El Comité Europeo de Protección de Datos acaba de aprobar las Directrices 02/2026 sobre anonimización de datos. El documento, publicado este pasado 7 de julio de 2026, actualiza, y en muchos casos supera, al histórico Dictamen 05/2014 del Grupo de Trabajo del Artículo 29. Las nuevas directrices, actualmente en fase de consulta pública hasta el 30 de octubre de 2026, ofrecen un marco mucho más operativo para determinar cuándo un conjunto de datos deja realmente de estar sujeto al RGPD.
Para cualquier empresa que trabaje con grandes volúmenes de información (ya sea en el sector sanitario, financiero, de investigación o de análisis de datos), entender estos criterios ya no es opcional. La anonimización de datos correctamente aplicada permite liberar información del ámbito de aplicación del RGPD, con toda la flexibilidad que ello implica; pero mal aplicada, puede generar una falsa sensación de cumplimiento normativo con consecuencias legales serias.
Este artículo lo dedicamos a desgranar las claves de estas nuevas directrices, pero no son las únicas recientemente aprobadas por el EDPB, pues también se ha pronunciado sobre otros temas importantes: en concreto, web scraping y blockchain. De ellos, te hablaremos en las próximas entregas de nuestro blog.
¿Qué cambia respecto al Dictamen 05/2014?
Desde 2014, el panorama tecnológico y jurisprudencial ha evolucionado enormemente: sentencias clave del Tribunal de Justicia de la Unión Europea (como Breyer, EDPS v SRB o Scania), la llegada de los espacios europeos de datos y, sobre todo, el auge de la inteligencia artificial y las técnicas avanzadas de reidentificación han hecho necesaria una revisión profunda del panorama normativo europeo.
La novedad más relevante en estas nuevas directrices sobre anonimización es conceptual: el EDPB abandona la idea de que un dato “es” o “no es” anónimo de forma absoluta. En su lugar, propone que la anonimización debe evaluarse desde la perspectiva de cada entidad relevante. Esto significa que un mismo conjunto de datos puede ser perfectamente anónimo para una organización y, al mismo tiempo, constituir datos personales para otra que disponga de medios adicionales para identificar a los individuos. Ya no hablamos, por tanto, en términos absolutos, sino que, con este cambio conceptual, pasaríamos a relativizar.
Los tres criterios de la anonimización de datos según el EDPB
El núcleo técnico de las directrices se articula en torno a tres criterios que ya existían en 2014, pero que ahora se definen con mucho mayor detalle, ejemplos prácticos y casuística:
1. No Record Isolation (no aislamiento de registros)
Este criterio se cumple cuando el dato no contiene una combinación única de atributos que permita singularizar a una persona dentro del conjunto. Cuantos más atributos tenga un registro, mayor es la probabilidad de que resulte único y, por tanto, identificable.
2. No Linkage (no vinculación)
Evalúa si un registro puede enlazarse con otro conjunto de datos externo que se refiera, con certeza o alta probabilidad, al mismo individuo. Este criterio exige conocer no solo el dato en sí, sino también qué otras fuentes de información podrían combinarse con él mediante medios razonablemente probables.
3. No Inference (no inferencia)
Analiza si es posible extraer conclusiones “específicas y significativas” sobre una persona identificada o identificable a partir de los datos, aunque esa información no estuviera explícitamente contenida en el conjunto original. Las directrices distinguen con precisión entre inferencias que dependen realmente del dato original (que sí vulneran el criterio) y las que son generalizables a la población en su conjunto (que no lo hacen).
Si el conjunto de datos supera los tres criterios, bajo el enfoque contextual o el simplificado, puede considerarse anónimo de forma segura. Si falla alguno, no significa automáticamente que sea dato personal: las directrices establecen un proceso de análisis adicional para valorar si, pese a todo, sigue siendo imposible individualizar a las personas afectadas.
Enfoque contextual vs. enfoque simplificado
Otra aportación práctica de las directrices es la distinción entre dos metodologías de evaluación:
- El enfoque contextual analiza las capacidades reales de cada entidad, empresa u organización que pudiera acceder a los datos, ofreciendo un resultado ajustado a la realidad pero más complejo de ejecutar.
- El enfoque simplificado ignora esas diferencias entre entidades y aplica un criterio más conservador, lo que puede llevar a tratar como personales datos que en la práctica serían anónimos para determinadas perspectivas. Resulta útil como filtro inicial o para reforzar la seguridad jurídica de la organización.
Ambos enfoques pueden combinarse: empezar con el análisis simplificado para descartar escenarios evidentes y, después, refinar la conclusión con el enfoque contextual.
Implicaciones prácticas para el cumplimiento del RGPD
Más allá del marco técnico, las directrices insisten en aspectos de cumplimiento normativo que no deben pasarse por alto:
- El propio proceso de anonimización requiere una base jurídica válida conforme al artículo 6 del RGPD.
- Las organizaciones deben evitar etiquetar como “anónimos”, “desidentificados” o “despersonalizados” datos que en realidad siguen siendo identificables.
- Se recomienda documentar todo el proceso de anonimización, incluidas las pruebas de robustez realizadas, para poder demostrar su eficacia ante una autoridad de control.
- El riesgo de reidentificación debe reevaluarse periódicamente, ya que la tecnología avanza y lo que hoy es anónimo podría dejar de serlo mañana.
Conclusión
Las Directrices 02/2026 sobre anonimización del EDPB representan un salto cualitativo respecto al marco de 2014, aportando seguridad jurídica y un método de trabajo mucho más claro para empresas, asesores legales y responsables de tratamiento. En un contexto donde la inteligencia artificial y las técnicas de reidentificación avanzan a gran velocidad, disponer de un procedimiento documentado y basado en estos tres criterios (No Record Isolation, No Linkage y No Inference) será clave para acreditar el cumplimiento del RGPD y evitar sanciones derivadas de anonimizaciones deficientes.
Como te decíamos al principio, en nuestras próximas publicaciones, hablaremos de otras directrices muy relevantes que también acaba de aprobar el Comité Europeo de Protección de Datos: las relativas a webscraping y blockchain. Por tanto, te invitamos a seguir atento a nuestro blog para no perderte nada.
Y, si durante la espera te surgen dudas o quieres que valoremos algún caso en concreto, en Dataseg estaremos encantados de escucharte.