El mismo fichero puede ser dato personal para usted y no para su encargado del tratamiento
El Tribunal de Justicia lo declaró en 2016 y lo confirmó en 2025. La mayoría de los mapas de datos, los contratos con encargados y las afirmaciones de anonimización se construyeron sobre la hipótesis contraria. A continuación se expone lo que la jurisprudencia establece realmente y qué implica para su ámbito de aplicación.
Contenido
- ¿Qué exige realmente el artículo 4(1) del GDPR?
- ¿Qué resolvió el TJUE en Breyer, C-582/14?
- ¿Significa Breyer que cualquiera puede identificar y, por tanto, todo es dato personal?
- ¿Qué cambió entre 2016 y 2025?
- ¿Qué estableció EDPS v SRB, C-413/23 P, en septiembre de 2025?
- ¿Los datos seudonimizados son siempre datos personales?
- Por qué el Digital Omnibus hace la jurisprudencia más importante, no menos
- ¿Qué cambia esto en su registro de actividades de tratamiento?
- ¿Sigue necesitando un DPA con un encargado que no puede identificar a nadie?
- ¿Son las direcciones IP y los registros de seguridad datos personales?
- El test de cuatro preguntas aplicable a cada flujo de datos
- Por qué defiendo un ámbito más restringido mientras argumento a favor de uno más amplio
- Lo que sigue abierto
Lo esencial
- El dato personal no es una propiedad del conjunto de datos. Es una propiedad de la relación entre ese conjunto y quien lo posee. El TJUE lo confirmó expresamente en EDPS v SRB (C-413/23 P, 4 de septiembre de 2025). Los datos suficientemente seudonimizados pueden ser datos personales para el responsable del tratamiento que los originó y datos no personales para un destinatario que no puede revertir la seudonimización. Los mismos bytes, dos poseedores, dos estatus jurídicos.
- Breyer (C-582/14, 19 de octubre de 2016) no dice lo que la mayoría de la gente cree. No establece que la posibilidad de identificación por cualquier persona, en cualquier lugar, convierta un dato en personal. Establece que la pieza que falta puede encontrarse en manos de un tercero, siempre que exista un medio "razonablemente probable de ser utilizado" para acceder a ella. El Tribunal excluyó expresamente la identificación que está prohibida por ley o que exige un esfuerzo desproporcionado en tiempo, coste y recursos humanos.
- En Breyer, lo que inclinó la balanza fue una vía lícita concreta. El operador del sitio web registraba las direcciones IP precisamente para perseguir a los atacantes, y existían cauces legales para obtener del proveedor de acceso los datos del abonado. El propósito creó la vía. La vía creó el ámbito.
- Esto rompe con una década de práctica supervisora. Las autoridades de protección de datos trataron los datos seudonimizados como invariablemente personales. Esa posición ya no refleja lo que el Tribunal declaró.
- El legislador intentó codificar el enfoque relativo y no lo consiguió. El Digital Omnibus propuso un nuevo párrafo en el artículo 4(1) en noviembre de 2025. El EDPB y el EDPS se opusieron mediante el Dictamen Conjunto 2/2026. El texto de compromiso del Consejo de 20 de febrero de 2026 lo eliminó. La presidencia chipriota retiró su texto de COREPER II a finales de junio de 2026 por falta de mayoría cualificada. La jurisprudencia es el único estándar operativo.
Una organización que audité el año pasado mantenía una sola línea en su registro de actividades de tratamiento para toda su cadena de telemetría de producto. Categoría: datos técnicos. Datos personales: no.
La cadena recopilaba identificadores de dispositivo, tokens de sesión y direcciones IP, y los enviaba a un proveedor de análisis. El proveedor no podía identificar a nadie, y ese era el motivo declarado del «no».
Dos problemas, en sentidos opuestos.
El primero: la propia empresa podía identificar casi todas esas sesiones, porque disponía de la base de datos de cuentas a la que se vinculaba el token de sesión. En sus propias manos, ese dato era claramente personal. La entrada era incorrecta.
El segundo, y el más interesante: la entrada también era incorrecta respecto al proveedor, y en sentido contrario. Nadie había evaluado nunca si ese proveedor podía llegar a identificar a una persona. Nadie había documentado por qué no. La empresa había llegado a la conclusión correcta sobre el proveedor por casualidad y no podía defenderla.
Una línea en una hoja de cálculo, dos errores, en sentidos opuestos. Eso es lo que ocurre cuando se trata el «dato personal» como una propiedad del fichero en lugar de una propiedad del poseedor.
El Tribunal de Justicia resolvió esta cuestión. Dos veces. Casi nadie fuera del ámbito de la privacidad ha leído ninguna de las dos sentencias.
¿Qué exige realmente el artículo 4(1) del GDPR?
Dato personal significa toda información sobre una persona física identificada o identificable.
Todos se detienen en «identificada». Toda la dificultad reside en «identificable».
El considerando 26 proporciona el test. Deben tenerse en cuenta todos los medios razonablemente susceptibles de ser utilizados, ya sea por el responsable del tratamiento o por cualquier otra persona, para identificar al individuo, directa o indirectamente.
Dos expresiones de esa frase realizan todo el trabajo, y tiran en sentidos opuestos.
«O por cualquier otra persona» amplía el ámbito. La identificación no tiene que ser algo que usted pueda realizar por sí solo.
«Razonablemente susceptibles de ser utilizados» lo reduce de nuevo. La mera posibilidad teórica no es suficiente.
Cada sentencia de la última década es el Tribunal calibrando entre esas dos expresiones. Cite una sin la otra y obtendrá la respuesta equivocada, en cualquier dirección que le convenga.
¿Qué resolvió el TJUE en Breyer, C-582/14?
Patrick Breyer, político alemán y activista por la privacidad, visitó sitios web gestionados por instituciones federales alemanas. Esos sitios registraban las direcciones IP de los visitantes junto con las páginas consultadas, los términos de búsqueda introducidos, las marcas de tiempo y los volúmenes de datos. El propósito declarado era defenderse de ciberataques y permitir su persecución posterior.
Breyer solicitó el cese del registro. El asunto llegó al Bundesgerichtshof, que planteó una cuestión prejudicial al Tribunal de Justicia.
La cuestión prejudicial es la parte valiosa. La dirección IP de Breyer era dinámica. Cambiaba con cada conexión. Sola en un registro de servidor web federal, no identificaba a nadie. Solo el proveedor de acceso a internet disponía del registro de abonado capaz de vincular esa dirección, en ese momento, a una persona.
Entonces: ¿es una dirección IP dinámica un dato personal en manos del operador del sitio web, cuando el operador no puede identificar a nadie y un tercero posee la mitad que falta?
El Tribunal respondió afirmativamente, sujeto a condiciones.
Declaró que no es necesario que toda la información que permite la identificación esté en manos de una sola persona. Los datos en poder de un tercero pueden tenerse en cuenta.
Pero no automáticamente. El test que fijó el Tribunal fue si la posibilidad de combinar la dirección IP con los datos adicionales del proveedor de acceso constituye un medio razonablemente probable de ser utilizado para identificar a la persona.
Y trazó el límite expresamente. No sería el caso cuando la identificación esté prohibida por ley, o sea prácticamente imposible porque exige un esfuerzo desproporcionado en tiempo, coste y recursos humanos, de modo que el riesgo de identificación sea en realidad insignificante.
Lo que decidió el caso no fue la abstracción, sino un hecho concreto. Dado que el operador registraba precisamente para responder a ciberataques, existían cauces legales mediante los cuales podía dirigirse a la autoridad competente y obtener la información del abonado. La vía existía, era lícita y era utilizable. Por tanto, la dirección IP era un dato personal en manos del operador.
El propio propósito del operador fue lo que creó la vía.
¿Significa Breyer que cualquiera puede identificar y, por tanto, todo es dato personal?
No. Y esta es la lectura que más daño ha causado.
La versión popular de Breyer sostiene: la identificación no tiene que ser realizada por usted, puede serlo por cualquiera, luego en la práctica todos los datos son datos personales.
Eso colapsa el test en uno absoluto, y el Tribunal se negó expresamente a llegar ahí. Breyer es un test relativo con una extensión a terceros. La extensión es real. El test sigue siendo relativo, y sigue estando condicionado tanto por la razonabilidad como por la licitud.
La versión defensible en una sola línea:
Las piezas no tienen que estar en el mismo par de manos. Pero debe existir un medio de acceder a la pieza que falta que sea a la vez razonable y lícito.
Eso es una frase muy diferente a «cualquiera, en cualquier lugar, luego todo». Una de ellas hará que le retiren de un taller de definición de ámbito.
¿Qué cambió entre 2016 y 2025?
Breyer dejó un vacío. Confirmó que la información de terceros cuenta, pero no resolvió qué ocurre cuando un poseedor específico genuinamente no puede llegar a ella.
Ese vacío se fue llenando lentamente. El Tribunal reafirmó el amplio alcance del elemento «relacionado con» en IAB Europe (C-604/22). Reafirmó el límite del riesgo insignificante en OC v Commission (2024): los medios de identificación no son razonablemente probables cuando la identificación está prohibida por ley o exige un esfuerzo desproporcionado.
Mientras tanto, las autoridades supervisoras mantenían en la práctica una posición mucho más rígida. La posición de trabajo, durante años, era que los datos seudonimizados son siempre datos personales, sin excepciones. Existe una clave en algún lugar, luego el dato es personal para todo el que lo toca.
Esa posición tenía la virtud de ser sencilla de aplicar. También tenía un defecto: no era lo que el Tribunal había declarado.
¿Qué estableció EDPS v SRB, C-413/23 P, en septiembre de 2025?
Banco Popular Español quebró en 2017. La Junta Única de Resolución tuvo que determinar si los antiguos accionistas y acreedores tenían derecho a indemnización. Realizó una consulta del derecho a ser oído y recopiló comentarios escritos de las partes interesadas afectadas.
La SRB envió posteriormente esos comentarios a Deloitte para un trabajo de valoración, eliminando previamente la información identificativa. Deloitte recibió un conjunto de datos seudonimizados y nunca recibió la clave.
Las partes interesadas presentaron una reclamación ante el Supervisor Europeo de Protección de Datos. El EDPS consideró que los comentarios seguían siendo datos personales en manos de Deloitte, porque la SRB conservaba la capacidad de reidentificar. Deloitte era, por tanto, un destinatario de datos personales, y la SRB había incumplido la obligación de mencionarlo en su declaración de privacidad.
El Tribunal General anuló esa decisión en abril de 2023 (T-557/20), declarando que la identificabilidad debe evaluarse desde la perspectiva del destinatario. El EDPS apeló.
El 4 de septiembre de 2025, el Tribunal de Justicia anuló la sentencia del Tribunal General y, al hacerlo, formuló tres declaraciones separadas que deben mantenerse diferenciadas.
Primera. Las opiniones son datos personales por su propia naturaleza. El Tribunal discrepó del Tribunal General en el elemento «relacionado con». Las opiniones y puntos de vista personales, como expresión del pensamiento de una persona, están inherentemente vinculados a su autor. No se necesita ningún análisis de contenido, finalidad o efecto. Los campos de texto libre, los comentarios de encuestas y los informes de incidentes redactados con las propias palabras de alguien se relacionan con su autor de forma automática.
Segunda. «Personal» no es una característica absoluta del dato. Los datos suficientemente seudonimizados pueden constituir datos personales para el responsable del tratamiento que los originó, pero no constituir datos personales para un destinatario que no puede revertir la seudonimización ni identificar por ningún otro medio razonablemente probable. El mismo conjunto de datos, dos poseedores, dos estatus. El Tribunal rechazó expresamente el argumento del EDPS de que una evaluación relativa reduciría indebidamente el concepto y debilitaría la protección.
Tercera. La transparencia se evalúa, no obstante, en el momento de la recogida, desde la perspectiva del responsable. La SRB perdió igualmente en el punto que le importaba. Para la obligación de informar a los interesados sobre los destinatarios, la identificabilidad se evalúa desde la posición del responsable en el momento de la recogida. No es posible recoger datos, guardar silencio sobre a quién se tiene intención de enviarlos y argumentar después que la seudonimización hacía innecesaria la divulgación del destinatario.
La tercera declaración es la que la gente omite cuando se entusiasma con la segunda. No la omita. Es la que le costará un hallazgo de auditoría.
¿Los datos seudonimizados son siempre datos personales?
No, y ahí está la ruptura práctica.
Durante años la hipótesis de trabajo era que sí, invariablemente, en cualquier par de manos. EDPS v SRB es la primera sentencia en la que el Tribunal ha declarado expresamente lo contrario.
La formulación correcta ahora tiene tres partes.
Para el responsable que posee la clave, los datos seudonimizados son datos personales. La seudonimización es una medida de seguridad, no una salida del ámbito de aplicación.
Para un destinatario que no posee la clave y no dispone de ningún otro medio razonablemente probable, los mismos datos pueden quedar completamente fuera de la definición.
Y la carga de demostrar esta segunda proposición recae sobre usted. Requiere una evaluación escrita que nombre al poseedor, los medios disponibles para ese poseedor y por qué el riesgo residual de reidentificación es insignificante.
Si construyó su mapa de datos sobre la premisa «seudonimizado equivale a personal, en cualquier lugar, siempre», su mapa describe ahora una regla que ya no existe.
Por qué el Digital Omnibus hace la jurisprudencia más importante, no menos
El 19 de noviembre de 2025, la Comisión Europea publicó el Digital Omnibus, el mayor conjunto de enmiendas propuestas al GDPR desde que el reglamento comenzó a aplicarse. Entre ellas, un nuevo párrafo en el artículo 4(1) que codificaba el enfoque relativo casi literalmente: la información no sería personal para una entidad determinada cuando esa entidad no pueda identificar a la persona teniendo en cuenta los medios razonablemente susceptibles de ser utilizados por esa entidad, y no se convertiría en personal por el mero hecho de que un destinatario posterior disponga de esos medios.
No sobrevivió.
El 10 de febrero de 2026, el EDPB y el EDPS adoptaron el Dictamen Conjunto 2/2026, instando a los colegisladores a no adoptar los cambios al artículo 4(1) tal como estaban redactados. Sus motivos: la propuesta va mucho más allá de una enmienda específica o técnica, no refleja con precisión la jurisprudencia del Tribunal y es probable que aumente la inseguridad jurídica en lugar de reducirla.
El texto de compromiso del Consejo de 20 de febrero de 2026, distribuido por la presidencia chipriota, eliminó íntegramente la definición revisada, junto con la propuesta de ampliación de la definición de investigación científica y los cambios al artículo 22.
Y el expediente no ha concluido desde entonces. A finales de junio de 2026, la presidencia chipriota retiró su texto de compromiso del proceso de aprobación de COREPER II al quedar claro que no podía lograr una mayoría cualificada entre los Estados miembros. El Consejo pasó a la presidencia irlandesa el 1 de julio de 2026 sin una posición consolidada. La parte del paquete relativa a la IA fue adoptada por el Consejo el 29 de junio de 2026. La parte relativa a los datos, que abarca el GDPR, ePrivacy, NIS2 y DORA, sigue en negociación, sin que se espere una adopción definitiva antes de finales de 2026.
Lea la secuencia correctamente. El legislador intentó plasmar por escrito lo que el Tribunal ya había decidido. Los reguladores le indicaron que la redacción malinterpretaba la jurisprudencia. Se echó atrás.
Lo que significa que la jurisprudencia es el derecho aplicable. Breyer más EDPS v SRB es su estándar operativo hoy, y no hay ningún atajo normativo en camino que realice el análisis en su lugar.
¿Qué cambia esto en su registro de actividades de tratamiento?
La mayoría de los registros de actividades de tratamiento tienen una sola columna: ¿este tratamiento implica datos personales, sí o no?
Esa columna presupone una propiedad absoluta. Esa propiedad no existe.
La estructura honesta es por flujo y por actor. ¿Es esto dato personal para nosotros? ¿Es dato personal para la parte a la que lo enviamos? ¿Qué marca específicamente la diferencia?
Dos consecuencias, y van en sentidos opuestos, que es por eso que nadie capta las dos.
Probablemente tenga un ámbito excesivo en algún punto, aplicando toda la maquinaria del GDPR a conjuntos de datos que son genuinamente no personales en manos de la entidad que los posee. Eso supone coste y fricción sin beneficio protector alguno.
Casi con toda seguridad tiene también un ámbito insuficiente en algún otro punto: posee algo que ha estado denominando anónimo mientras existe una vía lícita hacia la pieza que falta, a la vista de todos. Breyer es la sentencia que le atrapa ahí, y atrapa a los equipos de seguridad con más frecuencia que a nadie.
¿Sigue necesitando un DPA con un encargado que no puede identificar a nadie?
Si un destinatario genuinamente no puede identificar a nadie, teniendo en cuenta todos los medios razonablemente susceptibles de ser utilizados, entonces en manos de ese destinatario el dato no es personal y el artículo 28 no le resulta aplicable como tal.
No le estoy diciendo que rompa sus contratos con encargados, y quiero ser preciso sobre por qué.
La evaluación es una instantánea. Los conjuntos de datos se enriquecen. El personal se mueve entre organizaciones. Un destinatario que hoy no puede identificar a nadie puede adquirir mañana los medios necesarios a través de una adquisición ajena o una compra de datos ajena. Los compromisos contractuales también forman parte de lo que hace que la reidentificación sea legalmente imposible, que es una de las propias puertas que fija el Tribunal. Elimine el contrato y puede estar eliminando precisamente lo que dejaba el dato fuera del ámbito.
Lo que le estoy diciendo es que deje de firmarlos por inercia y sea capaz de exponer en un párrafo por qué este destinatario está o no está en el ámbito y qué cambiaría la respuesta.
Ese párrafo es el artefacto que un auditor debería pedir. En mi experiencia, casi ninguno lo hace.
¿Son las direcciones IP y los registros de seguridad datos personales?
Aquí es donde Breyer muerde con más fuerza, y donde las funciones de seguridad están más expuestas, porque somos nosotros quienes generamos los datos.
Registros de servidor web. Registros de VPN y cortafuegos. Telemetría de EDR. Identificadores de dispositivo. Enriquecimiento de SIEM. Feeds de inteligencia de amenazas con direcciones IP y nombres de cuenta.
El razonamiento de Breyer se aplica directamente a todo ello, y el factor agravante es nuestro propio propósito declarado. Conservamos esos registros precisamente para poder realizar la atribución cuando ocurre algo. Ese propósito es lo que establece una vía lícita hacia la identificación. El gobierno alemán perdió Breyer en parte por el motivo por el que registraba.
Por tanto, el argumento «esto son solo IPs, son datos técnicos, no son personales» llega muerto de antemano en un contexto de seguridad. Su propio propósito lo derriba.
Eso no significa dejar de registrar. Breyer confirmó que el interés legítimo está disponible exactamente para esto. Significa registrar con una base jurídica declarada, un período de conservación que pueda defender y un aviso de privacidad que refleje lo que realmente hace.
El test de cuatro preguntas aplicable a cada flujo de datos
Por actor, por flujo. Nunca por conjunto de datos.
1. ¿Quién lo posee? Nombre la entidad concreta. Responsable, encargado, subencargado, destinatario. Si no puede nombrarla, no puede evaluar.
2. ¿Cuál es la pieza que falta y dónde está? Identifique la información adicional necesaria para vincular el dato a una persona, e identifique quién la posee.
3. ¿Existe una vía razonable y lícita hacia esa pieza? Contrato. Potestad legal. Conjunto de datos adquirible. Cauce regulatorio o judicial. Una clave en poder de una filial. Correlación técnica ordinaria con otros datos que ya posee. Si existe una vía utilizable, el dato es personal para ese poseedor.
4. Si no existe, ¿por qué es insignificante el riesgo residual? Documente el motivo. Prohibición legal. Prohibición contractual. Clave destruida o separada bajo controles. Esfuerzo desproporcionado en tiempo, coste y recursos humanos. Y luego indique el desencadenante que le llevaría a repetir la evaluación.
Cuatro preguntas. Una página por flujo material. Esa página es lo que convierte una decisión de ámbito de un hábito en una posición que puede defender la primera vez que una autoridad supervisora pregunte por qué algo está fuera de su ámbito.
Por qué defiendo un ámbito más restringido mientras argumento a favor de uno más amplio
Hay una objeción evidente a todo lo anterior, y merece una respuesta directa en lugar de una nota al pie.
El enfoque relativo puede ser objeto de abuso. Ofrece a cada organización un argumento para reducir su propio ámbito, y el incentivo para llegar a esa conclusión es enorme. El EDPS planteó exactamente este argumento ante el Tribunal y perdió. El EDPB planteó una versión del mismo contra la redacción del Digital Omnibus y, en esa ocasión, prevaleció.
Considero que la preocupación es legítima, y que la respuesta no es fingir que la jurisprudencia dice otra cosa.
Un test relativo no debilita la protección cuando se aplica con honestidad, porque es simétrico. Estrecha su ámbito donde genuinamente no puede llegar a una persona. Lo amplía, y esta es la mitad que nadie quiere, allí donde existe una vía lícita que no se había molestado en buscar. Aplicado correctamente, produce más ámbito en la telemetría de seguridad y en las cadenas de enriquecimiento que el perezoso test absoluto jamás generó.
El abuso no es el enfoque relativo. El abuso es aplicar solo la mitad. Quedarse con el estrechamiento sin la ampliación, reclamar la exención del destinatario sin redactar nunca la evaluación, y no aplicar nunca la pregunta tres a sus propios registros.
Si solo usa este artículo para reducir su ROPA, lo ha usado mal.
Lo que sigue abierto
Tres cuestiones que merece la pena seguir.
La parte relativa a los datos del Digital Omnibus sigue en negociación bajo la presidencia irlandesa, sin que se espere su adopción antes de finales de 2026 como mínimo. La revisión del artículo 4(1) está fuera del texto del Consejo tal como están las cosas. Eso puede cambiar.
Las Directrices 01/2025 del EDPB sobre seudonimización se redactaron antes de la sentencia de septiembre de 2025 y adoptan una posición más firme que la del Tribunal. La forma en que el Comité reconcilie su orientación con EDPS v SRB importará más a su auditor que la propia sentencia.
Y la cuestión práctica que la sentencia abre sin responder: si un encargado está genuinamente fuera del ámbito, qué rige la relación. El derecho contractual y la confidencialidad, presumiblemente. Pero nadie ha publicado una plantilla defendible, y no quisiera ser la primera organización en litigarlo.
Nada de eso es una razón para esperar. El trabajo de delimitación del ámbito es el mismo en cualquier caso, y las cuatro preguntas anteriores no dependen de cómo aterrice el Omnibus.
Examine un flujo. Elija el que nunca ha cuestionado. Ese es el que corresponde.
Fuentes
- TJUE, asunto C-582/14, Patrick Breyer v Bundesrepublik Deutschland, sentencia de 19 de octubre de 2016.
- TJUE, asunto C-413/23 P, EDPS v SRB, sentencia de 4 de septiembre de 2025, que anula la sentencia del Tribunal General en T-557/20 de 26 de abril de 2023.
- TJUE, asunto C-604/22, IAB Europe.
- TJUE, OC v Commission, 2024, sobre el riesgo de reidentificación insignificante.
- Dictamen Conjunto EDPB-EDPS 2/2026 sobre la propuesta de Reglamento Digital Omnibus, adoptado el 10 de febrero de 2026.
- Consejo de la Unión Europea, texto de compromiso de la presidencia chipriota sobre el Digital Omnibus, 20 de febrero de 2026, y retirada del proceso de aprobación de COREPER II, finales de junio de 2026.
- Comisión Europea, paquete Digital Omnibus, publicado el 19 de noviembre de 2025.
- Directrices 01/2025 del EDPB sobre seudonimización.
- Reglamento (UE) 2018/1725 (EUDPR), materialmente equivalente al GDPR en cuanto a la definición de dato personal y a las obligaciones de transparencia.
Preguntas frecuentes
¿Es una dirección IP un dato personal en virtud del GDPR?
Depende de quién la posea. Conforme a Breyer (C-582/14), una dirección IP dinámica es un dato personal para el operador de un sitio web cuando ese operador dispone de un medio razonable y lícito de obtener la información del abonado del proveedor de acceso a internet. Cuando no existe tal vía, puede no serlo. Para un equipo de seguridad que registra direcciones IP con el fin de perseguir a atacantes, la vía existe generalmente, porque es el propósito declarado lo que la crea.
¿Dice Breyer que un dato es personal si cualquier persona puede identificar al individuo?
No. Esa es la interpretación errónea más frecuente. Breyer confirma que la información adicional que permite la identificación no necesita estar en manos de la misma persona, pero condiciona esto a que la combinación constituya un medio razonablemente probable de ser utilizado. El Tribunal excluyó expresamente la identificación que está prohibida por ley o que exige un esfuerzo desproporcionado en tiempo, coste y recursos humanos, de modo que el riesgo se vuelve insignificante.
¿Los datos seudonimizados son siempre datos personales?
No, no para todo poseedor. En EDPS v SRB (C-413/23 P, 4 de septiembre de 2025), el Tribunal de Justicia confirmó que los datos suficientemente seudonimizados pueden ser datos personales para el responsable del tratamiento que posee la clave, sin constituir datos personales para un destinatario que no puede revertir la seudonimización y no dispone de ningún otro medio razonablemente probable de identificación. Para el responsable que posee la clave, siguen siendo datos personales.
¿Puede el mismo conjunto de datos ser dato personal para una organización y no para otra?
Sí. Esa es la declaración directa de EDPS v SRB. «Personal» no es una característica absoluta del dato. Se evalúa en relación con la entidad que lo posee y los medios razonablemente susceptibles de estar disponibles para esa entidad.
¿Sigo necesitando un acuerdo de tratamiento de datos si mi encargado no puede identificar a nadie?
Cuando el destinatario genuinamente no puede identificar a nadie, el artículo 28 no resulta aplicable a esos datos como tal. En la práctica, conviene mantener habitualmente los controles contractuales: la evaluación puede cambiar con el tiempo, y la prohibición contractual de reidentificación es en sí misma uno de los factores que mantiene los datos fuera del ámbito. El cambio consiste en ser capaz de justificar la posición por escrito en lugar de firmar por inercia.
¿Ha modificado el Digital Omnibus la definición de dato personal?
No tal como están las cosas. La Comisión propuso una revisión del artículo 4(1) en noviembre de 2025. El EDPB y el EDPS se opusieron mediante el Dictamen Conjunto 2/2026 el 10 de febrero de 2026, y el texto de compromiso del Consejo de 20 de febrero de 2026 la eliminó íntegramente. La presidencia chipriota retiró su texto de COREPER II a finales de junio de 2026 por falta de mayoría cualificada, y el expediente pasó a la presidencia irlandesa sin una posición del Consejo. La jurisprudencia sigue siendo el estándar operativo.
¿Cómo documento una declaración de anonimización para que supere una auditoría?
Nombre al poseedor, identifique la información adicional necesaria para la identificación y dónde se encuentra, indique si existe una vía razonable y lícita hacia ella y, en caso contrario, explique por qué el riesgo residual es insignificante usando los propios criterios del Tribunal: prohibición legal, prohibición contractual, ausencia de la clave o esfuerzo desproporcionado en tiempo, coste y recursos humanos. Luego documente el desencadenante que le obligaría a reevaluar. Una declaración de anonimización que no nombra a un poseedor no es una evaluación.
¿Se aplica esto a los registros de seguridad y a los datos del SIEM?
Sí, y con más fuerza que a la mayoría de las demás categorías. Los registros de seguridad se conservan precisamente para facilitar la atribución, y ese propósito es lo que establece una vía lícita hacia la identificación. El razonamiento de Breyer se aplica directamente. La respuesta correcta no es dejar de registrar, sino declarar una base jurídica, defender el período de conservación y hacer que el aviso de privacidad refleje la realidad.
Christophe Mazzola es el fundador de Cyber Academy y CISO en ejercicio. Imparte formación de certificación PECB e ISACA en toda Europa, incluyendo ISO/IEC 27001 Lead Implementer y Lead Auditor, ISO 31000 Lead Risk Manager e ISO/IEC 27701.