Anonimización de datos en investigación de TFG bajo LOPDGDD: criterios AEPD 2024-2026 y errores sancionables
Recoger datos para un TFG sin tratar correctamente la anonimización de datos bajo LOPDGDD no es solo un error metodológico: puede constituir una infracción del RGPD sujeta a sanción por la Agencia Española de Protección de Datos (AEPD). En 2024 la AEPD impuso sanciones por valor de 35,6 millones de euros —el récord histórico de la agencia—, y en 2025 una sola sanción alcanzó los diez millones de euros.1 Aunque la mayoría de estos procedimientos afectan a empresas y administraciones, los investigadores individuales y las universidades no están exentos de las obligaciones del RGPD.
Esta guía expone los criterios técnicos que la AEPD establece para anonimizar correctamente los datos de un TFG, las técnicas reconocidas internacionalmente, la diferencia legal entre anonimización y seudonimización, y los errores más frecuentes que generan responsabilidad bajo el RGPD. Para el marco normativo completo del consentimiento, véase la guía del marco regulatorio del consentimiento informado en TFG y el protocolo del Comité de Ética CEI-EA.
Anonimización vs. seudonimización: la distinción legal que más confunde
El RGPD establece una distinción crítica entre dos conceptos que los estudiantes habitualmente confunden:
| Concepto | Definición RGPD/AEPD | ¿Sigue siendo dato personal? | ¿Se aplica LOPDGDD? |
|---|---|---|---|
| Anonimización | Proceso irreversible que hace imposible identificar al individuo por cualquier medio razonablemente disponible | No — cesa de ser dato personal | No — queda fuera del ámbito del RGPD |
| Seudonimización | Sustitución de identificadores directos por códigos; la reidentificación es posible con información adicional retenida separadamente | Sí — sigue siendo dato personal | Sí — aplica RGPD y LOPDGDD íntegramente |
El error más frecuente en TFG es declarar que los datos “han sido anonimizados” cuando en realidad han sido seudonimizados (el investigador conserva la clave de correspondencia entre el código y el nombre real). En ese caso, los datos siguen siendo personales y el tratamiento debe cumplir todas las obligaciones del RGPD.2
La AEPD advierte específicamente que la anonimización es un proceso —no un estado que se declara—, y que debe poder acreditarse ante el comité de ética y, en su caso, ante la propia Agencia.3
Los 5 pasos de la AEPD para anonimizar datos de investigación
La Guía Básica de Anonimización de la AEPD, disponible en aepd.es, estructura el proceso en cinco pasos aplicables directamente al contexto del TFG:4
- Conozca sus datos: Identifica todas las variables del conjunto de datos y clasifícalas en identificadores directos (nombre, DNI, email, teléfono), cuasi-identificadores (edad, municipio, profesión, código postal, combinaciones únicas) y atributos sensibles (salud, ideología, orientación sexual, religión).
- Desidentifique sus datos: Elimina o reemplaza todos los identificadores directos mediante supresión o sustitución por códigos. Esta fase genera seudonimización, no anonimización completa.
- Aplique técnicas de anonimización: Aplica sobre los cuasi-identificadores las técnicas de generalización, supresión, perturbación o agregación que garanticen que ningún individuo es distinguible de otros k individuos del conjunto.
- Calcule su riesgo: Evalúa la probabilidad y el impacto de reidentificación considerando el contexto de publicación, los conjuntos de datos externos disponibles y los medios razonables que un tercero podría emplear para cruzar datos.
- Gestione sus riesgos: Si el riesgo residual es inaceptable, amplía las medidas de anonimización o restringe el acceso al conjunto de datos. El objetivo es que el riesgo residual sea irrelevante, no meramente bajo.
Técnicas reconocidas: k-anonimato, l-diversidad y privacidad diferencial
El Dictamen 05/2014 del Grupo de Trabajo del Artículo 29 (WP216) —organismo precursor del Comité Europeo de Protección de Datos— analiza las principales técnicas de anonimización y sus limitaciones específicas.5 Las más relevantes para el TFG son:
K-anonimato
Garantiza que cada combinación de cuasi-identificadores aparezca al menos k veces en el conjunto de datos, de modo que un individuo sea indistinguible de al menos k-1 individuos más. Si k=5, cualquier fila del dataset corresponde a al menos 5 personas con los mismos valores en los atributos cuasi-identificadores. Es la técnica mínima exigida en la mayoría de contextos de investigación con datos no especialmente sensibles.
L-diversidad
Extensión del k-anonimato que exige que, dentro de cada grupo de k individuos indistinguibles, el atributo sensible (por ejemplo, diagnóstico médico o ideología política) tome al menos l valores distintos. Evita el ataque de inferencia homogénea, en el que todos los individuos de un grupo k comparten el mismo valor sensible y permiten inferir ese valor para cualquier individuo del grupo.
Privacidad diferencial
Técnica estadística que añade ruido calibrado matemáticamente a los resultados de consultas sobre el conjunto de datos, garantizando que la presencia o ausencia de un individuo concreto no modifica apreciablemente la distribución de las respuestas. Es la técnica más robusta contra ataques de reidentificación, pero también la más compleja de implementar correctamente en el contexto de un TFG de grado.
Para la mayoría de TFG en ciencias sociales, aplicar k-anonimato con k igual o mayor a 5 sobre los cuasi-identificadores es suficiente cuando el conjunto de datos no contiene atributos especialmente sensibles. Para TFG con datos de salud, se recomienda aplicar adicionalmente l-diversidad.
Análisis de riesgo de reidentificación en el TFG
La AEPD recuerda que el riesgo de reidentificación es un riesgo residual que debe gestionarse activamente, no simplemente ignorarse.3 Para el TFG, el análisis de riesgo debe considerar los siguientes factores específicos:
- Tamaño de la muestra: Con muestras pequeñas (n menor de 50), la combinación de variables como edad, municipio y profesión puede identificar a individuos concretos incluso sin incluir el nombre o DNI.
- Contexto de publicación: Si el TFG se publica en el repositorio institucional o en plataformas como Dialnet o Zenodo, los datos o citas textuales de entrevistas pueden cruzarse con otras fuentes públicas disponibles en internet.
- Datos cualitativos: Las transcripciones de entrevistas contienen habitualmente información que, aunque no incluya el nombre, permite identificar al participante por su cargo profesional, acontecimiento biográfico específico o lugar de trabajo. Deben anonimizarse activamente mediante el cambio o eliminación de referencias identificadoras, no simplemente sustituyendo el nombre por un código.
- Datos de geolocalización: Las coordenadas GPS o incluso los nombres de barrios en ciudades pequeñas pueden ser cuasi-identificadores de alta potencia combinados con otras variables.
Errores sancionables: qué no hacer
La AEPD ha publicado resoluciones sancionadoras con expedientes públicos disponibles en aepd.es que muestran patrones repetidos de incumplimiento aplicables al contexto de investigación académica. Sin atribuir sanciones específicas a universidades o investigadores sin número de expediente verificado, los errores que la AEPD sanciona de forma sistemática en sus resoluciones son:
- Declarar anonimización sin haberla acreditado: Afirmar que los datos “son anónimos” en el consentimiento informado o en la memoria del TFG sin haber aplicado técnicas formales de anonimización verificables y documentadas.
- Conservar la clave de seudonimización más allá del período necesario: Retener la tabla de correspondencia nombre-código después de finalizar el análisis, sin destruirla conforme al plan de gestión de datos aprobado por el comité de ética.
- Publicar transcripciones con cuasi-identificadores: Incluir en el TFG publicado citas textuales de entrevistas que permiten identificar al participante por su cargo, empresa o acontecimiento biográfico específico, aunque el nombre haya sido suprimido.
- Compartir datos personales con el tribunal sin cobertura en el consentimiento: Adjuntar al expediente o al tribunal ficheros con datos personales de participantes que no están cubiertos por el consentimiento informado original.
- Usar plataformas externas sin contrato de encargado de tratamiento: Recoger datos mediante formularios de Google Forms, SurveyMonkey u otras plataformas sin verificar que la universidad tiene suscrito el correspondiente contrato de encargado de tratamiento (DPA) con el proveedor.
Para las obligaciones previas a la recogida —consentimiento, base jurídica, HIP—, consulta la guía del marco regulatorio del consentimiento informado en TFG. Para el proceso completo de aprobación ética, véase la guía del protocolo CEI-EA para TFG y TFM.
Preguntas frecuentes
¿Puede la AEPD sancionar a un estudiante de TFG por tratamiento incorrecto de datos?
Sí. El RGPD considera responsable del tratamiento a quien determina sus fines y medios. En un TFG, el estudiante y la universidad pueden ser corresponsables. Sin embargo, la AEPD tiene en cuenta la naturaleza académica y el volumen del tratamiento al graduar la sanción. El incumplimiento en un TFG tiene más probabilidad de generar apercibimiento o sanción reducida que multas millonarias. El riesgo real más inmediato para el estudiante es la invalidación del trabajo por el tribunal y la responsabilidad académica.
¿Cuándo debo destruir los datos recogidos para el TFG?
El período de conservación debe indicarse en el consentimiento informado y en el plan de gestión de datos aprobado por el comité de ética. La práctica habitual es destruir los datos identificables una vez calificado el TFG, conservando solo los datos anonimizados si se prevé publicación posterior. Nunca se deben conservar datos personales indefinidamente sin justificación documentada.
¿Google Forms es una plataforma válida para recoger datos de TFG?
Puede serlo si la universidad tiene suscrito el contrato de Encargado de Tratamiento (DPA) con Google Workspace for Education, que transfiere las garantías del RGPD al proveedor. Si el estudiante usa su cuenta personal de Gmail para crear el formulario, Google no actúa como encargado de tratamiento bajo el RGPD y el uso puede ser irregular. Consulta con la Oficina de Protección de Datos de tu universidad antes de elegir la plataforma.
¿Es suficiente cambiar el nombre por un código para anonimizar los datos del TFG?
No. Sustituir el nombre por un código es seudonimización, no anonimización. Si conservas la clave de correspondencia, los datos siguen siendo personales bajo el RGPD. La anonimización real exige además generalizar o suprimir los cuasi-identificadores (edad, municipio, profesión, etc.) para que ningún individuo sea distinguible de al menos k-1 individuos más en el conjunto de datos.
Fuentes normativas
- AEPD. La AEPD recibió 19.000 reclamaciones en 2024. aepd.es
- Reglamento (UE) 2016/679 (RGPD), considerando 26 y arts. 4, 6, 9, 89. eur-lex.europa.eu
- AEPD. Orientaciones y garantías en los procedimientos de anonimización de datos personales. aepd.es
- AEPD. Guía básica de anonimización. aepd.es
- Grupo de Trabajo Art. 29. Dictamen 05/2014 sobre técnicas de anonimización (WP216). ec.europa.eu
- LO 3/2018, LOPDGDD. BOE-A-2018-16673. boe.es
Escribe tu TFG o tesis con IA
Pasa de la teoría a tu documento terminado
Tesify estructura, redacta y formatea tu TFG, TFM o tesis en normas APA y Vancouver, con bibliografía automática y verificación antiplagio integrada. Regístrate gratis, sin tarjeta.
Leave a Reply