño de los grupos, de los campos conservados, de las fuentes externas disponibles y de las medidas aplicadas.

Consejos prácticos para reducir el riesgo

• Empieza por la finalidad. Antes de exportar o compartir datos, concreta para qué se necesitan. Si una columna no aporta nada a esa finalidad, eliminarla suele ser una medida más eficaz que protegerla después.
• No confundas código con anonimato. Sustituir nombres por identificadores ayuda, pero si existe una tabla de correspondencia o si los datos siguen permitiendo reconocer a alguien, el conjunto debe tratarse con cautela.
• Reduce el nivel de detalle. En muchos casos no hace falta conservar fecha exacta, edad exacta, grupo concreto o respuesta completa. Agrupar rangos, resumir categorías o eliminar campos muy singulares puede disminuir la posibilidad de reidentificación.
• Vigila los grupos pequeños. Si al filtrar por titulación, curso, turno, país o categoría quedan muy pocas personas, revisa si ese nivel de detalle es necesario. Los grupos reducidos son uno de los caminos más habituales hacia la identificación indirecta.
• Revisa los campos de texto libre. Comentarios, observaciones y respuestas abiertas pueden contener nombres, situaciones personales o referencias muy reconocibles. Conviene revisarlos antes de compartirlos o publicarlos.
• Separa la tabla de correspondencia. Si usas códigos, guarda la relación entre código e identidad en un lugar separado, con permisos restringidos y solo para quienes realmente lo necesiten.
• Limita accesos y copias. Cuantas más personas y ubicaciones tengan el fichero, mayor será la superficie de riesgo. Usa carpetas autorizadas, evita adjuntos innecesarios y revisa permisos antes de compartir.
• Comprueba metadatos. Antes de enviar o publicar documentos, hojas de cálculo, imágenes o presentaciones, revisa si contienen autoría, comentarios, historial, rutas internas o información no visible que pueda revelar más de lo previsto.
• No subas datos a herramientas no autorizadas. Copiar listados, encuestas o extractos de investigación en servicios externos puede suponer una exposición no prevista. Si necesitas apoyo para trabajar con esos datos, consulta antes.
• Documenta las decisiones. Anotar qué campos se han eliminado, por qué se han conservado otros, quién accede y con qué finalidad ayuda a mantener el control y facilita revisiones posteriores.
• Consulta antes de publicar. Si el conjunto va a salir de un entorno interno, publicarse, enviarse a una entidad colaboradora o incorporarse a un repositorio, conviene revisarlo con especial atención.
• Aplica proporcionalidad. No todos los ficheros tienen el mismo riesgo. Un listado con datos académicos, una encuesta sensible o una muestra de investigación requieren más cuidado que información ya pública y agregada.

Qué hacer si ya se ha compartido un fichero con más datos de los necesarios

Si detectas que se ha enviado, publicado o compartido un fichero que podría permitir identificar a personas, lo más importante es no retrasar el aviso. Muchas incidencias se pueden contener mejor cuando se comunican pronto. No hace falta tener todas las respuestas antes de pedir ayuda.

Deja de seguir compartiendo el fichero y evita reenviarlo para “explicar el problema” si no es necesario. Si puedes, conserva evidencias útiles: fecha y hora aproximada, canal utilizado, destinatarios, ubicación del fichero, versión compartida y una descripción sencilla de lo ocurrido. No borres elementos relevantes si eso puede dificultar la revisión, salvo que se indique expresamente por el canal adecuado.

Si el fichero está en una carpeta compartida, revisa si puedes retirar el acceso sin destruir evidencias. Si se ha enviado por correo, no abras nuevas cadenas con más copias. Si se ha publicado en un espacio accesible, comunica la situación cuanto antes para valorar la retirada y las medidas siguientes.

Cuando pueda estar comprometida una cuenta o un acceso legítimo, cambia la contraseña desde un acceso seguro y evita hacerlo desde un dispositivo o sesión sobre la que tengas dudas. Si no sabes si procede, pide orientación.

Para avisar al canal de soporte, utiliza Jira. Reportar pronto no significa haber hecho algo mal; significa ayudar a reducir el impacto. La vergüenza, las prisas o el miedo a molestar suelen jugar en contra de una buena respuesta.

Privacidad y trato respetuoso

Trabajar bien con datos personales no consiste en desconfiar de todo, sino en tratar la información con proporcionalidad. Algunas tareas requieren detalle; otras pueden resolverse con datos agregados. Algunas personas necesitan acceder a un fichero; otras solo necesitan una conclusión, una estadística o un informe resumido.

La confidencialidad también protege la confianza. Quien responde a una encuesta, participa en una investigación, solicita una ayuda, acude a una tutoría o aparece en una gestión administrativa espera que sus datos se usen con cuidado y solo para lo necesario. Esa expectativa forma parte de la relación universitaria.

Cuando ocurre un error, el enfoque debe ser respetuoso y orientado al aprendizaje. La prioridad es contener, entender qué ha pasado, reducir consecuencias y mejorar la forma de trabajar. Buscar culpables rara vez ayuda a tiempo; pedir ayuda pronto, sí.

Menos datos, mejor protegidos

Anonimizar no es borrar un nombre y seguir como antes. Seudonimizar no es convertir mágicamente un fichero en anónimo. La clave está en pensar si una persona podría volver a ser identificada, por quién, con qué información adicional y con qué consecuencias.

En encuestas, investigación, cuadros de seguimiento, publicaciones o intercambios con entidades colaboradoras, merece la pena parar un minuto antes de compartir. Reducir campos, agrupar datos, revisar textos libres, limitar permisos y pedir orientación a tiempo son acciones sencillas que evitan problemas mayores.

Cuando tengas dudas, no improvises ni lo dejes para después: verifica, consulta y reporta por Jira si puede haber una incidencia. Proteger datos también es cuidar a las personas.