¿Un documento anonimizado sigue sujeto al RGPD?

Si la anonimización es real y la persona ya no es identificable con medios razonables, no. Si los datos solo se han seudonimizado, por ejemplo sustituyendo nombres por códigos con una tabla de correspondencia, siguen siendo datos personales.

¿Necesito una evaluación de impacto para anonimizar?

No siempre. Depende del tratamiento en su conjunto: si implica, por ejemplo, categorías especiales a gran escala o publicar datos sensibles, es probable que la requiera. El artículo 35 del RGPD y las listas de la AEPD ayudan a decidirlo.

¿Basta con poner iniciales en lugar del nombre?

Normalmente no. Las iniciales, junto con el cargo, la fecha o el municipio, suelen permitir identificar a la persona. Es mejor suprimir o sustituir por un seudónimo neutro y revisar el contexto.

¿Quién debe revisar la anonimización?

Una persona distinta de quien la hizo, al menos en una muestra. Para documentos que se publican o contienen datos sensibles, lo recomendable es revisar el documento completo.

Checklist de anonimización RGPD para documentos

Antes de anonimizar: finalidad, base jurídica y riesgos

La anonimización es en sí misma un tratamiento de datos personales. Antes de abrir el primer documento, deja escrito para qué se hace, quién recibirá el resultado y qué nivel de riesgo de reidentificación es aceptable en ese contexto. No es lo mismo entregar un informe a un auditor con contrato de confidencialidad que publicarlo en un portal abierto.

Antes de empezar

La finalidad está definida por escrito (publicar, compartir con un tercero, investigar, formar a personal…).
Se ha identificado la base jurídica del tratamiento original y la compatibilidad de la anonimización con ella.
Se ha valorado si el conjunto del tratamiento requiere una evaluación de impacto en protección de datos (artículo 35 del RGPD), por ejemplo si hay categorías especiales a gran escala.
Se ha decidido si basta con seudonimizar (reversible, sigue siendo dato personal) o hace falta anonimizar de forma irreversible.
Existe un inventario de identificadores directos e indirectos para este tipo de documento.
Se han aplicado criterios de minimización de datos: lo que no hace falta para la finalidad, fuera, aunque no sea un nombre.
Hay un responsable de la tarea y un segundo revisor asignados.

Identificadores indirectos que se suelen olvidar

Cargos únicos («la directora del centro de salud de un municipio pequeño»), parentescos y apodos.
Fechas exactas de nacimiento, ingreso, accidente o despido combinadas con el lugar.
Direcciones, referencias catastrales, matrículas, números de expediente o de póliza.
Importes muy concretos (una indemnización singular puede identificar a alguien).
Firmas manuscritas, sellos, códigos QR y códigos seguros de verificación que enlazan al original.
Datos en encabezados, pies de página, notas, comentarios, control de cambios y propiedades del archivo.

Durante: método, lista blanca y coherencia

La regla práctica es tratar igual lo que es igual. Si «Juan Pérez» (ficticio) aparece en la página 2 como «Sr. Pérez» y en la 14 como «J. P.», las tres menciones deben quedar ocultas o sustituidas por el mismo seudónimo. La AEPD insiste en que el proceso debe estar documentado y ser repetible, no depender del criterio del día.

Durante el proceso

El método está elegido y justificado: supresión (tachado irreversible), generalización (año en lugar de fecha completa) o sustitución coherente.
Existe una lista blanca de términos que deben quedar visibles (nombre del organismo, cargos públicos en ejercicio, normas citadas).
Todas las variantes de un mismo nombre reciben el mismo tratamiento en todo el documento y en los documentos del mismo expediente.
Las categorías especiales (salud, origen étnico, orientación sexual, creencias, datos genéticos o biométricos) y los datos penales se revisan con especial cuidado.
Los documentos escaneados pasan por OCR antes de buscar datos; lo que el OCR no lee (manuscritos, sellos) se marca por zonas.
Las imágenes, gráficos y tablas incrustadas se revisan además del texto.
El tachado elimina el contenido subyacente; no se usan rectángulos negros superpuestos ni texto en blanco.

Después: verificación y responsabilidad proactiva

El artículo 5.2 del RGPD obliga al responsable a cumplir y a poder demostrarlo. En la práctica, eso significa que la versión final se comprueba con pruebas sencillas pero sistemáticas y que las decisiones discutibles quedan anotadas con su motivo.

Verificación final

Prueba de búsqueda: se buscan en el archivo final los nombres, DNI y correos del inventario y no aparece ninguno.
Prueba de copiado: se selecciona el texto bajo cada tachado y se pega en un editor; no debe salir nada.
Metadatos eliminados: autor, título, historial, comentarios y versiones anteriores (ver cómo eliminar metadatos de un PDF).
El nombre del archivo no contiene datos personales («Recurso_Garcia_Lopez.pdf» delata lo que el contenido oculta).
Un segundo revisor ha comprobado una muestra o la totalidad, según el riesgo.
Se ha valorado el riesgo residual de reidentificación combinando el documento con información pública.
Las decisiones están registradas y el original se conserva con acceso restringido o se suprime según su plazo.

Plantilla de registro de decisiones

Imprime o copia esta tabla en tu hoja de control. Los ejemplos son ficticios; lo importante es que cada fila explique qué se hizo, por qué y quién lo revisó.

Registro de decisiones de anonimización (ejemplo ficticio)
Fecha	Documento o lote	Dato o categoría	Decisión	Motivo	Responsable / revisor
03/11/2026	Resolución 45/2026	Nombre del recurrente	Suprimir	Particular sin relevancia pública	A. M. / L. R.
03/11/2026	Resolución 45/2026	Nombre del jefe de servicio firmante	Mantener	Actúa en ejercicio de su cargo	A. M. / L. R.
04/11/2026	Lote informes médicos	Fecha de ingreso	Generalizar a mes y año	Necesaria para el estudio; fecha exacta identifica	P. S. / L. R.
04/11/2026	Lote informes médicos	Diagnóstico	Mantener	Finalidad de investigación; resto anonimizado	P. S. / DPD

Cómo ayuda Anonimatum a seguir esta checklist

Anonimatum combina detección con IA propia ejecutada en servidores de la UE, patrones para DNI, IBAN o teléfonos, lista blanca y zonas manuales, y muestra una previsualización para que una persona revise antes de aplicar el tachado irreversible. También aplica OCR a escaneados, elimina metadatos, permite seudonimizar de forma coherente y guarda un registro de auditoría por grupo. No sustituye la revisión humana ni el registro de decisiones: los hace más rápidos. Puedes verlo en el anonimizador de PDF.

Checklist de anonimización de documentos conforme al RGPD