Diferenciación legal crítica: los datos pseudonimizados siguen sujetos al RGPD porque pueden reidentificarse con información adicional, mientras que los datos verdaderamente anonimizados escapan a la regulación.
Explicación y Contexto Conceptual
Existe una confusión generalizada en marketing: reemplazar un email por un hash SHA-256 o una cookie de ID único no es anonimización, sino pseudonimización, ya que con una clave o base de correspondencia inversa es posible reidentificar al individuo; por tanto, los hashes siguen siendo datos personales bajo el RGPD. Para que un conjunto de datos sea legalmente anonimizado, el proceso debe ser irreversible bajo cualquier técnica razonable existente (utilizando privacidad diferencial o agregación K-anonymity), en cuyo caso los datos pueden tratarse y venderse libremente sin consentimiento.
Ejemplo en la Práctica
Un Data Clean Room procesa datos mediante privacidad diferencial inyectando ruido matemático para generar informes agregados verdaderamente anónimos donde no es posible aislar a ningún comprador.