Glosario · Glosario · Conceptos RGPD
Considerando 26 del RGPD: la frontera entre dato personal y anónimo
Equipo Anonimatum
En resumen
El considerando 26 del RGPD fija cómo decidir si una persona es identificable: atendiendo a todos los medios que razonablemente podrían usarse para identificarla. Si no lo es, la información es anónima y el Reglamento no se aplica.
Pocas frases del RGPD tienen tanto peso práctico como el considerando 26. De él depende si un documento al que se han quitado nombres sigue sometido al Reglamento o ha quedado fuera. Los considerandos no son normas autónomas, pero orientan la interpretación del articulado, y el Tribunal de Justicia los usa con frecuencia.
Este término explica qué dice, cómo lo han aplicado los tribunales y qué significa cuando lo que hay que proteger no es una base de datos, sino un PDF, un contrato o una resolución.
Qué dice el considerando 26
El texto contiene cuatro ideas encadenadas:
- Los principios de protección de datos se aplican a toda información relativa a una persona física identificada o identificable.
- Los datos seudonimizados que podrían atribuirse a una persona con información adicional son información sobre una persona identificable.
- Para saber si alguien es identificable hay que considerar todos los medios, como la singularización, que razonablemente pueda utilizar el responsable o cualquier otra persona para identificarlo directa o indirectamente.
- Los principios no se aplican a la información anónima ni a los datos convertidos en anónimos, tampoco cuando se tratan con fines estadísticos o de investigación.
Es, por tanto, el espejo de la definición de datos personales del artículo 4.1: explica dónde termina el dato personal y empieza la información anónima.
Los factores objetivos: coste, tiempo y tecnología
Para valorar qué medios son razonablemente probables, el considerando pide tener en cuenta factores objetivos. La siguiente tabla los resume con un ejemplo ficticio.
| Factor | Pregunta práctica | Ejemplo ficticio |
|---|---|---|
| Coste | ¿Cuánto costaría identificar a la persona? | Consultar un registro público gratuito es barato |
| Tiempo | ¿Cuánto esfuerzo exigiría? | Una búsqueda en internet de cinco minutos |
| Tecnología disponible | ¿Qué herramientas existen hoy? | Extraer el texto oculto bajo un tachado visual |
| Evolución tecnológica | ¿Qué será posible mañana? | OCR o IA capaces de leer manuscritos o sellos |
| Quién puede intentarlo | ¿El responsable o cualquier otra persona? | Un vecino que conoce los hechos narrados |
Lo que han dicho los tribunales: Breyer y JUR
En la sentencia Breyer (C-582/14, 19 de octubre de 2016), el Tribunal de Justicia declaró que una dirección IP dinámica puede ser dato personal para el operador de un sitio web cuando dispone de medios legales que le permiten identificar al usuario con la información adicional que tiene el proveedor de acceso. No hace falta que toda la información esté en manos de una sola entidad; basta con que obtenerla sea un medio razonablemente probable.
En la sentencia C-413/23 P (SEPD contra JUR, 4 de septiembre de 2025), el Tribunal añadió que la identificabilidad se valora desde la perspectiva de cada entidad. Unos datos seudonimizados pueden no ser personales para un destinatario sin medios razonables de reidentificación, mientras siguen siéndolo para quien los seudonimizó. Las Directrices 02/2026 del CEPD sobre anonimización, en consulta pública hasta el 30 de octubre de 2026, desarrollan esa lógica.
Qué significa para los documentos
En un documento la pregunta no es solo si aparece el nombre, sino si el conjunto permite saber de quién se habla. Una resolución ficticia sobre «la única farmacéutica de un municipio de 300 habitantes» identifica a una persona aunque su nombre esté tapado. Por eso hay que revisar también identificadores indirectos, como cargos, fechas, lugares, matrículas o números de expediente, además de los metadatos.
También importa el destinatario. No es lo mismo entregar un documento a un órgano interno que publicarlo en internet, donde cualquiera puede cruzarlo con otras fuentes. Y el tachado debe ser real: si el texto sigue bajo la caja negra, cualquier persona puede recuperarlo con medios triviales y la anonimización no existe.
Anonimatum ayuda a aplicar este criterio en la práctica: detecta identificadores directos e indirectos con IA propia ejecutada en la UE, permite revisarlos antes de aplicar y elimina el texto y los metadatos del fichero final. Lo explicamos en anonimizar documentos conforme al RGPD.
Preguntas frecuentes
¿El considerando 26 es vinculante?
Los considerandos no crean obligaciones por sí solos, pero sirven para interpretar los artículos del RGPD y el Tribunal de Justicia se apoya en ellos de forma habitual.
¿Exige el considerando 26 riesgo cero de identificación?
No. Exige que la identificación no sea razonablemente probable atendiendo a costes, tiempo y tecnología disponibles. El riesgo de reidentificación residual debe ser insignificante.
¿Se aplica a personas fallecidas?
El RGPD no se aplica a datos de personas fallecidas (considerando 27), aunque en España la LOPDGDD regula el acceso a esos datos por familiares y herederos.
¿Quitar el nombre basta para cumplir el considerando 26?
Casi nunca. El contexto, los identificadores indirectos y los metadatos suelen permitir identificar a la persona.
¿Dudas sobre si vuestros documentos son realmente anónimos?
Contacta con nuestro equipo y revisamos contigo, en una demo, cómo detectar identificadores directos e indirectos en vuestros documentos.