Cómo hacer la EIPD de un proyecto de anonimización de documentos
Anonimizar documentos parece, a primera vista, una medida de protección y no un riesgo. Pero el proceso de anonimización es en sí mismo un tratamiento de datos personales: alguien tiene que leer sentencias, historias clínicas, expedientes o nóminas completos para decidir qué ocultar, a menudo con una herramienta de inteligencia artificial y a gran escala. Si el resultado se va a publicar o compartir, un fallo deja datos expuestos de forma permanente. Por eso muchos proyectos de anonimización necesitan una evaluación de impacto relativa a la protección de datos (EIPD). Este artículo explica cuándo es obligatoria y cómo hacerla paso a paso, con un enfoque práctico.
¿Necesita su proyecto una EIPD?
El artículo 35 del RGPD exige una EIPD cuando un tratamiento, por su naturaleza, alcance, contexto o fines, entrañe probablemente un alto riesgo para los derechos y libertades de las personas, en particular si utiliza nuevas tecnologías. Las directrices WP248 rev.01, asumidas por el Comité Europeo de Protección de Datos, proponen nueve criterios; si se cumplen dos o más, en general hará falta una EIPD. En un proyecto de anonimización suelen concurrir varios a la vez:
- Datos sensibles o muy personales: salud, datos penales, menores, víctimas, situación económica.
- Tratamiento a gran escala: archivos completos, miles de resoluciones o un fondo documental histórico.
- Uso innovador de la tecnología: detección automática de datos personales con IA.
- Interesados vulnerables: pacientes, menores, personas en procedimientos judiciales o empleados.
- Combinación de conjuntos de datos: cuando el documento anonimizado se publica y puede cruzarse con otras fuentes.
La AEPD publicó además, conforme al artículo 35.4 del RGPD, su lista de tratamientos que requieren EIPD. Conviene revisarla junto con su guía de gestión del riesgo y evaluación de impacto, que ofrece metodología y plantillas. Aunque concluya que la EIPD no es obligatoria, documente el análisis: el principio de responsabilidad proactiva (art. 5.2) exige poder justificar la decisión. Si necesita una definición rápida, la tenemos en el glosario: evaluación de impacto.
Paso 1: describir el tratamiento y su alcance
El artículo 35.7 RGPD fija el contenido mínimo: descripción sistemática del tratamiento y sus fines, evaluación de necesidad y proporcionalidad, evaluación de riesgos y medidas previstas. En un proyecto de anonimización, la descripción debe responder con precisión a estas preguntas:
- Qué documentos: tipologías (sentencias, informes clínicos, contratos), formatos (PDF nativo, escaneados, Word, correos con adjuntos) y volumen estimado.
- Para qué: publicación por transparencia, cesión a investigadores, entrega a un tercero, reutilización para entrenar modelos, conservación a largo plazo.
- Qué resultado se busca: anonimización irreversible o seudonimización reversible. No es lo mismo: lo seudonimizado sigue siendo dato personal.
- Quién interviene: equipo que revisa, proveedor de la herramienta (encargado del tratamiento), destinatarios del resultado.
- Dónde y cuánto tiempo: ubicación de servidores, conservación de originales, de las versiones anonimizadas y de los mapas de correspondencias.
En la parte de necesidad y proporcionalidad, explique por qué no basta con publicar menos (minimización) y por qué el nivel de anonimización elegido es el adecuado para la finalidad. Recabe el asesoramiento del delegado de protección de datos, que el artículo 35.2 hace obligatorio cuando existe DPD.
Paso 2: identificar los riesgos propios de la anonimización
Los riesgos genéricos (accesos indebidos, brechas) siguen ahí, pero un proyecto de anonimización tiene riesgos específicos que la EIPD debe nombrar. La siguiente tabla es un ejemplo orientativo; la valoración de probabilidad e impacto depende de cada caso:
| Riesgo | Cómo se materializa | Medidas habituales |
|---|---|---|
| Datos no detectados | La herramienta o la persona pasa por alto un nombre, un DNI o una dirección | Detección combinada (IA + patrones), revisión humana, muestreo de control de calidad |
| Reidentificación indirecta | Cargo, fecha y localidad permiten saber de quién se habla | Tratar identificadores indirectos, generalizar, prueba del «intruso motivado» |
| Tachado reversible | Rectángulos negros sobre un PDF que dejan el texto seleccionable | Herramienta que elimina el texto subyacente; comprobación de copia y búsqueda |
| Metadatos y capas ocultas | Autor, comentarios, revisiones o capa OCR conservan datos | Eliminación de metadatos y verificación del fichero final |
| Errores de OCR en escaneados | Texto mal reconocido que escapa a la detección | Revisión reforzada de páginas escaneadas, zonas manuales |
| Proveedor y transferencias | Envío del texto a APIs de modelos fuera de la UE o reutilización por terceros | Proveedor con tratamiento en la UE, contrato del art. 28, sin APIs externas |
| Compromiso del mapa de seudónimos | Quien obtiene el mapa revierte la seudonimización | Cifrado, custodia separada, control de accesos |
No olvide el riesgo inverso: un exceso de tachado puede vaciar de sentido una resolución publicada o un conjunto de datos para investigación. No es un riesgo para la privacidad, pero sí para la finalidad, y la EIPD debe justificar el equilibrio. Sobre el riesgo de reidentificación conviene ser concreto: con qué fuentes públicas podría cruzarse el documento y quién tendría interés en hacerlo.
Paso 3: medidas y riesgo residual
Para cada riesgo, describa las medidas técnicas y organizativas y valore el riesgo que queda después de aplicarlas. Algunas medidas que suelen marcar la diferencia:
Medidas que conviene documentar en la EIPD
- Procedimiento escrito: qué se anonimiza por tipo de documento y con qué criterio.
- Revisión humana obligatoria antes de publicar o compartir, con registro de quién validó.
- Control de calidad por muestreo y prueba de reidentificación sobre el resultado.
- Verificación técnica del fichero final: texto no recuperable, sin metadatos.
- Tratamiento en servidores de la UE y contrato de encargo con el proveedor.
- Cifrado de mapas de seudonimización y separación de funciones.
- Registro de auditoría de accesos y operaciones.
- Formación del equipo y revisión periódica de la propia EIPD (art. 35.11).
Puede apoyarse en nuestra checklist de anonimización conforme al RGPD para no dejar fuera ningún control. Si el riesgo residual queda en un nivel aceptable, la EIPD concluye con la aprobación del responsable y el plan de seguimiento.
Paso 4: ¿hace falta consulta previa a la AEPD?
El artículo 36 RGPD obliga a consultar a la autoridad de control antes de iniciar el tratamiento si la EIPD muestra que, pese a las medidas, el riesgo seguiría siendo alto. La AEPD dispone de hasta ocho semanas para responder, prorrogables seis más en tratamientos complejos. En la práctica, un proyecto de anonimización bien diseñado rara vez debería llegar ahí: si el riesgo residual es alto, suele ser señal de que hay que reforzar medidas (más revisión, menos datos publicados, generalización) antes de seguir. Si aun así es necesaria, presente la EIPD completa y la información que exige el artículo 36.3.
Qué aporta Anonimatum a la EIPD
Elegir la herramienta forma parte de la EIPD; si está comparando opciones, le ayudará cómo elegir un software de anonimización. Anonimatum facilita documentar varias de las medidas anteriores: su IA propia se ejecuta en servidores de la Unión Europea sin enviar el texto a APIs externas de modelos de lenguaje; combina detección por IA y por patrones; obliga a una previsualización y revisión humana antes de aplicar; el tachado elimina el contenido y se pueden borrar los metadatos; los mapas de seudonimización se guardan cifrados; y el panel de grupo incluye registro de auditoría. Politeia Soft está certificada en el ENS de categoría media, con Anonimatum dentro del alcance; los detalles están en seguridad. Si quiere revisar estas medidas con nuestro equipo para su EIPD, solicite una demostración.
Preguntas frecuentes
¿Anonimizar documentos es un tratamiento de datos personales?
Sí. Para anonimizar hay que tratar los datos originales, de modo que el proceso está sujeto al RGPD aunque el resultado final, si es realmente anónimo, quede fuera de su ámbito.
¿La EIPD es obligatoria si solo seudonimizamos?
Depende del riesgo, no de la técnica. Los datos seudonimizados siguen siendo personales, así que si concurren criterios de alto riesgo (datos de salud, gran escala, IA) la EIPD será probablemente necesaria.
¿Quién firma la EIPD?
La responsabilidad es del responsable del tratamiento, que debe recabar el asesoramiento del delegado de protección de datos. El proveedor de la herramienta, como encargado, aporta información sobre sus medidas.