Seudonimización en investigación clínica y datos de vida real: claves, roles y riesgos

La investigación clínica vive de datos que identifican a personas: historias clínicas, informes de alta, resultados de laboratorio, imágenes. Y cada vez más, de datos de vida real (real-world data) que se reutilizan desde la asistencia sanitaria para estudios observacionales, registros de pacientes o evaluación de medicamentos. La técnica que permite trabajar con esa información sin exponer a los pacientes, y sin perder la posibilidad de volver a ellos cuando hace falta, es la seudonimización.

Conviene aclarar desde el principio lo que no es: los datos seudonimizados siguen siendo datos personales (artículo 4.5 y considerando 26 del RGPD). Lo que cambia es el riesgo y, en España, las condiciones en las que la ley permite usarlos. Las Directrices 01/2025 del Comité Europeo de Protección de Datos sobre seudonimización insisten en esa misma idea y en que su eficacia depende de quién puede acceder a la información adicional.

Seudonimizar no es anonimizar

En un ensayo clínico o en un estudio de cohortes se suele necesitar seudonimización, no anonimización: hay que enlazar visitas sucesivas, notificar acontecimientos adversos al centro o comunicar al paciente un hallazgo relevante. Si quieres repasar el concepto, está explicado en el glosario de seudonimización.

Qué exige la ley española

La disposición adicional decimoséptima de la LOPDGDD es la norma clave. Su apartado 2.d) declara lícito el uso de datos seudonimizados con fines de investigación en salud y, en particular, biomédica, pero con requisitos concretos:

• Separación técnica y funcional entre el equipo investigador y quienes realicen la seudonimización y conserven la información que permite reidentificar.
• Acceso del equipo investigador solo con compromiso expreso de confidencialidad y de no realizar ninguna actividad de reidentificación.
• Medidas de seguridad específicas para evitar la reidentificación y el acceso de terceros no autorizados.
• Posibilidad de reidentificar en origen cuando la investigación revele un peligro real y concreto para la seguridad o la salud de una persona, una amenaza grave para sus derechos o sea necesario para una adecuada asistencia sanitaria.

El mismo precepto añade que el uso de datos seudonimizados debe someterse al informe previo del comité de ética de la investigación y que, en los tratamientos del artículo 89 del RGPD, la evaluación de impacto debe incluir de modo específico los riesgos de reidentificación. A ello se suman la Ley 14/2007, de Investigación biomédica, el Reglamento (UE) 536/2014 sobre ensayos clínicos y, para la reutilización secundaria a escala europea, el Reglamento (UE) 2025/327 del Espacio Europeo de Datos de Salud, que se aplicará de forma escalonada.

La clave de codificación y la separación de funciones

En la práctica, seudonimizar es repartir la información en dos conjuntos: el conjunto de investigación, con un código en lugar de la identidad, y la información adicional (la tabla de correspondencia o la clave criptográfica) que permite deshacer el cambio. Todo el diseño gira en torno a quién custodia esa segunda pieza.

• Custodio de la clave: una unidad distinta del equipo investigador (unidad de datos del hospital, servicio de documentación clínica, tercero de confianza). Es el «quienes realicen la seudonimización» de la LOPDGDD.
• Códigos sin significado: aleatorios o generados con una función criptográfica con clave secreta. Nada de iniciales más fecha de nacimiento o del número de historia clínica truncado.
• Seudónimos por dominio: el mismo paciente puede recibir códigos distintos en estudios distintos, para que no se puedan cruzar conjuntos sin pasar por el custodio.
• Registro y control: acceso a la clave restringido, cifrado, con trazabilidad de cada reidentificación y su motivo.
• Procedimiento de reidentificación documentado para los supuestos que la ley permite, como la comunicación de un hallazgo clínico relevante.

Dónde se cuela la reidentificación

Cambiar el nombre por un código es la parte fácil. El riesgo real está en los cuasi-identificadores y, sobre todo, en el texto libre.

La evaluación del riesgo no se hace documento a documento, sino sobre el conjunto que recibe el investigador y lo que este puede razonablemente cruzar. Lo explicamos con más detalle en la entrada sobre reidentificación.

Lista de comprobación para tu protocolo

Seudonimizar documentos clínicos con Anonimatum

Buena parte de los datos de vida real llega en documentos: informes de alta, historias clínicas escaneadas, cartas de derivación, cuadernos de recogida de datos. Anonimatum permite seudonimizar con sustitución coherente: cada paciente, profesional o centro recibe el mismo sustituto en todo el documento y, con el mismo identificador de proyecto, en todos los documentos del estudio; las fechas pueden desplazarse el mismo número de días en todo el proyecto para conservar los intervalos, y el mapa de equivalencias se guarda cifrado, de modo que solo quien lo custodia puede revertir el cambio. Eso encaja con la separación de funciones: la unidad que seudonimiza conserva el mapa y el equipo investigador recibe solo los documentos transformados.

La detección combina IA propia (nombres, direcciones, fechas, organizaciones) con patrones como DNI/NIF, teléfonos o correos, y patrones personalizados para el número de historia clínica o el código de paciente de cada centro. Los escaneos se tratan con OCR y todo se procesa en servidores de la Unión Europea, sin enviar el texto a APIs externas de modelos de lenguaje. Más información en anonimizar historias clínicas.