Anonimizar y borrar: la diferencia

Ejemplos ilustrativos: una tienda de muebles de Zaragoza quiere estudiar por qué le devuelven pedidos y una academia de Valladolid recibe una solicitud de supresión. Para distinguir una pieza dañada de un problema de entrega, la tienda no necesita saber quién compró. Puede preparar motivos agrupados. Pero una fecha exacta, una referencia de pedido y un encargo singular pueden señalar al comprador aunque haya quitado su nombre. Ese recorte todavía no demuestra que la persona deje de ser identificable.

El expediente original requiere otra decisión. Preparar información para el análisis no elimina el documento de venta ni las notas que conserva administración. La tienda debe separar lo que necesita para estudiar patrones de lo que debe conservar por otras razones. Al terminar, eliminar la exportación de trabajo tampoco decide qué ocurre con el expediente. Es el mismo punto de partida, con finalidades y ubicaciones distintas.

Quitar identificadores directos es insuficiente. El nombre y el correo son evidentes, pero también cuentan la ubicación, el momento y los detalles del relato. La valoración considera quién recibe la información, qué sabe y qué medios puede utilizar razonablemente para identificar. Incluye el tiempo, la tecnología y el esfuerzo necesarios. No basta con que tú, al mirar la copia, hayas dejado de ver un nombre. La explicación de qué es la anonimización desarrolla esta diferencia.

El resultado y el proceso se valoran por separado. La información realmente anónima queda fuera de los principios del Reglamento General de Protección de Datos (RGPD). Sin embargo, los originales identificables siguen sujetos a sus reglas. Anonimizar esos originales también es un tratamiento de datos personales y exige las garantías correspondientes. Si un proveedor trabaja por tu cuenta, ocultarle la correspondencia no basta cuando tu empresa todavía puede identificar a las personas.

No existe un plazo único de conservación para todos los documentos de una pyme. Una obligación legal o la defensa de reclamaciones pueden justificar conservar determinados datos dentro de su ámbito. La Ley Orgánica de Protección de Datos y Garantía de los Derechos Digitales regula el bloqueo al rectificar o suprimir: reserva los datos durante el plazo de prescripción de las posibles responsabilidades y después corresponde destruirlos. Los datos bloqueados no se pueden reutilizar para otra finalidad.

El derecho de supresión exige decidir qué datos se eliminan, cuáles pueden conservarse por una excepción y qué se comunica a la persona. Cuando corresponda, también hay que comunicar la supresión a los destinatarios. Borrar el contacto visible en una aplicación no resuelve toda la solicitud. Para ordenar esta revisión, consulta la guía de retención de datos.

Define qué información debe quedar, quién revisará el resultado y qué pruebas necesitas para darlo por válido. Una detección automática puede apoyar el trabajo, pero el contexto y la utilidad del resultado requieren valoración. Para practicar, la alternativa más sencilla es crear un caso ficticio desde cero.

Prepara los datos antes de enviarlos. No subas el original a un asistente externo solo para pedirle que quite allí los nombres. En el trabajo, sigue la política de tu organización y protege también su información confidencial. La guía ¿puedo meter datos de clientes en una IA? te ayuda a plantear esa decisión. Si necesitas ordenar qué conservas y qué puedes compartir, puedes revisar el proceso con la consultoría de Ciade.