Los siete principios del RGPD,
aplicados a la anonimización.
El artículo 5 del RGPD y el Título II de la LOPDGDD vertebran todo el régimen jurídico de
protección de datos en torno a siete principios rectores. Su cumplimiento no es una
obligación formal: es la garantía de adecuación material de cualquier tratamiento.
Esto es lo que exige cada uno cuando publicas un documento, y cómo se resuelve.
En el sector público, vulnerar un principio es infracción muy grave
El incumplimiento de cualquiera de los principios recogidos en el artículo 5 del RGPD
está calificado como infracción muy grave a efectos de prescripción por el artículo
72.1.a) de la LOPDGDD. Y la observancia de estos principios debe combinarse con el
principio de transparencia administrativa: el acceso a la información pública se pondera
siempre con la debida disociación o minimización de los datos personales.
01 Artículo 5 del RGPD
Licitud, lealtad y transparencia
Cada tratamiento necesita una base jurídica válida, debe ser justo con las expectativas del ciudadano y tiene que poder explicarse en lenguaje claro y accesible.
Certificado verificable por cada documento
Toda anonimización termina en un certificado que documenta qué se trató y con qué criterio, redactado de forma comprensible y en el idioma en el que trabaja tu organización. Si alguien pregunta por qué se ocultó un dato, la respuesta existe y está firmada.
02 Artículo 5 del RGPD
Limitación de la finalidad
Los datos se recogen para fines determinados, explícitos y legítimos, y no pueden reutilizarse después para algo incompatible con aquello que motivó su recogida.
Perfiles por finalidad, sin programar nada
Publicar un acta en el portal de transparencia y entregar un expediente en respuesta a una solicitud de acceso no son la misma finalidad, y no deben anonimizarse igual. Defines un perfil para cada una desde la propia interfaz y la plataforma aplica el criterio correcto sin intervención técnica.
03 Artículo 5 del RGPD
Minimización de datos
Solo pueden tratarse los datos adecuados, pertinentes y limitados a lo estrictamente necesario. La AEPD insiste en evitar el DNI completo o los datos superfluos en documentos y firmas.
Reducción automática de lo que sobra
La plataforma localiza los identificadores que no aportan nada al procedimiento y los reduce a lo imprescindible, incluido el tratamiento parcial del DNI conforme al criterio de la AEPD. Menos dato expuesto, mismo valor informativo para la ciudadanía.
04 Artículo 5 del RGPD
Exactitud
Los datos deben ser exactos y estar actualizados, y hay que corregir sin dilación lo que resulte inexacto para la finalidad perseguida.
Revisión humana graduable antes de publicar
Ninguna propuesta automática se da por buena sola. Decides, perfil por perfil, si la supervisión de una persona es opcional, recomendada u obligatoria, y puedes exigir doble control entre usuarios para los documentos más delicados. La última palabra es siempre de quien responde del expediente.
05 Artículo 5 del RGPD
Limitación del plazo de conservación
Los datos identificables se conservan solo el tiempo necesario. Después procede el bloqueo y, agotado el plazo de prescripción, la destrucción o la anonimización irreversible.
Dos grados de tratamiento, uno para cada etapa
Para la fase de bloqueo, la plataforma ofrece un tratamiento reversible que impide la identificación pero permite recuperar el dato si lo requieren un juzgado, el Ministerio Fiscal o la AEPD. Para el final del ciclo de vida, anonimización irreversible: el contenido deja de existir en el archivo y ya no hay marcha atrás.
06 Artículo 5 del RGPD
Integridad y confidencialidad
El tratamiento debe garantizar una seguridad adecuada frente al acceso no autorizado, la pérdida o el daño accidental, con un deber de secreto que no caduca al terminar la relación laboral.
Tus documentos no salen de tu entorno
El motor de detección se ejecuta en tu propia infraestructura. Ni los documentos ni los datos personales que contienen viajan a servicios de terceros en la nube, así que el deber de confidencialidad no depende de la política de privacidad de un proveedor ajeno.
07 Artículo 5 del RGPD
Responsabilidad proactiva
No basta con cumplir: hay que poder demostrarlo ante los afectados y ante la autoridad de control, con evidencias y no con declaraciones de intenciones.
Evidencia exportable, documento a documento
Cada anonimización queda registrada en una auditoría íntegra, con quién hizo qué y cuándo, y se puede exportar como prueba documental ante una inspección o un requerimiento. La responsabilidad proactiva deja de ser un capítulo del protocolo y pasa a ser un archivo que enseñas.
Base normativa aplicable
Sobre qué está construido todo esto.
Reglamento (UE) 2016/679 (RGPD)
Artículo 5, principios relativos al tratamiento
Ley Orgánica 3/2018 (LOPDGDD)
Título II, principios de protección de datos, artículos 4 a 10
Ley Orgánica 7/2021
Artículo 6, prevención, detección e investigación de infracciones penales
Guías de la AEPD
Protección de Datos en la Administración Local y Guía para responsables del tratamiento
Preguntas frecuentes
Lo que más se pregunta.
¿Cuáles son los siete principios del artículo 5 del RGPD?
Licitud, lealtad y transparencia; limitación de la finalidad; minimización de datos; exactitud; limitación del plazo de conservación; integridad y confidencialidad; y responsabilidad proactiva. El Título II de la LOPDGDD (artículos 4 a 10) los desarrolla para el ordenamiento español.
¿Qué pasa si una administración incumple uno de los principios del artículo 5?
En el sector público, vulnerar cualquiera de los principios del artículo 5 del RGPD está calificado como infracción muy grave a efectos de prescripción por el artículo 72.1.a) de la LOPDGDD. A las administraciones no se les imponen multas administrativas como a las empresas, pero sí apercibimientos, la obligación de retirar y rehacer publicaciones y las medidas correctoras que acuerde la AEPD, además del daño reputacional.
¿Cómo se concilia la transparencia con la protección de datos?
El acceso a la información pública debe ponderarse siempre con la debida disociación o minimización de los datos personales. El artículo 15 de la Ley 19/2013 marca el criterio: se protege al ciudadano que aparece en el expediente, pero se conserva el nombre y el puesto del empleado público que actúa en el ejercicio de sus funciones, porque forma parte de la rendición de cuentas.
¿Qué es el bloqueo de datos y en qué se diferencia de la supresión?
El bloqueo consiste en restringir el acceso a los datos, impidiendo su visualización y cualquier operación de tratamiento, salvo para ponerlos a disposición de juzgados, tribunales, el Ministerio Fiscal o las autoridades de protección de datos durante el plazo de prescripción de responsabilidades. Transcurrido ese plazo procede la destrucción o la anonimización irreversible. Son dos etapas distintas y exigen tratamientos técnicos distintos.
¿Qué significa responsabilidad proactiva y cómo se demuestra?
Significa que no basta con cumplir: el responsable del tratamiento debe poder demostrarlo con evidencias ante los afectados y ante la autoridad de control. Se articula con instrumentos operativos como el Registro de Actividades de Tratamiento, el análisis de riesgos, las evaluaciones de impacto y la privacidad desde el diseño y por defecto. En la práctica, se demuestra con documentación exportable, no con declaraciones de intenciones.
¿El deber de confidencialidad termina cuando el empleado deja la organización?
No. El deber de confidencialidad y secreto profesional obliga a responsables, encargados y a cualquier persona que intervenga en la cadena de tratamiento, tiene carácter indefinido y se mantiene aun cuando haya concluido la relación laboral, estatutaria o contractual con la organización.
Siete principios, una sola herramienta
Te enseñamos cómo se traduce cada uno en tu día a día, sobre tus propios documentos.
Esta web usa cookies analíticas (Google Analytics) para conocer cómo se usa el sitio.
Las cookies solo se activarán si las aceptas.
Política de cookies