Una guía profesional sobre su definición y aplicación en sectores clave
La seudonimización (también conocida como pseudonimización) es un concepto clave en la Ley Orgánica de Protección de Datos Personales (LOPDP) de Ecuador, promulgada en 2021 y reglamentada por el Reglamento General a la LOPDP (RGLOPDP). Según el Artículo 4 de la LOPDP, se define como:
"Tratamiento de datos personales de manera tal que ya no puedan atribuirse a un titular sin utilizar información adicional, siempre que dicha información adicional figure por separado y esté sujeta a medidas técnicas y organizativas destinadas a garantizar que los datos personales no se atribuyan a una persona física identificada o identificable."
En esencia, consiste en reemplazar datos identificadores directos (como nombres o cédulas) por seudónimos o códigos indirectos, manteniendo la posibilidad de reidentificación solo bajo condiciones controladas y seguras. A diferencia de la anonimización (que elimina irreversiblemente la posibilidad de identificación), los datos seudonimizados siguen siendo considerados datos personales y están sujetos a todas las obligaciones de la LOPDP, como el consentimiento, la minimización de datos y la confidencialidad.
Esta técnica se posiciona como una medida de seguridad obligatoria (Artículo 37 de la LOPDP), junto con el cifrado y la anonimización, para reducir riesgos en el tratamiento de datos. En agosto de 2025, la Superintendencia de Protección de Datos Personales (SPDP) emitió la Resolución SPDP-SPD-2025-0030-R, que regula detalladamente la seudonimización, anonimización, bloqueo, suspensión y eliminación de datos. Esta norma exige un análisis previo de gestión de riesgos por parte del responsable o encargado del tratamiento, y aplica a todas las entidades públicas y privadas que manejen datos en Ecuador. El objetivo es armonizar prácticas empresariales con los principios constitucionales de protección de datos, como la minimización y la proporcionalidad.
La seudonimización se aplica de forma transversal en estos sectores como herramienta para cumplir con los principios de la LOPDP (confidencialidad, integridad y disponibilidad de datos), pero con énfasis en contextos donde la identificación directa no es esencial. Requiere siempre legitimación legal (por ejemplo, consentimiento o interés legítimo) y registro de cualquier reidentificación.
| Sector | Aplicación principal | Requisitos específicos | Ejemplos prácticos |
|---|---|---|---|
| Servicios de salud | Obligatoria para datos relativos a la salud (física o mental) recolectados por el Sistema Nacional de Salud o profesionales, priorizando la anonimización o seudonimización "siempre que sea posible" (Artículo 31, numeral 2 de la LOPDP). Se usa en investigaciones científicas, históricas o estadísticas para minimizar riesgos. | - Autorización previa de la SPDP para tratamientos de datos anonimizados o seudonimizados. - Análisis exhaustivo de riesgos, evaluando impactos en la prestación de servicios. - Cumplimiento del secreto profesional y confidencialidad (Capítulo 4 de la LOPDP). |
En estudios epidemiológicos, reemplazar nombres por códigos para analizar tendencias de enfermedades sin exponer identidades. Transferencia de datos seudonimizados entre hospitales sin consentimiento adicional. |
| Banca | Aplicada en auditorías internas, pruebas de sistemas, análisis de seguridad y prestación de servicios/productos donde no sea imprescindible conocer la identidad del titular (Artículo 6 de la Resolución 0030-R). Ayuda a procesar datos crediticios o transaccionales sin riesgos innecesarios. | - Análisis de riesgos previo para evitar reidentificación accidental. - Integración con medidas de seguridad como el cifrado. - Obligatoria para entidades financieras bajo supervisión de la Superintendencia de Bancos. |
En revisiones antifraude, usar seudónimos para analizar patrones de transacciones; o en pruebas de software bancario, procesar datos históricos sin exponer clientes reales. |
| Servicios públicos | General para entidades estatales en tratamientos donde la identidad no es esencial, como procesos estadísticos, auditorías o investigaciones (aplicable a todas las instituciones públicas por el Reglamento de 2025). Facilita el cumplimiento de transparencia sin violar privacidad. | - Obligatoriedad para todas las entidades públicas que traten datos (Artículo 4 de la Resolución 0030-R). - Registro de reidentificaciones y alineación con obligaciones de acceso público (Ley de Transparencia). - Análisis de riesgos considerando volumen y sensibilidad de datos. |
En el Registro Civil o ministerios, seudonimizar datos para informes estadísticos de población; o en servicios de agua/potable, analizar consumos anónimos para planificación sin identificar usuarios. |
En todos los casos, la seudonimización no exime de responsabilidades: los titulares de datos retienen derechos como acceso, rectificación o eliminación, y las entidades deben capacitar personal y documentar procesos.