Seudonimización y RGPD: la innovadora opinión del Abogado General en el asunto SEPD contra JUR (C-413/23 P)
La seudonimización puede influir en que los datos constituyan o no datos personales para un destinatario concreto, pero lo determinante son las posibilidades reales de este de identificar a las personas. En septiembre de 2025, el Tribunal de Justicia de la UE confirmó que la evaluación debe tener en cuenta las circunstancias del destinatario y no solo la posibilidad de que el responsable del tratamiento vincule los datos con una persona. El artículo explica el litigio entre el SEPD y la JUR, la comunicación de datos a un consultor externo y las consecuencias para la protección de datos personales.
Un posible cambio en la interpretación de la seudonimización
Esta postura supone un importante cambio en la interpretación de la seudonimización como medio que podría garantizar que, para el destinatario, los datos dejen de tener carácter personal. Si la seudonimización se realiza de forma suficiente y la reidentificación de las personas no es posible, dichos datos no deberían quedar protegidos por el RGPD.
La postura contraria del SEPD
Sin embargo, el Supervisor Europeo de Protección de Datos (SEPD) mantiene desde hace tiempo una opinión distinta. Según él, los datos seudonimizados siguen siendo datos personales, ya que no es determinante si el destinatario dispone de medios para reidentificar a las personas. En el mismo sentido argumentó en el asunto T-557/20 JUR/SEPD, donde señaló que el RGPD no distingue entre quienes conservan los datos seudonimizados y quienes conservan la información adicional necesaria para la reidentificación. Por tanto, a su juicio, se trata siempre de datos seudonimizados y no anonimizados.
Consecuencias prácticas y evolución futura
El Tribunal de Justicia de la UE (TJUE) aún no ha dictado sentencia definitiva, que se espera a lo largo de este año. Además, el Tribunal no está vinculado por la opinión del Abogado General, por lo que el resultado sigue abierto.
Será especialmente interesante seguir este asunto en el contexto de las directrices sobre seudonimización publicadas recientemente por el Comité Europeo de Protección de Datos (CEPD), actualmente sometidas a consulta pública. Se espera que el desenlace de este asunto pueda tener un impacto fundamental en las prácticas de comunicación y tratamiento de datos en la UE, en particular en lo que respecta al uso de técnicas de seudonimización y de políticas de seguridad en la gestión de datos.
Conclusión
La opinión del Abogado General aporta una nueva perspectiva sobre la seudonimización como posible herramienta para excluir la aplicación del RGPD a los datos compartidos. Si el TJUE adoptara este criterio, podría facilitarse la comunicación de datos entre organizaciones, aunque al mismo tiempo podría debilitarse la protección de los datos personales. El veredicto final solo se conocerá con la resolución del TJUE, que tendrá un impacto significativo en la práctica jurídica en materia de protección de datos personales.