Guía de Anonimización 2025 de la ICO: convertir los datos personales en un activo de privacidad

Descubre cómo la guía publicada por la ICO en marzo de 2025 ayuda a las organizaciones a utilizar la anonimización para desbloquear el valor de los datos, cumpliendo al mismo tiempo con el UK GDPR y fortaleciendo la responsabilidad y el cumplimiento.

A medida que aumenta la prevalencia de la innovación basada en datos, las organizaciones deben asegurarse de que estos datos se gestionan con el nivel de responsabilidad necesario, lo que en algunos casos implica la necesidad de anonimizarlos. El 28 de marzo de 2025, la Oficina del Comisionado de Información del Reino Unido (ICO) publicó una guía actualizada sobre anonimización destinada a ayudar a las organizaciones a transformar datos personales en información anónima, permitiendo la innovación, la investigación y la transparencia sin comprometer la privacidad de las personas.

Esta guía integral complementa el código de buenas prácticas sobre el intercambio de datos de la ICO y se aplica al tratamiento general de datos, así como a las fuerzas y cuerpos de seguridad y agencias de inteligencia. Es especialmente relevante para organizaciones que utilizan grandes conjuntos de datos para entrenamiento de inteligencia artificial, desarrollo de servicios, investigación o al gestionar solicitudes de acceso a la información.

¿Qué es la anonimización y por qué es importante?

La anonimización es el proceso de convertir datos personales en información anónima, es decir, datos que ya no se relacionan con una persona identificada o identificable. Los datos pueden anonimizarse de forma efectiva, lo que permite su reutilización o compartición con menos restricciones legales.

Para comprender la anonimización, es fundamental entender la definición de datos personales según el UK GDPR y la DPA 2018. Los datos personales son aquellos que permiten identificar a una persona, ya sea directa o indirectamente, a través de identificadores como nombre, número de identificación, datos de ubicación u otras características únicas.

Anonimización vs. pseudonimización: diferencias clave

La guía también diferencia entre:

• Anonimización: elimina completamente la posibilidad de identificación. No es posible volver a identificar al individuo por medios razonables.

• Pseudonimización: separa los identificadores de los datos, pero mantiene la posibilidad de revincularlos, normalmente a través de una clave que debe almacenarse de forma segura. Estos siguen siendo considerados datos personales según la ley de protección de datos.

Aspectos prácticos destacados de la guía de la ICO

Tu organización puede beneficiarse de los siguientes puntos clave incluidos en la nueva guía:

La guía de la ICO aclara que la anonimización debe ser efectiva para todas las partes involucradas.

Una aclaración destacada de la ICO es que los datos sólo se consideran verdaderamente anónimos si lo son en manos del responsable del tratamiento. Por ejemplo:

“Un encargado del tratamiento solo trata datos personales en tu nombre. Esto significa que lo que importa es el estado de los datos en tus manos.”

Este ha sido durante mucho tiempo un tema de debate con los clientes, y la confirmación de la ICO refuerza las buenas prácticas ya existentes.

La ICO recomienda usar la ‘Prueba del Intruso Motivado’ para evaluar el riesgo.

Una parte relevante en la guía, dentro de la sección “¿Cómo aseguramos que la anonimización sea efectiva?” es la prueba del intruso motivado. Esta prueba consiste en evaluar si alguien, razonablemente motivado y con recursos, podría identificar a personas dentro del conjunto de datos en tu base de datos utilizando herramientas y datos disponibles públicamente.

Si bien no es un paso que las organizaciones siempre toman al asesorar sobre anonimización, pero la ICO lo sugiere como un enfoque práctico de evaluación de riesgos. Es un área donde el apoyo experto puede ayudar a mejorar la gobernanza de los datos.

La guía recomienda seguir un proceso adaptado a cada contexto en la sección “¿Cómo deberíamos abordar la pseudonimización?”

Esto incluye evaluar el riesgo de identificabilidad, implementar medidas de seguridad adecuadas y separar los identificadores de los conjuntos de datos, lo cual puede ser especialmente útil para ayudar a las organizaciones a demostrar responsabilidad y cumplimiento normativo.

La guía recomienda realizar Evaluaciones de Impacto en la Protección de Datos (DPIA) para actividades de anonimización.

Se enfatiza la importancia de la Evaluación de Impacto en la Protección de Datos como una medida necesaria de responsabilidad y gobernanza. Se destaca el papel de la DPIA para estructurar la toma de decisiones en torno a la anonimización, identificar riesgos a los derechos y libertades individuales y documentar estrategias de mitigación, lo que refuerza la idea de que la anonimización debe abordarse como una decisión estratégica a nivel de gobernanza, y no solo como un ejercicio técnico.

La anonimización de datos beneficia a las organizaciones al permitir el intercambio, reutilización, innovación y transparencia, mientras se reducen las cargas legales y de cumplimiento.

Al anonimizar los datos de manera efectiva, las organizaciones pueden compartir o reutilizar información con menos restricciones legales. También pueden innovar de forma responsable con menos riesgo y cumplir con sus obligaciones de transparencia. Además, la anonimización puede generar beneficios sociales mediante iniciativas de datos abiertos y reducir las cargas de cumplimiento bajo el UK GDPR.

La guía de anonimización de la ICO ofrece pasos prácticos para que las organizaciones reevalúen y mejoren su estrategia de datos para garantizar cumplimiento y privacidad.

La guía de la ICO ofrece pasos concretos para asegurar que el tratamiento de datos siga siendo respetuoso con la privacidad, conforme a la normativa y consciente del riesgo. Con definiciones más claras, evaluaciones de riesgo actualizadas como la prueba del intruso motivado y recomendaciones más sólidas sobre pseudonimización y DPIAs, esta guía posiciona la anonimización no solo como una herramienta técnica, sino como un pilar fundamental de una estrategia de datos responsable. Para las organizaciones y sus asesores, representa una valiosa oportunidad para revisar prácticas existentes, reforzar el cumplimiento y desarrollar nuevos marcos de responsabilidad que respondan a las expectativas regulatorias.

Descubre cómo puede ayudarte Aphaia a diseñar tu estrategia de protección de datos e IA. Ofrecemos servicios de cumplimiento con el RGPD y el UK GDPR, así como DPO externo. Nos especializamos en ayudar a empresas como la tuya con soluciones innovadoras que cumplan y superen los requisitos del mercado y del panorama regulatorio actual. Contacta con Aphaia hoy.