Anonimizar datos personales: lo que pide la Ley 81 de 2019
· Actualizado el
Joaquín Trapero in Experto en inteligencia artificial y privacidad, y fundador de Nonimo.
Un Excel de colaboradores sin la columna de nombres parece inofensivo hasta que alguien lee «enfermera, Cañazas, ingresó en 2009». En Panamá mucha gente se ubica por el pueblo y el oficio, así que borrar el nombre casi nunca alcanza para anonimizar.
Aquí va lo que entiende por anonimizar la Ley 81 de 2019, qué gana quien lo logra y cómo se hace en una oficina panameña. Derechos, plazos y la ANTAI los dejo para la página que repasa toda la norma.
Para la Ley 81, un dato anonimizado es el que ya no se puede asociar a su titular con medios razonables. Logrado eso, el resultado queda fuera de la ley (art. 3.5). Si alguien guarda la llave para volver atrás, o queda un cargo o un corregimiento que delata, sigue siendo dato personal.
Dato anónimo y dato disociado: cómo los define la Ley 81
La Ley 81 usa varias palabras para esto. Su artículo 4 define el dato anónimo (numeral 7), el dato disociado (numeral 10) y el «procedimiento de disociación o anonimización» (numeral 16). Esa «o» del 16, repetida en el 3.5, yo la leo como dos nombres para un mismo procedimiento.
La del dato disociado es la definición más exigente. No basta con que no se asocie al titular: tampoco puede delatarlo «por su estructura, contenido o grado de desagregación». Un diagnóstico entra entre los datos sensibles, pero bien disociado ya no señala a nadie.
Me gusta que la ley mire el grado de desagregación, porque obliga a pensar en el archivo entero y no en una columna. Un reporte por provincia y otro por corregimiento pueden traer los mismos campos y no proteger igual.
Cinco términos de la Ley 81 y la pregunta que te hacen
Léelos en este orden antes de llamar «anónimo» a un archivo.
| Término | Dónde | Qué exige | Pregúntale a tu archivo |
|---|---|---|---|
| Dato personal | Art. 4.9 | Que identifique a una persona natural o la haga identificable | ¿Se llega a alguien? |
| Dato anónimo | Art. 4.7 | Que su identidad no pueda establecerse por medios razonables | ¿Con un esfuerzo razonable se sabe quién es? |
| Dato disociado | Art. 4.10 | Que no se asocie al titular ni lo delate por estructura, contenido o desagregación | ¿El nivel de detalle deja a alguien solo en su fila? |
| Procedimiento de disociación o anonimización | Art. 4.16 | Que impida asociar la información a una persona determinada o determinable | ¿Qué le hiciste al archivo, paso por paso? |
| Exclusión de la ley | Art. 3.5 | Que el resultado de ese procedimiento no pueda asociarse al titular | ¿Lo logra el resultado, no sólo la intención? |
Fuente: Ley 81 de 2019, arts. 3 y 4. La última columna son preguntas de apoyo, no norma.
¿Cuándo deja de ser identificable una persona? Los medios razonables
La expresión que decide todo está en el numeral 7: «medios razonables». La ley no pide que reconocer a alguien sea imposible, sino que no se pueda con un esfuerzo razonable. Una guía de la Red Iberoamericana que publica la ANTAI lo plantea así: impedir que se identifique a alguien «sin esfuerzos desproporcionados».
Razonable depende de quién mira: para el jefe de una sucursal, «la del turno de noche que entró en 2019» tiene nombre y apellido. Por eso desconfío de un «está anonimizado» que no dice para quién. Cuánto destapa un número suelto se ve en la guía de los dígitos de la cédula.
Los números también hablan. El tomo y el asiento de una cédula, aunque falte la provincia, dejan muy pocas personas posibles. Y ese número va también en el pasaporte, la licencia y el RUC de persona natural (Ley 68 de 2015, art. 18): borrar una columna no basta si queda otra.
¿Tu archivo ya está anonimizado?
Cuatro preguntas, de lo más obvio a lo que más se escapa.
¿Quedan nombres, cédulas, celulares, correos, placas o números de seguro social?
¿Alguien guarda una tabla, una clave o el archivo original que permite volver a cada persona?
¿Hay filas con un detalle único: el único cargo, un corregimiento o una comarca con poca gente, una fecha exacta?
¿Quien lo recibe ya tiene otra lista de esa gente, como la planilla que se reporta a la CSS o su base de clientes?
Preguntas basadas en la Ley 81 de 2019: artículo 3.5 y numerales 7, 10 y 16 del artículo 4. Ayudan a ordenar; si vas a publicar o vender una base, que la mire tu abogado.
Anonimizar o seudonimizar: lo que dicen las guías de la ANTAI
La palabra «seudonimizar» no está en la Ley 81 ni en el Decreto Ejecutivo 285. Sí aparece, escrita «seudoanonimización», en dos guías de la ANTAI. En general se entiende así: cambiar los datos por códigos y guardar aparte la llave para volver a la persona.
En su guía sobre datos de menores, la ANTAI considera medular tener protocolos de seudoanonimización cuando una institución cede datos de niños. En la de personas con discapacidad pide que a los alumnos en prácticas de los centros se les dé la documentación «disociada o seudoanonimizada».
Ese criterio del practicante lo copiaría en cualquier firma o clínica: el pasante trabaja el caso, no a la persona. En una firma pesa además el secreto profesional, que se trata en la guía del secreto profesional y la IA.
Dos caminos que se confunden
Anonimizar
- No hay vuelta atrás para nadie.
- Si se logra, el resultado queda fuera de la Ley 81 (art. 3.5).
- Sirve para estadísticas, estudios y publicaciones.
- Pierde detalle: lo que se generaliza no se recupera.
Seudonimizar
- Alguien guarda la tabla que dice quién es quién.
- Para quien la tiene, sigue siendo dato personal.
- Sirve para trabajar un caso y reponer los datos al final.
- La tabla se guarda aparte y se borra al cerrar el trabajo.
Ley 81 de 2019, arts. 3.5 y 4; guías de la ANTAI sobre datos de menores y de personas con discapacidad. La última línea de cada columna es una recomendación, no norma.
Para qué sirve anonimizar: estudios, expedientes y datos vencidos
La ley no obliga a anonimizar en general, pero lo premia en varios casos. El primero: un estudio o una encuesta de interés público puede usar datos recogidos para otra cosa sin pedir consentimiento, siempre que se anonimicen (art. 12).
En salud se suma la Ley 68 de 2003. Su artículo 45 permite acceder al expediente clínico con fines epidemiológicos, de investigación o docencia, «con sujeción a lo establecido en la ley». Cómo encaja eso con un chat de IA lo cuento en la guía del expediente y los chats.
El del plazo vencido es el que veo más desaprovechado. Una carpeta de hojas de vida de hace cinco años no tiene por qué seguir con nombres: el reglamento permite suprimirla o anonimizarla.
¿Para qué quieres anonimizar?
Elige tu caso y mira qué norma lo cubre y qué condición pone.
Ley 81, art. 12. Un tratamiento posterior con fines de investigación, estudios, encuestas o conocimientos de interés público no pide consentimiento si los datos se anonimizan. Al comunicar los resultados, se omiten las señas que identifiquen a los consultados.
Decreto Ejecutivo 285, art. 7. Cumplido el plazo de conservación, el responsable suprime los datos o los somete a un procedimiento de anonimización. El plazo sale de los fines y de las leyes que apliquen al caso.
Ley 68 de 2003, art. 45, con la Ley 81, art. 12. Se puede acceder al expediente clínico con fines epidemiológicos, de investigación o docencia, con sujeción a la ley. Mi lectura: para no pedir consentimiento a cada paciente, los datos del estudio van anonimizados.
Fuente: Ley 81 de 2019, art. 12; Decreto Ejecutivo 285 de 2021, art. 7; Ley 68 de 2003, art. 45. El último panel combina dos normas: es una interpretación, no texto de la ley.
Supresión y generalización: la planilla que va al consultor
Supón la planilla de una distribuidora que el contador manda a un consultor para comparar salarios por cargo. El consultor necesita montos y categorías, no quién cobra qué. Ahí se combinan cuatro técnicas: suprimir, generalizar, agregar y redondear.
Las fórmulas para hacerlo en la hoja de cálculo están en cómo anonimizar datos en Excel. Aquí va la decisión por columna, que ninguna fórmula toma por ti.
La columna que más me preocupa no es el salario sino la de descuentos: un embargo o una pensión alimenticia cuentan una historia de familia. Más cuidados del área de personal, en IA para Recursos Humanos.
Una fila de la planilla, columna por columna
Qué entra al archivo del consultor y con qué técnica.
| Columna | En la planilla | En el archivo del consultor | Técnica |
|---|---|---|---|
| Nombre | Ricardo Urriola Saldaña | (sin columna) | Supresión |
| Cédula y número de seguro social | Cédula: 8-000-0000 | (sin columna) | Supresión |
| Fecha de nacimiento | 14 de marzo de 1986 | 40 a 44 años | Generalización |
| Corregimiento | Pueblo Nuevo | Provincia de Panamá | Generalización |
| Cargo | Jefe de bodega, sucursal de Colón | Supervisión | Generalización |
| Salario | Monto exacto de la quincena | Rango, o promedio por categoría | Redondeo o agregación |
| Descuentos | Pensión alimenticia, préstamo | (sin columna) | Supresión |
| Fecha de ingreso | 3 de mayo de 2011 | 2011 | Generalización |
Fila de ejemplo con datos de ficción. Al final, revisa si algún grupo queda de una sola persona: el único supervisor de una provincia se reconoce igual.
Riesgo de reidentificación: lo que un comprobador no ve
Reidentificar es devolverle el nombre a un dato que lo había perdido. Donde un corregimiento tiene una sola escuela o un solo centro de salud, el cargo y el lugar bastan. Una búsqueda por formato no marca eso como dato.
Pega abajo un texto tuyo. El comprobador busca, en tu navegador, cédulas, RUC, celulares, teléfonos y correos por su formato. Lo que yo vigilaría es lo que deja sin marcar: nombres, cargos, lugares y fechas que, juntos, señalan a alguien.
Hay fugas que tampoco se ven en pantalla: el recuadro negro sobre un PDF que deja el texto debajo, o el autor y los comentarios de un Word. Por qué pasa, en censurar un PDF antes de la IA.
¿Qué queda a la vista en tu texto?
Ficha inventada. El comprobador trabaja aquí mismo, sin enviar el texto, y sólo ve números y correos con formato: el nombre, el cargo, la sucursal, una dirección, un pasaporte o el seguro social no los marca.
Anonimizar documentos en una firma de abogados o una notaría
Un pacto social, el acta de una fundación de interés privado o un poder reúnen directores, dignatarios y beneficiarios, con cédula o pasaporte. Para pedir una revisión de redacción, a nadie de afuera le hace falta saber quiénes son.
En la notaría pasa igual con los comparecientes de una escritura de compraventa. Tiene su propia guía: cómo usar la IA en la notaría.
Para citar un fallo en una capacitación sirve lo de siempre: «la demandante», «el arrendador». Que la fecha, el juzgado y el monto vayan juntos no lo acepto: con eso se da con el caso. Si el expediente sale del sistema como texto plano, mira anonimizar un texto o un CSV.
Lo que delata a alguien en un documento legal, además del nombre
| Documento | Lo que delata | Cómo queda en el borrador |
|---|---|---|
| Pacto social de una S. A. | Folio del Registro Público, domicilio de los dignatarios | «Sociedad A», sin folio ni domicilios |
| Acta de una fundación de interés privado | Beneficiarios y su parentesco («su hija menor») | «Beneficiaria 1», sin parentesco ni edades |
| Poder otorgado en notaría | Cédula, notaría y fecha exacta | Mes y año; la notaría, sólo si el texto la necesita |
| Fallo citado en una capacitación | Juzgado, fecha y monto | «Un juzgado civil, 2025», con el monto en rango |
Ejemplos inventados para un borrador de trabajo; no reemplazan lo que exija cada trámite.
![Tabla de claves tachada y la etiqueta [SEUDÓNIMO]: si alguien guarda la llave para volver atrás, los datos no están anonimizados](/guias/es-pa/anonimizar-o-seudonimizar-tabla-de-claves.webp "Seudonimizar no es anonimizar")
Etiquetas y retoque a mano: el relato también delata
Para que un chat mejore una carta de traslado, el texto no tiene que ser anónimo ante la ley; tiene que salir sin exponer a nadie. Lo que pide la ley al mandar datos a un servicio de afuera lo explico en la guía de los chats de IA.
Los datos que identifican solos los tapa Nonimo: marcas la fila, una tecla convierte nombre, cédula, teléfono y correo en etiquetas, y la respuesta copiada los trae de vuelta. La app trabaja en tu computadora; la fila no nos llega.
Lo que el relato cuenta de la persona te toca a ti. «La única enfermera del centro de salud de Cañazas» sigue en el texto y, en Veraguas, eso es un nombre. Esa línea no la dejo pasar: cámbiala por «una colaboradora de un centro de salud» antes de compartir el texto.
La misma fila, antes y después de las etiquetas
Planilla de traslados, fila 14
Nombre: Gladys Montezuma Atencio
C.I.P.: 9-000-0000
Teléfono del centro de salud: 200-0000
Correo institucional: enfermeria@example.com
Es la única enfermera del centro de salud de Cañazas que pidió traslado este año, y lleva tres incapacidades desde marzo.
Planilla de traslados, fila 14
Nombre: [PERSONA_1]
C.I.P.: [CEDULA_PA_1]
Teléfono del centro de salud: [DATO_FICHA_1]
Correo institucional: [CORREO_1]
Es la única enfermera del centro de salud de Cañazas que pidió traslado este año, y lleva tres incapacidades desde marzo.
Fila de planilla inventada. Hicimos la prueba el 9 de noviembre de 2026 con el motor de las herramientas web de Nonimo, y el segundo recuadro es su salida sin editar: el fijo del centro de salud salió como [DATO_FICHA_1] y no como teléfono, pero igual quedó tapado. Lo resaltado sigue porque es relato, no un dato con formato.
Si la nota viene en PDF o en Word, las herramientas web tapan esos mismos datos y te devuelven el archivo; la frase que delata la sigues editando tú.
Fuentes
- Ley 81 de 26 de marzo de 2019, sobre protección de datos personales, Gaceta Oficial 28743-A. Arts. 3.5, 4 (numerales 7, 9, 10 y 16) y 12.
- Decreto Ejecutivo 285 de 28 de mayo de 2021, Gaceta Oficial 29296-A. Art. 7: suprimir o anonimizar al vencer el plazo de conservación.
- ANTAI, guía de protección de datos personales de menores de edad. Protocolos de seudoanonimización al ceder datos de menores.
- Red Iberoamericana de Protección de Datos, guía de implementación de cláusulas contractuales modelo (publicada por la ANTAI). Glosario: anonimizar sin «esfuerzos desproporcionados».
- ANTAI, protección de datos personales para personas con discapacidad (copia del Órgano Judicial). Practicantes con documentación «disociada o seudoanonimizada».
- Ley 68 de 20 de noviembre de 2003, derechos de los pacientes (copia LegisPan en el Instituto Gorgas). Art. 45: acceso al expediente clínico para investigación o docencia.
- Ley 68 de 2 de noviembre de 2015, que regula los documentos de identidad personal (Legispan, Asamblea Nacional). Art. 18: el número de cédula va en el pasaporte, la licencia y el RUC de persona natural.
Consultado el 9 de noviembre de 2026.
Preguntas frecuentes
¿Qué dice la Ley 81 de 2019 sobre los datos anonimizados?
Que quedan fuera de la ley si no pueden asociarse al titular. Lo dice el artículo 3, numeral 5. Si alguien todavía puede llegar a la persona, el dato sigue siendo personal.
¿Qué es un dato disociado en Panamá?
Es el que no puede asociarse a su titular. La Ley 81 (art. 4.10) agrega que tampoco debe delatarlo por su estructura, contenido o grado de desagregación. Disociar y anonimizar van juntos en la ley.
¿Cuál es la diferencia entre la anonimización y la seudonimización?
Lo seudonimizado se puede revertir; lo anonimizado, no. Al seudonimizar, alguien guarda la tabla que dice quién es quién. La Ley 81 no usa esa palabra; dos guías de la ANTAI hablan de «seudoanonimización».
¿Hace falta consentimiento para usar datos anonimizados en un estudio?
No, si es un estudio de interés público y los datos se anonimizan. Lo permite el artículo 12 de la Ley 81. Al comunicar los resultados, se omite toda seña que identifique a los consultados.
¿Basta con borrar el nombre para anonimizar?
No. El cargo, el corregimiento y una fecha bastan muchas veces para reconocer a alguien. La ley habla de «medios razonables»: si con lo que queda se llega a la persona, no está anonimizado.
¿Qué es la seudonimización?
Es cambiar nombres, cédulas o celulares por códigos y guardar aparte la tabla para revertirlo. Sirve para trabajar un caso sin ver a la persona, pero para quien guarda esa tabla los datos siguen siendo personales.
¿Puedes darme un ejemplo de seudonimización?
Sí: en la planilla, «Yaritza Pinzón, 8-000-1234» pasa a ser «EMP-0417». Recursos humanos guarda la tabla que une EMP-0417 con Yaritza; el consultor sólo ve el código. Si se borra la tabla y ningún otro dato la delata, queda anonimizado.
¿Qué técnicas de anonimización existen?
Las más usadas son suprimir, generalizar, agregar y redondear. Se suprime lo que identifica solo; se generaliza la fecha o el corregimiento; se agregan los montos. Al final, revisa que ningún grupo quede de una sola persona.