Anonimización de datos según la AEPD: qué dicen sus guías y cómo aplicarlas en un despacho

28 de octubre de 2026 · 14 min de lectura

La AEPD tiene varios documentos sobre anonimización de datos, pero casi todos están pensados para bases de datos y estudios estadísticos, no para el escrito, el contrato o la nómina que un despacho o una gestoría quiere compartir o pasar por una IA. Esta guía resume qué dice cada documento, qué ha cambiado en Europa entre 2025 y 2026 (dos directrices del CEPD y una sentencia del TJUE) y cómo se traduce todo eso en un checklist para anonimizar un documento sin engañarte sobre el resultado.

Anonimización de datos: la idea en dos frases

Según el considerando 26 del RGPD, los principios de protección de datos no se aplican a la información anónima, es decir, a la que no guarda relación con una persona identificada o identificable, ni a los datos convertidos en anónimos de forma que el interesado no sea identificable o deje de serlo. Para decidir si alguien es identificable hay que tener en cuenta todos los medios, «como la singularización», que razonablemente pueda utilizar el responsable o cualquier otra persona, valorando costes, tiempo y tecnología disponible.

La seudonimización (art. 4.5 RGPD) es otra cosa: tratar los datos de forma que ya no puedan atribuirse a un interesado sin utilizar información adicional, siempre que esa información figure por separado y esté protegida. El mismo considerando 26 dice que los datos seudonimizados que cabría atribuir a una persona con esa información adicional son datos personales. Si quieres la explicación conceptual completa, está en anonimización vs. seudonimización; aquí nos centramos en lo que dicen los organismos.

Los documentos de la AEPD sobre anonimización

Estos son los que la Agencia tiene publicados en su web y que conviene conocer. Ninguno es una norma: son orientaciones y notas técnicas.

1. Orientaciones y garantías en los procedimientos de anonimización de datos personales

Es «la guía de la AEPD» que suele citarse. Un detalle importante antes de usarla: el PDF que se descarga hoy desde aepd.es lleva la marca «EN REVISIÓN» en todas sus páginas. Sigue siendo útil, pero conviene leerlo como un documento que la propia Agencia tiene pendiente de actualizar. Sus ideas principales:

No existe el anonimato absoluto. La guía reconoce que ninguna técnica puede garantizar en términos absolutos que no haya reidentificación; el objetivo es que reidentificar exija un esfuerzo tan alto que no compense o no sea asumible, y el riesgo que queda se gestiona como un riesgo residual.
Identificadores directos e indirectos. Hay que romper la «cadena de identificación», que incluye los datos que identifican directamente y los indirectos: datos de la misma u otras fuentes que, cruzados, permiten reidentificar. Su ejemplo: la combinación de sexo, edad, lugar de nacimiento y una determinada enfermedad puede identificar a una persona concreta.
El riesgo crece con el tiempo, a medida que aparece más información sobre las personas (redes sociales, blogs…), por lo que recomienda reevaluarlo periódicamente.
Claves y reversibilidad. Usar HMAC con claves secretas no triviales y una política diligente de destrucción de claves puede servir para garantizar la irreversibilidad; si las claves se conservan, sirven para generar datos seudonimizados que permiten reidentificar después.
Proceso y documentación: privacidad desde el diseño, análisis de riesgos de reidentificación, roles definidos (incluido el DPD), formación del personal, auditoría y documentación del proceso.

2. La k-anonimidad como medida de la privacidad

Una nota técnica para quien anonimiza conjuntos de datos. Su punto de partida sirve también para documentos: aunque se supriman los datos que identifican explícitamente, las fuentes que comparten atributos pueden enlazarse y dejar un rastro de la persona. Por responsabilidad proactiva, el responsable debe estudiar el riesgo de reidentificación y gestionarlo.

3. Introducción al hash como técnica de seudonimización de datos personales

Un estudio (versión de octubre de 2019) que desmonta la idea de que «si está hasheado, es anónimo». Concluye que usar hash para seudonimizar o anonimizar tiene que ir acompañado de un análisis de los riesgos de reidentificación de la técnica concreta, con atención a la información vinculada o vinculable al valor del hash.

4. 10 malentendidos relacionados con la anonimización (AEPD y SEPD)

Un documento conjunto de la AEPD y el Supervisor Europeo de Protección de Datos, publicado el 27 de abril de 2021. Es el más útil para explicar el tema a un equipo. Cuatro de sus «equívocos» encajan directamente con el trabajo de un despacho:

«La seudonimización es lo mismo que la anonimización». No lo es.
«La anonimización es permanente». Existe el riesgo de que algunos procesos se reviertan en el futuro con nuevos avances técnicos o con información adicional disponible.
«La anonimización es un concepto binario que no puede medirse». El grado de anonimización se puede analizar y medir; no es una etiqueta de sí o no.
«La anonimización puede automatizarse totalmente». Se pueden usar herramientas automáticas, pero, por la importancia del contexto, hace falta la intervención de un experto humano. Encontrar los identificadores directos es trivial; los indirectos no siempre son obvios, y no detectarlos puede llevar a la reidentificación.

5. Guía básica de anonimización

En noviembre de 2022 la AEPD publicó la traducción de la guía de la autoridad de protección de datos de Singapur (PDPC), acompañada de una herramienta gratuita de anonimización. Su enfoque se aplica a datos estructurados (tablas, hojas de cálculo), no a documentos de texto libre.

El hilo común de todos estos documentos: quitar nombres y números no basta, el contexto puede identificar, el riesgo nunca es cero y la valoración final la hace una persona. Ninguno está pensado específicamente para textos jurídicos, así que el trabajo de un despacho es trasladar esas ideas a sus documentos.

Singularización, vinculabilidad e inferencia, con ejemplos de escritos

La referencia europea que citan tanto la AEPD como el CEPD es el Dictamen 05/2014 sobre técnicas de anonimización del Grupo de Trabajo del Artículo 29, adoptado el 10 de abril de 2014. Propone medir la solidez de una anonimización con tres riesgos:

Singularización: la posibilidad de extraer los registros que identifican a una persona.
Vinculabilidad: la capacidad de vincular al menos dos registros de un mismo interesado o grupo, en la misma base de datos o en dos distintas.
Inferencia: la posibilidad de deducir con una probabilidad significativa el valor de un atributo a partir de otros.

El dictamen insiste en que no basta con eliminar los elementos que identifican directamente a una persona. En un documento jurídico, los tres riesgos se ven así (ejemplos ficticios):

Singularización por contexto. Un escrito anonimizado dice: «PERSONA_01, directora del único instituto público de LUGAR_01, fue cesada el 14 de marzo». Si el municipio se queda sin anonimizar, o si el cargo y la fecha bastan, cualquiera del pueblo sabe de quién se habla. Lo mismo pasa con «el magistrado titular del Juzgado de lo Social n.º 2 de una capital de provincia» más una fecha de resolución, o con un número de autos que se puede buscar.
Vinculabilidad. Si todos los documentos de un cliente llevan la misma etiqueta y uno de ellos contiene un detalle identificador (una cuantía exacta, una matrícula, una fecha de nacimiento), ese detalle «contagia» a todos los demás. También se vincula un escrito con la sentencia ya publicada del mismo pleito: hechos, fechas y cuantías coincidentes permiten unirlos.
Inferencia. Una demanda laboral sin nombres que menciona «la única trabajadora del departamento de contabilidad que estuvo de baja por tratamiento oncológico entre enero y junio» permite inferir un dato de salud, que es categoría especial (art. 9 RGPD), de una persona que sus compañeros identifican sin esfuerzo.

Lo que ha cambiado en Europa entre 2025 y 2026

Directrices 01/2025 del CEPD sobre seudonimización

El Comité Europeo de Protección de Datos (CEPD) adoptó las Directrices 01/2025 sobre seudonimización el 16 de enero de 2025 como versión para consulta pública; los comentarios se recibieron hasta el 14 de marzo de 2025. A fecha de este artículo, en la web del CEPD sigue figurando esa versión, sin una definitiva. Lo que dicen, en lo que importa a un despacho:

Los datos seudonimizados que podrían atribuirse a una persona usando información adicional son datos personales, y el texto de consulta añade que eso vale también aunque los datos y la información adicional no estén en manos de la misma persona (un punto que hay que leer junto con la sentencia del TJUE de más abajo).
Aunque se borre toda la información adicional que guardaba quien seudonimizó, los datos solo pueden considerarse anónimos si se cumplen las condiciones de la anonimización. Borrar la tabla no convierte el resultado en anónimo de forma automática.
La seudonimización es una garantía útil para la minimización, la protección de datos desde el diseño (art. 25) y la seguridad (art. 32, que la nombra expresamente en su apartado 1.a), pero sola normalmente no basta.
Introducen el «dominio de seudonimización»: el círculo de personas o entidades frente a las que la seudonimización debe impedir la atribución, que suele ser el de los destinatarios autorizados.

La sentencia del TJUE en el asunto C-413/23 P (SEPD contra JUR)

El 4 de septiembre de 2025 el Tribunal de Justicia resolvió el recurso del Supervisor Europeo contra la Junta Única de Resolución (JUR) por unos comentarios seudonimizados que la JUR había transmitido a Deloitte. Según el comunicado oficial del Tribunal (n.º 107/25):

Los datos seudonimizados no deben considerarse, en todos los casos y para toda persona, datos personales: según las circunstancias, la seudonimización puede impedir que personas distintas del responsable identifiquen al interesado, de modo que para ellas no sea identificable.
Pero para valorar la obligación de informar al interesado, la identificabilidad se aprecia en el momento de la recogida y desde el punto de vista del responsable. La JUR tenía que informar de que los datos irían a Deloitte, fueran o no datos personales desde el punto de vista de Deloitte.
El Tribunal anuló la sentencia del Tribunal General y le devolvió el asunto.

Dos cautelas al leerla. Interpreta el Reglamento (UE) 2018/1725, el que se aplica a las instituciones y organismos de la UE, no el RGPD directamente, aunque el CEPD ya la usa para interpretar el RGPD (ver abajo). Y no dice que seudonimizar «saque» los datos del RGPD: para quien conserva la tabla siguen siendo datos personales. En un despacho, si guardas el mapa de reemplazos, el documento sigue siendo dato personal para ti, con todas tus obligaciones.

Directrices 02/2026 del CEPD sobre anonimización (en consulta)

El 7 de julio de 2026 el CEPD adoptó las Directrices 02/2026 sobre anonimización (versión 1.0), en consulta pública hasta el 30 de octubre de 2026. Es un borrador y puede cambiar, pero marca la dirección:

Se presentan como la actualización del Dictamen 05/2014, citando la evolución de la jurisprudencia del TJUE, los espacios de datos y la IA. Quien ya evaluó un conjunto de datos como anónimo con el Dictamen 05/2014 no tiene que repetir la evaluación, aunque conviene reevaluar periódicamente.
El anonimato se evalúa desde la perspectiva de cada entidad (normalmente, aquella para la que los datos deben ser anónimos), en línea con la sentencia C-413/23 P, que citan expresamente.
Reformulan los tres riesgos como tres criterios: sin aislamiento de registros, sin vinculación y sin inferencia (la traducción es nuestra; el texto en consulta está en inglés: No Record Isolation, No Linkage, No Inference). Si se cumplen los tres, los datos pueden considerarse anónimos; si falla alguno, hay que seguir analizando.
Si la información es anónima para quien la recibe pero no para quien la anonimizó, este sigue teniendo todas sus obligaciones del RGPD respecto a ella.
Si una entidad trata la información por cuenta de un responsable para el que es dato personal, también es dato personal para esa entidad, que actúa como encargada. Aplicado a la IA: un proveedor que trabaja como encargado de tu despacho no se libra del RGPD porque le llegue un texto seudonimizado.
No se deben usar términos como «anónimo» o «desidentificado» si las personas siguen siendo identificables, y el proceso de anonimización (incluidas las pruebas) debe quedar documentado.

Checklist para anonimizar un documento antes de compartirlo o usarlo con IA

Trasladado a un escrito, un informe, un contrato o una nómina, todo lo anterior se resume en estos pasos:

Define para quién tiene que ser anónimo. No es lo mismo un modelo de demanda para un curso, un borrador que va a una IA en la nube o un informe para la otra parte. El destinatario y lo que ya sabe cambian el análisis.
Decide si necesitas volver atrás. Si no, sustitución sin tabla. Si sí (por ejemplo, para rehidratar la respuesta de una IA), es seudonimización: la tabla se guarda aparte, protegida, y el documento sigue siendo dato personal para ti.
Quita los identificadores directos. Nombres, DNI/NIE, domicilios, teléfonos, correos, IBAN, números de la Seguridad Social, matrículas, números de colegiado, firmas.
Revisa los indirectos y el contexto. Cargos, profesiones poco comunes, fechas concretas, juzgado y número de autos, municipios pequeños, nombres de empresa, cuantías exactas, hechos singulares. Pregúntate: ¿alguien del entorno reconocería el caso?
Busca inferencias. ¿Se puede deducir una enfermedad, una afiliación sindical, una condena o una situación familiar de alguien reconocible? Las categorías especiales y los datos penales merecen una segunda lectura.
Controla la vinculación. Piensa qué pasa si alguien junta este documento con otros que compartes con las mismas etiquetas, o con una sentencia publicada del mismo asunto.
Limpia lo que no se ve. Metadatos, control de cambios, comentarios, encabezados, nombres de archivo y tachados de PDF que dejan el texto debajo (lo explicamos en cómo anonimizar un PDF).
Revisión humana del texto completo. Una persona lee el resultado entero antes de que salga. La herramienta encuentra lo evidente; el contexto lo valora alguien que conoce el caso.
Llámalo por su nombre y déjalo documentado. No digas «anónimo» si es seudonimizado o si queda riesgo de reidentificación. Anota qué se hizo, quién lo revisó y para qué destinatario.

Si el destino es una IA en la nube, el checklist va junto con las reglas de uso de la propia herramienta (cuenta, contrato de encargo, entrenamiento). Las tienes en cómo autorizar ChatGPT en un despacho: checklist para el DPO.

Dónde encaja Anonimizar (y qué no promete)

Anonimizar es una app de escritorio que cubre los pasos mecánicos de ese checklist en tu propio equipo, sin subir el documento a ningún servicio:

Detecta y sustituye nombres, documentos de identidad, domicilios, teléfonos, cuentas y otros datos por etiquetas consistentes (PERSONA_01, DNI_01). Todo local: sin nube, sin cuenta y sin telemetría.
Con revisión humana: te muestra cada detección para confirmarla o descartarla antes de exportar, y puedes añadir a mano lo que falte.
Irreversible por defecto: no guarda ninguna tabla de correspondencias, así que la sustitución no se puede deshacer desde la herramienta.
Reversible si lo eliges: si activas el mapa, puedes pasar el texto a una IA y rehidratar su respuesta con los datos reales en tu equipo. En ese caso, en términos del RGPD, es seudonimización y el mapa es la «información adicional» del art. 4.5: un archivo confidencial que se guarda aparte.

Lo que no hace, y nadie debería prometer: decidir por ti que un documento es anónimo. Ninguna detección automática es infalible, y la singularización por contexto o la inferencia dependen de lo que sabe el destinatario. Por eso la revisión humana es parte del método, no un extra. El mapeo de la herramienta a los artículos del RGPD (4.5, 25, 32 y el considerando 26) está en el dossier de seguridad para DPOs.

Preguntas frecuentes

¿Qué es la anonimización de datos según el RGPD?

Tratar los datos de forma que la persona no sea identificable, ni por quien los anonimiza ni por terceros, con los medios que razonablemente podrían usarse (considerando 26). Si se consigue, el RGPD deja de aplicarse a esa información. Si queda una forma razonable de reidentificar, siguen siendo datos personales.

¿Está vigente la guía de anonimización de la AEPD?

Las «Orientaciones y garantías en los procedimientos de anonimización de datos personales» siguen publicadas en la web de la AEPD, pero el PDF lleva la marca «EN REVISIÓN». A nivel europeo, el CEPD tiene en consulta unas directrices nuevas sobre anonimización (02/2026) que actualizan el Dictamen 05/2014. Conviene leer las tres cosas juntas.

¿La seudonimización de datos es lo mismo que anonimizar?

No. Los datos seudonimizados que se pueden volver a atribuir con información adicional son datos personales. La seudonimización reduce riesgos y es una medida de seguridad reconocida por el RGPD, pero no saca los datos de su ámbito para quien puede reidentificar.

Si borro la tabla de correspondencias, ¿el documento queda anónimo?

No automáticamente. Sin tabla no se puede deshacer la sustitución, pero el documento solo es anónimo si nadie puede reidentificar a las personas con medios razonables, también por el contexto. Lo dice expresamente el borrador de directrices del CEPD sobre seudonimización.

¿Puedo pasar a ChatGPT un documento seudonimizado sin contrato de encargo?

Si el proveedor trata el texto por tu cuenta y para ti sigue siendo dato personal (porque guardas el mapa o porque el contexto identifica), el borrador de directrices del CEPD sobre anonimización lo considera también dato personal para ese proveedor. Seudonimizar reduce mucho el riesgo, pero no sustituye el contrato de encargo ni el resto de garantías.

¿Qué cambia la sentencia C-413/23 P para un despacho?

Confirma que un dato seudonimizado puede no ser personal para un destinatario que no tiene medios razonables para reidentificar, pero que para quien conserva la clave sigue siéndolo, y que obligaciones como la de informar se valoran desde el punto de vista del responsable. Para el despacho que guarda el mapa, nada cambia en sus obligaciones.

Anonimiza en tu equipo y revisa antes de compartir

Anonimizar detecta los datos personales de un documento, te deja revisar cada uno y los sustituye por etiquetas. Irreversible por defecto; si guardas el mapa, es seudonimización y puedes rehidratar la respuesta de una IA con los datos reales en tu propio equipo. 100% local, sin nube y sin telemetría.

Pruébala gratis · 15 archivos

Para profundizar: anonimización vs. seudonimización, cómo autorizar ChatGPT en un despacho (checklist para el DPO), protección de datos en un despacho de abogados y cómo anonimizar un PDF sin subirlo a internet.

Este artículo es informativo y no constituye asesoramiento legal. Las referencias al RGPD, a los documentos de la AEPD, al Dictamen 05/2014, a las directrices del CEPD y a la sentencia C-413/23 P son un resumen a 28 de octubre de 2026. Las Directrices 01/2025 y 02/2026 del CEPD eran versiones para consulta pública en esa fecha y pueden cambiar; la guía de orientaciones de la AEPD figura como «en revisión». Conviene comprobar el texto vigente y, para un caso concreto, contar con un profesional de protección de datos.

Spain's data protection authority, the AEPD, has published several documents on data anonymisation, but almost all of them are written for databases and statistical studies, not for the pleading, contract or payslip that a law firm or advisory practice wants to share or run through an AI. This guide summarises what each document says, what changed in Europe between 2025 and 2026 (two EDPB guidelines and a CJEU judgment) and how it all turns into a checklist for anonymising a document without fooling yourself about the result.

Data anonymisation in two sentences

Under GDPR Recital 26, data protection principles don't apply to anonymous information, meaning information that doesn't relate to an identified or identifiable person, or to data rendered anonymous so that the data subject is not or no longer identifiable. To decide whether someone is identifiable, you have to consider all the means, "such as singling out", reasonably likely to be used by the controller or by anyone else, weighing cost, time and available technology.

Pseudonymisation (GDPR Art. 4(5)) is something else: processing data so it can no longer be attributed to a data subject without the use of additional information, provided that information is kept separately and protected. The same Recital 26 says pseudonymised data that could be attributed to a person with that additional information is personal data. The full conceptual explanation is in anonymisation vs. pseudonymisation; here we focus on what the authorities say.

The AEPD's documents on anonymisation

These are the ones the Agency has published on its website and that are worth knowing (all in Spanish, some also in English). None of them is law: they are guidance and technical notes.

1. Guidance and safeguards in personal data anonymisation procedures

This is the "AEPD anonymisation guide" people usually cite (Orientaciones y garantías en los procedimientos de anonimización de datos personales). One important detail before relying on it: the PDF you download today from aepd.es is stamped "EN REVISIÓN" (under review) on every page. It's still useful, but read it as a document the Agency itself intends to update. Its main ideas:

There's no such thing as absolute anonymity. The guide accepts that no technique can guarantee in absolute terms that re-identification won't happen; the goal is for re-identification to require so much effort that it isn't worth it or can't be undertaken, and the remaining risk is managed as a residual risk.
Direct and indirect identifiers. You have to break the "identification chain", which includes data that identifies directly and indirect data from the same or other sources that, combined, allows re-identification. Its example: the combination of sex, age, place of birth and a particular illness can identify a specific person.
Risk grows over time, as more information about people appears (social media, blogs…), so it recommends reassessing it periodically.
Keys and reversibility. Using HMAC with non-trivial secret keys and a diligent key destruction policy can help guarantee irreversibility; if the keys are kept, they produce pseudonymised data that allows later re-identification.
Process and documentation: privacy by design, re-identification risk analysis, defined roles (including the DPO), staff training, auditing and documenting the process.

2. K-anonymity as a privacy measure

A technical note for those anonymising datasets. Its starting point also applies to documents: even if the explicitly identifying data is removed, sources that share attributes can be linked and leave a trail back to the person. Under the accountability principle, the controller must study the re-identification risk and manage it.

3. Introduction to the hash function as a pseudonymisation technique

A study (October 2019 version) that dismantles the idea that "if it's hashed, it's anonymous". It concludes that using hashing to pseudonymise or anonymise must come with an analysis of the re-identification risks of the specific technique, paying attention to information linked or linkable to the hash value.

4. 10 misunderstandings related to anonymisation (AEPD and EDPS)

A joint paper by the AEPD and the European Data Protection Supervisor, published on 27 April 2021 (the link is the Spanish version). It's the most useful one for explaining the topic to a team. Four of its "misunderstandings" map directly to a law firm's work:

"Pseudonymisation is the same as anonymisation." It isn't.
"Anonymisation is forever." Some anonymisation processes may be reversed in the future through new technical developments or newly available information.
"Anonymisation is a binary concept that can't be measured." The degree of anonymisation can be analysed and measured; it isn't a yes-or-no label.
"Anonymisation can be fully automated." Automated tools can be used, but given how much context matters, a human expert has to be involved. Finding direct identifiers is trivial; indirect ones aren't always obvious, and missing them can lead to re-identification.

5. Basic anonymisation guide

In November 2022 the AEPD published a translation of the guide by Singapore's data protection authority (PDPC), together with a free anonymisation tool. Its approach applies to structured data (tables, spreadsheets), not to free-text documents.

The common thread in all these documents: removing names and numbers isn't enough, context can identify, the risk is never zero and the final call is made by a person. None of them is written specifically for legal texts, so a law firm's job is to carry those ideas over to its own documents.

Singling out, linkability and inference, with examples from legal documents

The European reference cited by both the AEPD and the EDPB is the Article 29 Working Party's Opinion 05/2014 on anonymisation techniques (Spanish version), adopted on 10 April 2014. It assesses how robust an anonymisation is against three risks:

Singling out: the possibility of isolating the records that identify a person.
Linkability: the ability to link at least two records concerning the same data subject or group, in the same database or in two different ones.
Inference: the possibility of deducing, with significant probability, the value of an attribute from the values of others.

The Opinion stresses that removing the elements that directly identify a person is not enough. In a legal document, the three risks look like this (fictional examples):

Singling out through context. An anonymised pleading says: "PERSONA_01, head of the only state secondary school in LUGAR_01, was dismissed on 14 March". If the town is left in, or if the job title and date are enough, anyone local knows who it is. The same goes for "the judge presiding over Employment Court No. 2 of a provincial capital" plus a ruling date, or a case number that can be looked up.
Linkability. If all of a client's documents use the same label and one of them contains an identifying detail (an exact amount, a car registration, a date of birth), that detail "spreads" to all the others. A pleading can also be linked to the published judgment in the same case: matching facts, dates and amounts let you join them.
Inference. An employment claim with no names that mentions "the only employee in the accounts department who was on leave for cancer treatment between January and June" allows a health data inference, a special category under GDPR Art. 9, about someone her colleagues can identify effortlessly.

What changed in Europe between 2025 and 2026

EDPB Guidelines 01/2025 on pseudonymisation

The European Data Protection Board adopted Guidelines 01/2025 on Pseudonymisation on 16 January 2025 as a version for public consultation; feedback was accepted until 14 March 2025. As of this article, the EDPB website still shows that version, with no final one. What matters for a law firm:

Pseudonymised data that could be attributed to a person using additional information is personal data, and the consultation text adds that this holds even when the data and the additional information aren't in the same hands (a point to read together with the CJEU judgment below).
Even if all the additional information held by the pseudonymising controller is erased, the data can be considered anonymous only if the conditions for anonymity are met. Deleting the table doesn't automatically make the result anonymous.
Pseudonymisation is a useful safeguard for data minimisation, data protection by design (Art. 25) and security (Art. 32, which names it explicitly in paragraph 1(a)), but on its own it's normally not enough.
They introduce the "pseudonymisation domain": the set of people or entities against whom pseudonymisation must prevent attribution, usually the authorised recipients.

The CJEU judgment in Case C-413/23 P (EDPS v SRB)

On 4 September 2025 the Court of Justice ruled on the European Data Protection Supervisor's appeal against the Single Resolution Board (SRB) over pseudonymised comments the SRB had passed to Deloitte. According to the Court's official press release (No 107/25):

Pseudonymised data must not be regarded as personal data in all cases and for every person: depending on the circumstances, pseudonymisation may prevent persons other than the controller from identifying the data subject, so that for them the person isn't identifiable.
But for the duty to inform the data subject, identifiability is assessed at the time of collection and from the controller's point of view. The SRB had to say the data would go to Deloitte, whether or not it was personal data from Deloitte's point of view.
The Court set aside the General Court's judgment and referred the case back to it.

Two caveats. It interprets Regulation (EU) 2018/1725, which applies to EU institutions and bodies, not the GDPR directly, although the EDPB already uses it to interpret the GDPR (see below). And it doesn't say pseudonymising takes data "out" of the GDPR: for whoever keeps the table, it's still personal data. In a law firm, if you keep the replacement map, the document is still personal data for you, with all your obligations.

EDPB Guidelines 02/2026 on anonymisation (in consultation)

On 7 July 2026 the EDPB adopted Guidelines 02/2026 on Anonymisation (version 1.0), open for public consultation until 30 October 2026. It's a draft and may change, but it sets the direction:

They present themselves as the update to Opinion 05/2014, citing developments in CJEU case law, data spaces and AI. A controller who already assessed a dataset as anonymous under Opinion 05/2014 isn't expected to redo it, though periodic reassessment is good practice.
Anonymity is assessed from each relevant entity's perspective (typically the party for whom the data is meant to be anonymous), in line with the C-413/23 P judgment, which they cite.
They reframe the three risks as three criteria: No Record Isolation, No Linkage and No Inference. If all three are met, the data can be considered anonymous; if one fails, further analysis is needed.
If information is anonymous for the recipient but not for the anonymising controller, that controller keeps all its GDPR obligations regarding it.
If an entity processes information on behalf of a controller for whom it's personal data, it's personal data for that entity too, which acts as a processor. Applied to AI: a provider working as your firm's processor isn't outside the GDPR just because it receives pseudonymised text.
Terms like "anonymous" or "de-identified" shouldn't be used if people are still identifiable, and the anonymisation process (including testing) should be documented.

Checklist for anonymising a document before sharing it or using it with AI

Applied to a pleading, a report, a contract or a payslip, all of the above comes down to these steps:

Define who it has to be anonymous for. A template claim for a course, a draft going to a cloud AI and a report for the other side are different cases. The recipient and what they already know change the analysis.
Decide whether you need to go back. If not, replace without a table. If you do (for example, to re-hydrate an AI's answer), it's pseudonymisation: the table is kept separately and protected, and the document is still personal data for you.
Remove direct identifiers. Names, ID numbers, addresses, phone numbers, emails, IBANs, social security numbers, car registrations, bar numbers, signatures.
Check indirect identifiers and context. Job titles, unusual professions, specific dates, the court and case number, small towns, company names, exact amounts, one-off facts. Ask yourself: would someone close to the case recognise it?
Look for inferences. Can you deduce an illness, trade union membership, a conviction or a family situation about someone recognisable? Special categories and criminal data deserve a second read.
Control linkage. Think about what happens if someone puts this document together with others you share under the same labels, or with a published judgment in the same case.
Clean what you can't see. Metadata, tracked changes, comments, headers, file names and PDF redactions that leave the text underneath (explained in how to anonymise a PDF).
Human review of the whole text. A person reads the entire result before it goes out. The tool finds the obvious; context is judged by someone who knows the case.
Call it what it is and document it. Don't say "anonymous" if it's pseudonymised or if re-identification risk remains. Note what was done, who reviewed it and for which recipient.

If the destination is a cloud AI, this checklist goes together with the rules for the tool itself (account, processor agreement, training). They're in how to authorise ChatGPT in a law firm: a checklist for the DPO.

Where Anonimizar fits (and what it doesn't promise)

Anonimizar is a desktop app that covers the mechanical steps of that checklist on your own computer, without uploading the document to any service:

It detects and replaces names, ID numbers, addresses, phone numbers, bank accounts and other data with consistent labels (PERSONA_01, DNI_01). All local: no cloud, no account, no telemetry.
With human review: it shows you each detection to confirm or discard before exporting, and you can add anything missing by hand.
Irreversible by default: it keeps no correspondence table, so the replacement can't be undone from the tool.
Reversible if you choose: if you turn on the map, you can send the text to an AI and re-hydrate its answer with the real data on your machine. In GDPR terms that's pseudonymisation, and the map is the "additional information" of Art. 4(5): a confidential file kept separately.

What it doesn't do, and nobody should promise: decide for you that a document is anonymous. No automatic detection is infallible, and singling out through context or inference depends on what the recipient knows. That's why human review is part of the method, not an extra. The mapping of the tool to GDPR articles (4(5), 25, 32 and Recital 26) is in the security dossier for DPOs (in Spanish).

Frequently asked questions

What is data anonymisation under the GDPR?

Processing data so that the person isn't identifiable, either by whoever anonymises it or by third parties, with the means reasonably likely to be used (Recital 26). If that's achieved, the GDPR no longer applies to that information. If there's still a reasonable way to re-identify, it's still personal data.

Is the AEPD's anonymisation guide still current?

The "Guidance and safeguards in personal data anonymisation procedures" is still published on the AEPD website, but the PDF is stamped "under review". At European level, the EDPB has new anonymisation guidelines (02/2026) in consultation that update Opinion 05/2014. It's worth reading all three together.

Is pseudonymisation the same as anonymisation?

No. Pseudonymised data that can be re-attributed with additional information is personal data. Pseudonymisation reduces risk and is a security measure recognised by the GDPR, but it doesn't take data outside its scope for whoever can re-identify.

If I delete the correspondence table, is the document anonymous?

Not automatically. Without a table the replacement can't be undone, but the document is only anonymous if no one can re-identify the people by reasonable means, including from context. The EDPB's draft pseudonymisation guidelines say so explicitly.

Can I send a pseudonymised document to ChatGPT without a processor agreement?

If the provider processes the text on your behalf and it's still personal data for you (because you keep the map or because the context identifies people), the EDPB's draft anonymisation guidelines treat it as personal data for that provider too. Pseudonymising cuts the risk a lot, but it doesn't replace the processor agreement or the other safeguards.

What does the C-413/23 P judgment change for a law firm?

It confirms that pseudonymised data may not be personal data for a recipient with no reasonable means of re-identifying, but that it still is for whoever keeps the key, and that obligations such as the duty to inform are assessed from the controller's point of view. For a firm that keeps the map, its obligations don't change.

Anonymise on your own computer and review before sharing

Anonimizar detects the personal data in a document, lets you review each item and replaces it with labels. Irreversible by default; if you keep the map, it's pseudonymisation and you can re-hydrate an AI's answer with the real data on your own machine. 100% local, no cloud, no telemetry.

Try it free · 15 files

To go deeper: anonymisation vs. pseudonymisation, how to authorise ChatGPT in a law firm (a DPO checklist), data protection in a law firm and how to anonymise a PDF without uploading it.

This article is informational and does not constitute legal advice. The references to the GDPR, the AEPD's documents, Opinion 05/2014, the EDPB guidelines and the C-413/23 P judgment are a summary as of 28 October 2026. EDPB Guidelines 01/2025 and 02/2026 were public consultation versions on that date and may change; the AEPD's anonymisation guidance is marked "under review". Check the current text and, for a specific case, consult a data protection professional.