Anonimizar datos de RRHH en informes: cuándo y cómo
Diferencia entre anonimizar y seudonimizar según el RGPD, por qué un informe agregado puede seguir identificando a alguien y cómo publicar estadísticas de jornada sin exponer a la plantilla.
Un informe de absentismo por departamento parece inofensivo hasta que uno de los departamentos tiene dos personas. En ese momento, la media deja de ser una estadística y se convierte en información sobre una persona identificable, aunque no aparezca ningún nombre.
El RGPD llama a eso singularización, y es el motivo por el que muchos informes que se dan por anónimos no lo son. La diferencia entre un dato anónimo y uno seudonimizado no es de grado: es la frontera de aplicación de toda la norma.
TL;DR
- El considerando 26 del RGPD deja fuera de la norma la información anónima: los principios de protección de datos «no deben aplicarse a la información anónima» ni a los datos convertidos en anónimos de forma que el interesado no sea identificable, o deje de serlo.
- Los datos seudonimizados sí son datos personales: el mismo considerando dice que «cabría atribuir a una persona física mediante la utilización de información adicional» y «deben considerarse información sobre una persona física identificable».
- Para decidir si alguien es identificable hay que tener en cuenta todos los medios, como la singularización, que razonablemente puedan utilizarse, valorando costes, tiempo y tecnología disponible.
- El artículo 4.5 del RGPD define la seudonimización y exige que la información adicional figure por separado y con medidas técnicas y organizativas.
- El principio de minimización del art. 5.1.c) obliga a que los datos sean adecuados, pertinentes y limitados a lo necesario.
- El artículo 64.2.d) del ET da al comité derecho a ser informado trimestralmente de las estadísticas sobre el índice de absentismo y las causas: estadísticas, no listados nominales.
Anonimizar y seudonimizar no son sinónimos
El considerando 26 del RGPD contiene la definición operativa:
«Los principios de la protección de datos deben aplicarse a toda la información relativa a una persona física identificada o identificable. Los datos personales seudonimizados, que cabría atribuir a una persona física mediante la utilización de información adicional, deben considerarse información sobre una persona física identificable.»
Y a continuación fija el criterio de decisión:
«Para determinar si una persona física es identificable, deben tenerse en cuenta todos los medios, como la singularización, que razonablemente pueda utilizar el responsable del tratamiento o cualquier otra persona para identificar directa o indirectamente a la persona física.»
Con el cierre que interesa:
«Por lo tanto los principios de protección de datos no deben aplicarse a la información anónima, es decir información que no guarda relación con una persona física identificada o identificable, ni a los datos convertidos en anónimos de forma que el interesado no sea identificable, o deje de serlo.»
El artículo 4.5 define la otra figura:
«“Seudonimización”: el tratamiento de datos personales de manera tal que ya no puedan atribuirse a un interesado sin utilizar información adicional, siempre que dicha información adicional figure por separado y esté sujeta a medidas técnicas y organizativas destinadas a garantizar que los datos personales no se atribuyan a una persona física identificada o identificable.»
| Seudonimización | Anonimización | |
|---|---|---|
| ¿Se puede revertir? | Sí, con la información adicional | No |
| ¿Sigue siendo dato personal? | Sí | No |
| ¿Aplica el RGPD? | Completo | No, según el considerando 26 |
| Ejemplo | Sustituir el nombre por «EMP-0143» manteniendo la tabla de equivalencias | Publicar solo el total de horas del centro, sin desglose que permita aislar a nadie |
| Utilidad | Reduce el riesgo y ayuda a cumplir (art. 32.1.a) | Saca el dato del ámbito de la norma |
La confusión sale cara. Un informe con códigos de empleado en lugar de nombres se presenta a menudo como «anonimizado». No lo está: es seudonimizado, sigue siendo dato personal y le aplica todo el Reglamento.
La singularización: por qué un agregado puede identificar
El considerando 26 cita expresamente «la singularización» entre los medios a considerar. Singularizar es aislar a una persona dentro de un conjunto, aunque no se sepa su nombre.
Los cuatro casos que más se repiten en informes de recursos humanos:
Grupos pequeños. Una media de absentismo del departamento de tres personas revela, para quien conoce a dos de ellas, la situación de la tercera. La regla habitual —y prudente— es no publicar desgloses de grupos por debajo de un tamaño mínimo.
Combinación de variables. Centro + turno + categoría + antigüedad puede dejar una sola persona en la intersección aunque cada variable por separado agrupe a decenas.
Valores extremos. El máximo de horas extraordinarias del trimestre identifica a alguien de forma inequívoca en cualquier equipo pequeño.
Series temporales. Un patrón de ausencias con fechas concretas es tan identificativo como un nombre para quien trabaja en el mismo turno.
Ninguno de esos cuatro se resuelve quitando la columna del nombre.
Técnicas que funcionan y qué protege cada una
| Técnica | Qué hace | ¿Anonimiza? |
|---|---|---|
| Sustituir nombre por código | Oculta el identificador directo | No: seudonimiza |
| Cifrar el identificador | Igual, con más seguridad | No: seudonimiza |
| Agregar por grupos con tamaño mínimo | Impide aislar a una persona | Se acerca, según el umbral y las variables |
| Suprimir variables cruzables | Reduce la combinación que singulariza | Contribuye |
| Redondear o agrupar en rangos | Elimina valores extremos y precisión innecesaria | Contribuye |
| Suprimir la serie temporal fina | Impide reconstruir patrones | Contribuye |
La conclusión práctica: la anonimización no es una operación única, sino la combinación de varias que deja el conjunto sin capacidad de singularizar con medios razonables. Y esa valoración hay que documentarla, porque el artículo 5.2 del RGPD impone responsabilidad proactiva: el responsable debe poder demostrar el cumplimiento.
Qué informes de jornada se pueden publicar y cómo
El registro de jornada genera datos que interesan a mucha gente dentro de la empresa. No todos necesitan el mismo nivel de detalle.
| Destinatario | Finalidad | Nivel adecuado |
|---|---|---|
| Inspección de Trabajo | Comprobar el cumplimiento del art. 34.9 ET | Nominal: el precepto exige el horario de cada persona trabajadora |
| Representación legal de la plantilla | Derechos de información del art. 64 ET | Estadísticas agregadas; nominal solo donde una norma lo prevea |
| Dirección y mandos intermedios | Gestión operativa | Nominal para su equipo, agregado fuera de él |
| Cuadro de mando interno | Indicadores | Agregado, con umbral mínimo de grupo |
| Publicación en intranet | Transparencia interna | Agregado y comprobado contra singularización |
La primera fila conviene subrayarla. El artículo 34.9 del ET obliga a que los registros permanezcan «a disposición de las personas trabajadoras, de sus representantes legales y de la Inspección de Trabajo y Seguridad Social». Ahí no cabe anonimizar: la finalidad exige identificar. Lo que exige el RGPD en ese caso no es ocultar, sino limitar el acceso a quien tiene derecho y dejar trazado quién accedió.
Para la representación legal, el artículo 64.2.d) del ET reconoce el derecho a ser informado trimestralmente:
«De las estadísticas sobre el índice de absentismo y las causas, los accidentes de trabajo y enfermedades profesionales y sus consecuencias, los índices de siniestralidad, los estudios periódicos o especiales del medio ambiente laboral y los mecanismos de prevención que se utilicen.»
La palabra es estadísticas. Un listado nominal de ausencias por persona excede lo que ese apartado reconoce y añade un tratamiento que hay que justificar por otra vía. Cómo construir esos indicadores está en absentismo laboral: cómo medirlo.
Minimización y plazos
Dos principios del artículo 5.1 del RGPD gobiernan lo que se guarda y durante cuánto tiempo.
Minimización, letra c): los datos serán «adecuados, pertinentes y limitados a lo necesario en relación con los fines para los que son tratados».
Limitación del plazo de conservación, letra e): los datos se mantendrán «de forma que se permita la identificación de los interesados durante no más tiempo del necesario para los fines del tratamiento».
Esa segunda letra introduce un matiz relevante para los informes: lo que se limita en el tiempo es la forma identificable, no necesariamente el dato. Un conjunto convertido en anónimo puede conservarse indefinidamente con fines estadísticos, porque ya no hay interesados que identificar.
Y esto conecta con el plazo del artículo 34.9 del ET. Los cuatro años se refieren al registro de jornada, que por su finalidad probatoria debe ser nominal. Terminado ese plazo, mantener series históricas agregadas para análisis interno es una vía razonable de conservar el valor del dato sin conservar el riesgo. Cómo se articula la conservación está en conservar el registro de jornada cuatro años.
Seguridad: la seudonimización como medida, no como meta
El artículo 32.1.a) del RGPD cita «la seudonimización y el cifrado de datos personales» entre las medidas técnicas y organizativas apropiadas para garantizar un nivel de seguridad adecuado al riesgo.
Ese es su sitio: medida de seguridad, no técnica para salir del ámbito del Reglamento. Seudonimizar reduce el impacto de una brecha y limita quién puede reidentificar, y por eso conviene aplicarla en informes internos, entornos de prueba y análisis. Lo que no hace es convertir el fichero en anónimo.
El artículo 4.5 añade una condición operativa que se incumple con frecuencia: la información adicional que permite reidentificar debe figurar por separado y estar sujeta a medidas técnicas y organizativas. Una tabla de equivalencias en la misma hoja de cálculo, en otra pestaña, no cumple esa exigencia.
El planteamiento completo del cumplimiento en el registro de jornada está en cumplimiento del RGPD en el registro de jornada, y la evaluación de impacto, en evaluación de impacto de privacidad del fichaje.
Procedimiento para publicar un informe sin exponer a nadie
- Definir el destinatario y la finalidad. De ahí sale el nivel de detalle admisible, no al revés.
- Quitar identificadores directos: nombre, DNI, número de empleado, correo, teléfono.
- Revisar los cuasi-identificadores: centro, turno, categoría, antigüedad, fecha de alta. Son los que singularizan al combinarse.
- Fijar un tamaño mínimo de grupo y suprimir o fusionar las celdas que no lo alcancen.
- Tratar los valores extremos: máximos y mínimos individuales suelen identificar.
- Agregar la dimensión temporal: mes o trimestre en lugar de día.
- Hacer la prueba de reidentificación: intentar aislar a alguien conocido usando solo el informe y lo que cualquier compañero sabe. Si se consigue, el informe no está anonimizado.
- Documentar la decisión, por el principio de responsabilidad proactiva del artículo 5.2.
El paso 7 es el que casi nunca se hace y el que más informes descarta.
Errores frecuentes
Llamar anónimo a lo seudonimizado. Un código de empleado con tabla de equivalencias es dato personal a todos los efectos.
Guardar la tabla de equivalencias junto al fichero. El artículo 4.5 exige que la información adicional figure por separado y con medidas propias.
Publicar medias de grupos diminutos. Con dos o tres personas, la media es información individual.
Olvidar los cuasi-identificadores. Quitar el nombre y dejar centro, turno y categoría deja el trabajo a medias.
Entregar listados nominales de ausencias al comité por rutina. El artículo 64.2.d) reconoce derecho a estadísticas e índices, no a un listado por persona.
Anonimizar el registro que la Inspección debe poder consultar. El artículo 34.9 exige el horario concreto de cada persona trabajadora; ahí la respuesta no es anonimizar, sino controlar y trazar el acceso.
Preguntas frecuentes
¿Un informe con códigos en vez de nombres está anonimizado?
No. Es un tratamiento de datos seudonimizados, que el considerando 26 del RGPD considera expresamente información sobre una persona física identificable. Le aplica todo el Reglamento.
¿Cuándo un dato es realmente anónimo?
Cuando no guarda relación con una persona identificada ni identificable, teniendo en cuenta todos los medios que razonablemente puedan utilizarse —incluida la singularización—, valorando costes, tiempo y tecnología disponible.
¿Puedo publicar el absentismo por departamento?
Depende del tamaño del departamento y de las demás variables del informe. Con grupos pequeños, la media identifica. Conviene fijar un umbral mínimo de personas por celda y comprobarlo antes de publicar.
¿Qué puedo entregar al comité de empresa?
El artículo 64.2.d) del ET reconoce el derecho a ser informado trimestralmente de las estadísticas sobre el índice de absentismo y las causas, los accidentes de trabajo y enfermedades profesionales y sus consecuencias, los índices de siniestralidad y los estudios del medio ambiente laboral. Estadísticas e índices, no listados nominales.
¿Y a la Inspección de Trabajo?
El registro nominal. El artículo 34.9 del ET obliga a incluir el horario concreto de inicio y finalización de cada persona trabajadora y a mantener los registros a disposición de la plantilla, de sus representantes y de la Inspección.
¿Puedo conservar datos anonimizados más de cuatro años?
Si están efectivamente anonimizados, quedan fuera del ámbito del RGPD según el considerando 26, y el plazo de conservación del artículo 34.9 del ET se refiere al registro nominal. Series agregadas para análisis interno pueden mantenerse sin conservar el riesgo.
¿La seudonimización es suficiente como medida de seguridad?
Es una de las medidas que el artículo 32.1.a) menciona expresamente, junto con el cifrado. Suficiente o no depende del riesgo del tratamiento concreto; la norma exige que las medidas sean apropiadas a ese riesgo.
Cómo lo resuelve Tempika
En Tempika el nivel de detalle depende del rol de quien mira. Un mando ve a su equipo; el cuadro de mando general muestra agregados; la representación legal recibe indicadores; y el export nominal del modo Inspección queda reservado a quien tiene motivo para pedirlo, con constancia en el audit log de quién lo generó y cuándo.
Los informes agregados aplican un umbral mínimo de tamaño de grupo, de modo que un departamento de dos personas no aparece como una celda con su media. Cada apunte se encadena mediante hash con el anterior —el verifyChain—, y el export sale en CSV, XML y PDF.
El bloque de protección de datos está desarrollado en la página de cumplimiento. También puedes empezar con el plan gratuito para equipos de hasta 3 personas, sin tarjeta.
Contenido elaborado por el Equipo Tempika (Summum Marketing) con el texto del Reglamento (UE) 2016/679 y del Estatuto de los Trabajadores consultado en el BOE a 31 de julio de 2026. Tiene carácter informativo y no sustituye al asesoramiento jurídico especializado.
¿Lo ponemos en marcha hoy?
14 días gratis, sin tarjeta. Listo en 15 minutos.
Sin tarjeta · Sin permanencia · Baja en 1 clic