Anonimización y disociación de datos: guía práctica

Anonimizar datos personales parece fácil: borras el nombre y listo. En la práctica, es una de las tareas de protección de datos donde más se equivoca la gente, porque una persona se puede reconocer por muchas cosas además de su nombre. Un cargo, una comuna pequeña, una fecha, una enfermedad poco común.

La ley chilena tiene palabras precisas para esto, y conviene conocerlas porque no significan lo mismo. La Ley 19.628 habla de «procedimiento de disociación de datos». La Ley 21.719, que la reforma, agrega «anonimización» y «seudonimización», con definiciones que tienen consecuencias: un dato anonimizado deja de ser dato personal y sale de la ley; uno seudonimizado sigue dentro.

Esta guía explica qué es cada cosa, cómo se hace en la práctica, qué errores la deshacen y qué alcanza cuando lo que quieres es usar un chat de inteligencia artificial sin mandarle los datos de tus clientes. La explicación general de la ley está en la guía de la Ley 19.628.

Qué es anonimizar datos personales

Anonimizar es transformar un conjunto de datos de manera que ya no se pueda saber a qué persona se refieren. No se trata sólo de quitar el nombre: se trata de que, con lo que queda, nadie pueda razonablemente volver a identificar a la persona.

La diferencia importa porque la ley protege los datos de personas «identificadas o identificables». Un dato sobre una persona identificable sigue siendo personal aunque no tenga su nombre. Por eso, un texto que dice «la gerenta de finanzas de la única pyme exportadora de miel de la comuna» puede identificar a alguien tan bien como su RUT.

Cuando la anonimización funciona, los datos resultantes ya no son datos personales y la ley de datos deja de aplicarse a ellos. Cuando no funciona, sigues tratando datos personales, con todas las obligaciones, aunque creas que no.

Procedimiento de disociación de datos personales: lo que dice la Ley 19.628

La Ley 19.628 define en su artículo 2 l) el «procedimiento de disociación de datos» como «todo tratamiento de datos personales de manera que la información que se obtenga no pueda asociarse a persona determinada o determinable».

Tres detalles de la ley vigente ayudan a entender la idea:

• Disociar es tratar datos. El artículo 2 o) incluye expresamente «disociar» entre las operaciones de tratamiento. O sea, el proceso de disociar se hace sobre datos personales y está sujeto a la ley; el resultado, si está bien hecho, ya no lo está.
• El dato estadístico. El artículo 2 e) define el dato estadístico como el que, en su origen o como consecuencia de su tratamiento, no puede ser asociado a un titular identificado o identificable. Es el resultado típico de una buena disociación.
• Las encuestas. El artículo 3 exige que la comunicación de los resultados de encuestas, estudios de mercado o sondeos «omita las señas que puedan permitir la identificación de las personas consultadas». Es la regla de disociación que más se aplica en la práctica.

La ley vigente no dice cómo disociar ni qué técnica usar. Lo que pide es el resultado: que la información no pueda asociarse a una persona determinada o determinable.

Seudonimización y anonimización en la Ley 21.719

La Ley 21.719 entra en vigencia el 1 de diciembre de 2026, salvo que se apruebe la prórroga en trámite en el Senado, que propone el 1 de diciembre de 2027. Cuando rija, reemplaza la definición de disociación por dos conceptos distintos.

Anonimización (nuevo artículo 2 k): «procedimiento irreversible en virtud del cual un dato personal no puede vincularse o asociarse a una persona determinada, ni permitir su identificación, por haberse destruido o eliminado el nexo con la información que vincula, asocia o identifica a esa persona». Y termina con una frase clave: «Un dato anonimizado deja de ser un dato personal».

Seudonimización (nuevo artículo 2 l): tratamiento de datos personales de manera tal que ya no puedan atribuirse a un titular sin utilizar información adicional, siempre que esa información figure por separado y esté sujeta a medidas técnicas y organizativas que garanticen que los datos no se atribuyan a una persona identificada o identificable.

La palabra que separa los dos conceptos es «irreversible». Si alguien, en alguna parte, guarda la llave que permite volver a unir el dato con la persona, es seudonimización. Si esa llave se destruyó y no hay forma razonable de reconstruirla, es anonimización.

La reforma usa los dos conceptos en varios lugares:

• Conservación (artículo 3 c): los datos se conservan sólo el tiempo necesario para sus fines, «luego de lo cual deben ser suprimidos o anonimizados».
• Seguridad (artículo 14 quinquies a): entre las medidas de seguridad, la primera que menciona es «la seudonimización y el cifrado de datos personales».
• Investigación (artículos 16 bis y 16 quinquies): los resultados de estudios con datos de salud o con fines estadísticos se pueden publicar, pero anonimizando antes los datos que se publiquen.
• Medidas precontractuales (artículo 14 d): el responsable debe suprimir o anonimizar los datos obtenidos para medidas precontractuales.

Cuándo una persona deja de ser identificable

La Ley 21.719 también reescribe la definición de dato personal (artículo 2 f) y agrega un criterio que es la clave de toda anonimización: para determinar si una persona es identificable, «deberán considerarse todos los medios y factores objetivos que razonablemente se podrían usar para dicha identificación en el momento del tratamiento».

Eso deja tres preguntas para cualquier conjunto de datos:

1. ¿Quién lo va a tener? No es lo mismo un informe interno que una publicación en internet. Lo que es anónimo para un proveedor externo puede no serlo para un compañero de trabajo que conoce el caso.
2. ¿Con qué se puede cruzar? Redes sociales, registros públicos, el Diario Oficial, noticias, bases de datos filtradas. En Chile, además, hay sitios que publican nombre y RUT de buena parte de la población, lo que facilita mucho el cruce.
3. ¿Cuánto esfuerzo razonable haría falta? La ley no exige que la reidentificación sea imposible en teoría, sino que no se pueda lograr con medios razonables.

Una persona deja de ser identificable cuando, con lo que queda en el texto y lo que razonablemente tiene a mano quien lo recibe, no se puede saber quién es.

Anonimizar, disociar, seudonimizar: cómo se distinguen

término	dónde está	¿se puede revertir?	¿sigue siendo dato personal?
Disociación	Ley 19.628, art. 2 l)	No, si está bien hecha	No, el resultado ya no se asocia a nadie
Anonimización	Ley 21.719, art. 2 k)	No, es irreversible por definición	No, la ley lo dice expresamente
Seudonimización	Ley 21.719, art. 2 l)	Sí, con la información adicional guardada aparte	Sí, sigue dentro de la ley
Cifrado	Ley 21.719, art. 14 quinquies	Sí, con la clave	Sí

Una regla práctica: si tu proceso guarda una tabla que dice «[PERSONA_1] es tal persona», estás seudonimizando, no anonimizando. Eso no es un defecto. La seudonimización es una medida de seguridad muy útil, y la ley la recomienda. Lo que no puedes hacer es tratar datos seudonimizados como si ya no fueran personales.

Técnicas de anonimización de datos

No hay una técnica única. Lo normal es combinar varias según el tipo de datos y para qué se van a usar.

Supresión. Eliminar el dato por completo: borrar la columna del nombre, del RUT, del correo. Es lo más simple y lo primero que hay que hacer con los identificadores directos.

Generalización. Reemplazar un valor preciso por uno más amplio: la edad exacta por un tramo («entre 40 y 49 años»), la dirección por la región, la fecha de nacimiento por el año. Sirve para los datos que no identifican solos pero sí combinados.

Agregación. Presentar totales o promedios en vez de filas individuales: «32 pacientes con diabetes en la comuna» en vez de una lista. Es la técnica de las estadísticas. Sirve, por ejemplo, para que una municipalidad que trabaja con IA informe sobre un programa social sin nombrar a ningún vecino.

Perturbación. Alterar levemente los valores, por ejemplo sumando o restando un margen aleatorio a los montos, de modo que el conjunto conserve su utilidad estadística pero ninguna fila corresponda exactamente a una persona.

Seudonimización. Cambiar los identificadores por códigos o etiquetas y guardar aparte la tabla de correspondencias. No anonimiza, como vimos, pero reduce mucho el riesgo cuando los datos tienen que salir de tu control.

Un criterio útil para revisar el resultado es que cada combinación de datos indirectos (edad, comuna, profesión, por ejemplo) se repita en varias filas. Si una combinación aparece una sola vez, esa fila probablemente se puede reidentificar.

Anonimizar una planilla: un ejemplo

Imagina una planilla de un centro médico con estas columnas para un estudio interno de adherencia a tratamientos:

paciente	edad	comuna	profesión	diagnóstico	controles al año
Tomás Huenchullán Ortúzar	47	Saavedra	profesor	diabetes tipo 2	24
Catalina Mardones Huerta	52	Ñuñoa	contadora	hipertensión	6

Para anonimizarla:

1. Suprime los identificadores directos. Fuera la columna del paciente, y también el RUT, el correo, el celular y la dirección si los hubiera.
2. Generaliza los indirectos. Edad en tramos de diez años; comuna agrupada en región; profesión en categorías amplias o fuera, si no es necesaria para el estudio.
3. Revisa las combinaciones únicas. Un profesor de 40 a 49 años con diabetes en una comuna rural puede ser una sola persona. Si es así, agrupa más o saca esa fila del análisis.
4. Destruye la tabla de correspondencias. Si guardaste un código por paciente para poder volver atrás, mientras exista esa tabla lo que tienes es seudonimización.

Si la planilla tiene que salir de la oficina, por ejemplo para mandarla a un asesor externo o subirla a una IA, el proceso de anonimizar datos en Excel explica cómo hacerlo con el archivo real.

Errores comunes al anonimizar

• Borrar el nombre y dejar todo lo demás. El error más frecuente. El cargo, la comuna y la fecha de un hecho bastan muchas veces.
• Confiar en un recuadro negro. En un PDF, tapar el texto con una forma negra no lo borra: queda debajo y se puede copiar. Lo mismo con el texto blanco sobre fondo blanco. Cómo hacerlo bien está en censurar un PDF.
• Olvidar los metadatos. Un archivo puede llevar el nombre del autor, de quien lo modificó, comentarios y versiones anteriores. Cómo limpiarlos está en quitar metadatos de un PDF.
• Dejar los datos en el texto libre. La columna del nombre está vacía, pero la columna de observaciones dice «llamó la señora Catalina, molesta por el cobro».
• Publicar varias versiones. Dos tablas anonimizadas de forma distinta, publicadas por separado, pueden cruzarse entre sí y deshacer la anonimización.
• Llamar «anónimo» a lo seudonimizado. Si guardas la tabla de correspondencias, sigues teniendo datos personales.

Anonimizar datos para IA: qué alcanza y qué no

Cuando quieres usar un chat de inteligencia artificial con un texto que tiene datos de clientes, normalmente no buscas un conjunto de datos anónimo para siempre. Buscas algo más simple: que el proveedor de IA no reciba datos que permitan saber de quién hablas, y que tú puedas usar la respuesta con los datos reales.

Para eso, la seudonimización es la herramienta adecuada. Cambias los identificadores por etiquetas antes de pegar, la IA trabaja con las etiquetas y, al copiar la respuesta, las etiquetas vuelven a su valor en tu computador. La tabla que une etiquetas y datos se queda en tu equipo.

Desde el punto de vista del proveedor, el texto que recibe no tiene datos de nadie identificable, siempre que el resto del texto no delate a la persona. Desde el tuyo, sigues tratando datos personales y tienes que cumplir la ley, pero con una medida de seguridad que la Ley 21.719 nombra expresamente. Cómo encaja eso con el resto de las obligaciones está en inteligencia artificial y protección de datos.

Quién decide si algo está anonimizado

Hoy, con la Ley 19.628, no hay una autoridad que revise si un conjunto de datos está bien disociado. Si alguien reclama que lo identificaron a partir de datos que tú publicaste como anónimos, lo decide un juez, con el procedimiento del artículo 16 o la acción de indemnización del artículo 23.

Con la Ley 21.719, ese papel lo tendrá también la Agencia de Protección de Datos Personales, que puede dictar instrucciones generales sobre cómo tratar los datos (artículo 30 bis) y resolver los reclamos de los titulares. Es probable que en algún momento publique criterios sobre anonimización, como lo han hecho autoridades de otros países.

Mientras tanto, la carga está en el responsable. La reforma dice que quien trata datos debe poder acreditar la licitud de lo que hace (artículo 3 a). Si afirmas que un conjunto de datos está anonimizado y por eso ya no aplica la ley, te conviene poder mostrar cómo lo hiciste: qué columnas se suprimieron, qué se generalizó, cómo se revisaron las combinaciones únicas y qué pasó con la tabla de correspondencias. Un documento de una página con eso vale más que cualquier afirmación general.

Un ejemplo: qué cambia Nonimo antes de pegar

Así es un texto que alguien de un centro de salud rural pegaría en un chat para pedir ayuda con una carta de seguimiento:

Paciente: Tomás Huenchullán Ortúzar
Edad: 47 años
Dirección: Calle Inexistente 0, Saavedra
Celular: +56 9 0000 0000
Diagnóstico: diabetes tipo 2, controlada. Es el único paciente de la comuna que viaja a control cada dos semanas desde Isla Huapi.

Y esto es lo que llega al chat después de pasarlo por Nonimo, copiado tal cual:

Paciente: [PERSONA_1]
Edad: 47 años
Dirección: [DIRECCION_1]
Celular: [TELEFONO_1]
Diagnóstico: diabetes tipo 2, controlada. Es el único paciente de la comuna que viaja a control cada dos semanas desde Isla Huapi.

El nombre, la dirección y el celular se tapan. Pero mira la última línea: «el único paciente de la comuna que viaja a control cada dos semanas desde Isla Huapi». Junto con la edad y el diagnóstico, esa frase basta para que cualquiera que conozca la zona sepa de quién se trata. Nonimo tapa los datos que identifican directamente; no reescribe lo que el texto cuenta de la persona. Antes de pegar, esa frase hay que borrarla o generalizarla a mano: «paciente que viaja a control desde una localidad alejada».

Cuándo sí conviene anonimizar de verdad

Para el uso diario con IA, seudonimizar suele alcanzar. Pero hay casos en que lo que necesitas es una anonimización completa, irreversible, y vale la pena el esfuerzo:

• Publicar resultados. Un estudio, un informe de gestión, una estadística para una licitación. Lo que se publica no se puede retirar, así que tiene que estar anonimizado de verdad, y la Ley 21.719 lo exige expresamente para la investigación con datos de salud.
• Conservar más allá del plazo. Si la finalidad terminó pero quieres guardar los datos para análisis histórico, el artículo 3 c) de la reforma te pide suprimirlos o anonimizarlos.
• Compartir con terceros que no necesitan saber quién es quién. Un asesor que analiza tendencias, una universidad que hace un estudio, un proveedor que prueba un sistema con datos realistas.
• Entrenar o ajustar un modelo propio. Si tu empresa entrena una IA con sus documentos, lo que entre al entrenamiento es muy difícil de sacar después.

En todos esos casos, la prueba es la misma: si mañana alguien con acceso a internet y algo de paciencia recibe el archivo, ¿podría saber de quién habla cada fila? Si la respuesta es «quizás», todavía no está anonimizado.

Cuatro formas de deshacer la anonimización sin darte cuenta

1. El dato único. «El único», «la primera», «el más antiguo». Cualquier superlativo en una comunidad pequeña identifica.
2. La combinación. Edad, profesión y comuna, cada una inofensiva, juntas pueden apuntar a una sola persona.
3. El contexto público. Un caso que salió en la prensa, un juicio con rol público, un accidente conocido. Si el hecho es público, describirlo sin nombres no basta.
4. La respuesta. Si la IA devuelve un texto que repite los detalles, y ese texto termina en un documento que se publica, la anonimización se deshace en la salida, no en la entrada.

Datos sensibles: la etiqueta no cambia la categoría

Seudonimizar un texto con datos de salud no lo convierte en un texto sin datos sensibles. Para ti, que guardas la correspondencia, el diagnóstico sigue unido a una persona y sigue siendo un dato sensible, con las reglas del artículo 10 de la Ley 19.628 y del artículo 16 de la Ley 21.719. Para la consulta médica, el detalle está en la guía de IA en salud y ficha clínica.

Lo que cambia es el riesgo: el proveedor recibe un diagnóstico sin saber de quién es. Eso reduce mucho el daño posible, pero no te libera de tener una base para tratar ese dato. Qué datos entran en esa categoría está en datos sensibles.

Qué revisar antes de pegar o compartir un texto

1. Identificadores directos. Nombre, RUT, número de carnet, correo, celular, dirección. Que no quede ninguno.
2. Identificadores indirectos. Cargo, empresa, comuna pequeña, fechas exactas, montos poco comunes. Generaliza lo que no haga falta.
3. Texto libre. Observaciones, notas al margen, firmas de correos.
4. El archivo. Metadatos, comentarios, hojas ocultas en Excel y el control de cambios de Word.
5. Quién lo recibe. Lo que es anónimo para un proveedor externo puede no serlo para alguien de la misma comuna.

Lo que hace Nonimo

Nonimo es una app para Windows y Mac que seudonimiza en tu computador antes de que el texto llegue al chat. Seleccionas el fragmento, presionas la tecla que elegiste y los datos personales se cambian por etiquetas como [PERSONA_1]. La tabla que une cada etiqueta con su valor se queda en tu equipo, y cuando copias la respuesta y presionas la misma tecla, cada etiqueta vuelve a su lugar. A Nonimo no le llega tu texto. Si lo que tienes es una exportación completa, como un CSV de clientes, mira la guía para anonimizar texto y CSV.

En textos chilenos tapa los datos que identifican a la persona, como el nombre, el correo, el celular, la dirección o el RUT, y te los muestra marcados para que los revises. Lo que el texto cuenta de la persona, como en el ejemplo de Isla Huapi, lo revisas tú. El detalle está en la página de seguridad.

Si lo que tienes es un archivo, las herramientas web tapan los nombres, correos, teléfonos y direcciones de un PDF, un Word, un Excel o un CSV.

Y si trabajas con fichas clínicas todos los días, mira cómo lo resolvemos para médicos y centros médicos.

Fuentes

Consultadas el 21 de octubre de 2026.

• Ley 19.628, sobre protección de la vida privada. Texto en LeyChile. Artículos 2 e), f), l) y o), 3 y 10.
• Ley 21.719, regula la protección y el tratamiento de los datos personales y crea la Agencia de Protección de Datos Personales, DO 13-dic-2024. Texto en LeyChile. Artículos 2 f), k) y l), 3 c), 14 d), 14 quinquies, 16, 16 bis y 16 quinquies de la Ley 19.628 reformada; artículo primero transitorio.
• Proyecto que modifica la Ley 21.719 (prórroga), boletín 18.623-07. Ficha de tramitación del Senado.

Esta guía resume la ley y no reemplaza la asesoría de un abogado.