Anonimización y disociación de datos personales en Perú

Si buscas «anonimización de datos personales» desde el Perú, vas a encontrar dos palabras que se usan como si fueran lo mismo: anonimizar y disociar. En la ley peruana no lo son. La Ley 29733 define las dos, y la diferencia entre una y otra es una sola palabra: irreversible o reversible.

Esa diferencia importa, porque la ley les da efectos concretos: permite usar datos para otras finalidades, conservarlos o tratarlos sin consentimiento cuando se les aplicó uno de esos procedimientos. Y aparece cada vez que alguien quiere usar inteligencia artificial con documentos de clientes, pacientes o trabajadores.

Esta guía explica qué dicen la ley y su reglamento, cuándo una persona deja de ser identificable, qué técnicas se usan, los errores más comunes y qué alcanza, y qué no, cuando el objetivo es pegar un texto en un chat de IA sin exponer a nadie.

Qué es la anonimización de datos personales

Anonimizar es transformar un conjunto de datos de forma que ya no se pueda saber a quién se refieren. No basta con borrar el nombre: hay que lograr que, con lo que queda, nadie pueda reconocer a la persona con medios razonables.

Pensemos en una lista de pacientes de un consultorio. Si quitas el nombre pero dejas la fecha de nacimiento, el distrito y el diagnóstico, cualquiera que conozca a los pacientes puede reconocer a varios. Si en cambio dejas sólo rangos de edad, la provincia y el diagnóstico agrupado, y la lista tiene cientos de filas, reconocer a alguien se vuelve muy difícil. La primera lista no está anonimizada; la segunda probablemente sí.

Procedimiento de anonimización y procedimiento de disociación: lo que dice la Ley 29733

La Ley 29733 define los dos procedimientos en su artículo 2, en el texto que le dio el Decreto Legislativo 1353 en 2017:

• Procedimiento de anonimización (numeral 14): tratamiento de datos personales que impide la identificación o que no hace identificable al titular de estos. El procedimiento es irreversible.
• Procedimiento de disociación (numeral 15): tratamiento de datos personales que impide la identificación o que no hace identificable al titular de estos. El procedimiento es reversible.

Las dos definiciones son idénticas salvo la última frase. En la anonimización, nadie puede volver atrás. En la disociación, alguien conserva la manera de volver a vincular los datos con la persona: una tabla de equivalencias, una clave, un código.

Es una distinción que no todas las legislaciones hacen con estas palabras. En otros países se habla de «seudonimización» para lo que en el Perú se llama disociación. Si lees un documento extranjero, conviene traducir mentalmente: seudonimizar es, en términos peruanos, disociar.

Procedimiento de disociación de datos personales en el reglamento

El reglamento vigente, aprobado por el Decreto Supremo 016-2024-JUS, dedica a la disociación su artículo 41, con tres reglas:

1. Repite la definición: la disociación es el procedimiento que impide la identificación o que no hace identificable al titular, y es reversible.
2. Pide al responsable o encargado del tratamiento elegir la técnica adecuada, atendiendo al tipo de datos, al número de titulares y al factor de riesgo, es decir, la gravedad, la probabilidad y las consecuencias para el responsable y para el titular.
3. Encarga a la Autoridad Nacional de Protección de Datos Personales aprobar disposiciones complementarias u orientativas para la disociación y la anonimización.

La segunda regla es la que más se olvida. No hay una técnica que sirva para todo: disociar una lista de diez clientes de un estudio de abogados no es lo mismo que disociar la base de pacientes de una clínica con datos de salud.

Para qué sirve anonimizar o disociar según la ley

La ley no pide anonimizar por gusto. Les da a estos procedimientos efectos prácticos que conviene conocer:

efecto	dónde lo dice
No hace falta el consentimiento del titular para tratar datos anonimizados o disociados	Ley 29733, art. 14, numeral 8
Se pueden usar para fines históricos, estadísticos o científicos distintos de los originales	Ley 29733, art. 6
Se pueden usar para finalidades distintas de las que motivaron su recopilación	Ley 29733, art. 28, numeral 4
No hay que suprimirlos cuando dejaron de ser necesarios	Ley 29733, art. 28, numeral 7
Estudios epidemiológicos con datos de salud, también hacia el extranjero, con procedimientos de disociación adecuados	Ley 29733, arts. 14.6 y 15.6
No se configura la infracción por no suprimir ni la de usar los datos para otra finalidad	Reglamento, arts. 132.3 y 133.7

Eso no convierte a los datos disociados en datos libres. Como la disociación es reversible, quien tiene la tabla sigue teniendo datos personales, y le siguen aplicando la seguridad y la confidencialidad. Las reglas completas están en la guía de la Ley 29733.

Cuándo una persona deja de ser identificable

La ley define el dato personal como toda información que identifica a una persona o la hace identificable «a través de medios que pueden ser razonablemente utilizados» (artículo 2, numeral 4). El reglamento agrega una precisión clave: una persona es identificable cuando se puede verificar su identidad de manera directa o indirecta a partir de la combinación de datos (artículo III, numeral 4).

En la práctica, hay tres tipos de datos en cualquier texto:

• Identificadores directos: el nombre, el número de DNI, el RUC de una persona, el correo, el celular, la dirección, la placa. Bastan solos para saber de quién se trata.
• Identificadores indirectos: la edad, el distrito, el cargo, la fecha de un hecho, la profesión, el colegio de los hijos. Solos no identifican, pero combinados sí.
• Información sobre la persona: un diagnóstico, una deuda, un conflicto. No identifica, pero es lo que no quieres que se asocie a alguien.

Anonimizar exige tratar los dos primeros. Tapar sólo los directos y dejar intactos los indirectos es el error más frecuente.

Anonimizar, disociar, seudonimizar: cómo se distinguen

	anonimización	disociación	borrar sólo el nombre
¿Se puede volver atrás?	No	Sí, con la tabla o la clave	A veces, por contexto
¿Sigue siendo dato personal para quien tiene la tabla?	No	Sí	Sí
Término equivalente en otras leyes	Anonimización	Seudonimización	Ninguno
Uso típico	Estadísticas, publicaciones, entrenar modelos	Trabajar un caso sin exponer a la persona y luego reponer los datos	Ninguno recomendable

Para trabajar con un caso concreto, como un contrato, una carta o un reclamo, lo que se necesita casi siempre es la disociación: sacar a la persona del texto mientras alguien trabaja con él, y devolverla al final.

Técnicas de anonimización de datos

Estas son las técnicas más usadas, solas o combinadas:

• Supresión: eliminar el dato. Es la más segura y la que más información quita.
• Sustitución por etiquetas: cambiar cada dato por una marca como [PERSONA_1] o [CORREO_1]. Si se guarda la tabla de equivalencias, es disociación; si se destruye, puede ser anonimización, según lo que quede en el texto.
• Generalización: reemplazar un dato preciso por uno más amplio. La edad por un rango, el distrito por la provincia, la fecha exacta por el mes o el año.
• Agregación: presentar totales o promedios en lugar de filas individuales.
• Perturbación: alterar ligeramente los valores, por ejemplo redondear montos o mover fechas unos días, manteniendo la utilidad estadística.
• Supresión de casos raros: quitar las filas o los detalles que hacen único a alguien, como el único paciente de una localidad o el único trabajador con un cargo.

La elección depende del uso. Para publicar una estadística, agregación y generalización. Para pedir ayuda sobre un caso concreto, sustitución por etiquetas y supresión de los detalles que no hacen falta.

Anonimizar una hoja de Excel: cómo pensar cada columna

Supongamos una hoja de cálculo de un estudio contable con los trabajadores de un cliente, que hay que compartir con un consultor para analizar la estructura de sueldos. Columna por columna:

columna	qué hacer	técnica
Nombres y apellidos	Eliminar o cambiar por un código	Supresión o sustitución
Número de DNI	Eliminar	Supresión
Correo y celular	Eliminar	Supresión
Fecha de nacimiento	Cambiar por rango de edad	Generalización
Distrito de domicilio	Cambiar por provincia, o eliminar	Generalización
Cargo	Agrupar en categorías amplias	Generalización
Remuneración	Redondear o pasar a rangos, según para qué sea	Perturbación o generalización
Fecha de ingreso	Dejar sólo el año	Generalización

Después, mira las filas una por una: si queda alguien único, por ejemplo el único gerente o la única persona de una sede chica, esa fila se reconoce aunque no tenga nombre. Hay que generalizar más o quitarla. Recuerda que la remuneración es un dato sensible en el Perú, como explicamos en datos sensibles.

Los pasos en Excel, con fórmulas, están en cómo anonimizar datos en Excel.

Disociación en la práctica: dónde vive la tabla

Toda disociación tiene una pieza que decide si funciona o no: la tabla de equivalencias, la lista que dice que [PERSONA_1] es tal cliente y [CORREO_1] es tal correo. Mientras esa tabla exista, quien la tenga puede revertir el proceso, y para esa persona los datos siguen siendo personales.

Por eso, más que la técnica, importa dónde vive la tabla:

• En la misma carpeta o el mismo correo que el archivo disociado, la disociación no protege casi nada: quien recibe uno recibe el otro.
• En el servidor de un proveedor, el proveedor sigue teniendo datos personales, y le aplican todas las reglas de un encargado de tratamiento.
• Sólo en la computadora de quien trabaja el caso, con acceso restringido, el texto que sale es útil para trabajar y no expone a nadie.

El reglamento pide controlar quién accede a los datos personales y dejar registro de esos accesos (artículo 46). La tabla de equivalencias es, en sí misma, un conjunto de datos personales: merece el mismo cuidado que el archivo original, y conviene borrarla cuando el trabajo termina.

Disociar documentos en un estudio de abogados

Los estudios de abogados son, después de las clínicas, quienes más necesitan disociar. Un escrito, un contrato o un informe legal lleva los nombres de las partes, sus documentos de identidad, sus domicilios y, muchas veces, información patrimonial o familiar. Cuando se comparte con un colega, un perito o una herramienta de IA para revisar la redacción, casi nunca hace falta que el tercero sepa quiénes son las partes.

El reglamento menciona incluso un caso típico del mundo legal: el repertorio de jurisprudencia, el banco de resoluciones judiciales o administrativas, dictámenes, laudos y similares que organiza datos personales como fuente de consulta (artículo III, numeral 21). Quien arma un repertorio así, o cita resoluciones en un artículo, trata datos personales de las partes, y disociarlos es la forma práctica de seguir citando el criterio sin exponer a las personas.

A eso se suma el secreto profesional que exige el Código de Ética del Abogado, que pesa aunque la ley de datos no lo mencione. Lo vemos con más detalle en estudios de abogados.

Errores comunes al anonimizar

1. Borrar el nombre y dejar todo lo demás. El cargo, el distrito y la fecha bastan para reconocer a la mayoría.
2. Tapar en el PDF con un recuadro negro. El texto sigue debajo y se puede copiar. Por qué pasa y cómo evitarlo, en censurar un PDF.
3. Olvidar los metadatos: el autor del documento, los comentarios, el control de cambios, las notas del orador de una presentación.
4. Usar códigos que se deducen, como las iniciales o el DNI sin los dos últimos dígitos.
5. Llamar anonimizado a lo que sólo está disociado. Si alguien guarda la tabla, no es anonimización, y los datos siguen siendo personales para esa persona.
6. Anonimizar una vez y compartir muchas. Cada vez que el archivo se combina con otro, el riesgo de reidentificar cambia.

Anonimizar datos sensibles

Con los datos sensibles, como la salud, los ingresos o la afiliación sindical, el estándar sube. El artículo 41 del reglamento pide elegir la técnica según el tipo de datos y el riesgo, y un error con datos sensibles tiene consecuencias más serias para la persona y para la empresa.

Tres recomendaciones prácticas:

• Separa el dato sensible de cualquier identificador, directo o indirecto. Un diagnóstico sin nombre pero con la edad exacta, el distrito y la fecha de atención puede seguir apuntando a alguien.
• Prefiere la agregación cuando el objetivo es estadístico: «doce pacientes con hipertensión en el trimestre» en lugar de doce filas.
• Si no hace falta, quítalo. Para redactar una carta de citación, la IA no necesita el diagnóstico.

En salud, la Ley 29733 menciona expresamente los procedimientos de disociación adecuados para estudios epidemiológicos (artículos 14.6 y 15.6). Cómo se aplica en consultorios y clínicas lo vemos en historia clínica e IA.

Anonimizar datos para la IA: qué alcanza y qué no

Cuando alguien pega un texto en ChatGPT, Claude, Copilot o Gemini, casi nunca necesita anonimizarlo en sentido estricto. Necesita que el servicio de IA no reciba datos que identifiquen a la persona, y poder reponerlos después para usar la respuesta. Eso es una disociación. Qué más pide la ley peruana cuando se usa la IA con datos de clientes está en inteligencia artificial y protección de datos.

Lo que alcanza, en la mayoría de los casos:

• cambiar los identificadores directos por etiquetas antes de pegar;
• quitar o generalizar a mano los detalles que, juntos, permitirían reconocer a la persona;
• guardar la tabla de equivalencias sólo en tu computadora.

Lo que no alcanza:

• confiar en que el proveedor «no mira»: si los datos llegan, ya se transfirieron;
• tapar sólo el nombre y dejar el correo, el celular o la dirección;
• olvidar los identificadores indirectos.

Para textos y CSV hay una guía práctica en anonimizar texto y archivos CSV.

Quién decide si algo está anonimizado

La decisión es del responsable del tratamiento: la empresa que guarda los datos. El reglamento le pide elegir la técnica según el tipo de datos, el número de titulares y el riesgo (artículo 41.2), y su principio de responsabilidad proactiva le exige poder demostrar que cumple (artículo IX).

En la práctica, conviene dejar por escrito qué se hizo: qué datos se quitaron, cuáles se generalizaron, quién guarda la tabla si la hay y para qué se compartió el resultado. Si el día de mañana alguien pregunta, esa nota es la diferencia entre «creíamos que estaba anonimizado» y «hicimos esto, por estas razones».

Un ejemplo: qué cambia Nonimo y qué revisas tú

Así es un texto que alguien del área de recursos humanos pegaría en un chat para pedir ayuda con una comunicación interna:

Trabajadora: Yesenia Ticona Apaza
Correo: nombre@example.com
Cargo: asistente contable
Es la única persona de la sucursal de Puno que trabaja a medio tiempo y pidió licencia por maternidad en setiembre.

Y esto es lo que llega al chat después de pasarlo por Nonimo, tal cual:

Trabajadora: [PERSONA_1]
Correo: [CORREO_1]
Cargo: asistente contable
Es la única persona de la sucursal de Puno que trabaja a medio tiempo y pidió licencia por maternidad en setiembre.

El nombre y el correo se tapan. Pero mira la última línea: «la única persona de la sucursal de Puno que trabaja a medio tiempo». Junto con el cargo y el mes de la licencia, esa frase basta para que cualquiera que conozca la empresa sepa de quién se trata. Nonimo tapa los datos que identifican directamente; no reescribe lo que el texto cuenta de la persona. Antes de pegar, esa frase hay que borrarla o generalizarla a mano: «una trabajadora de una sucursal que pidió licencia por maternidad».

Cuatro formas de deshacer la anonimización sin darte cuenta

1. Cruzar con otra fuente. Una lista sin nombres pero con distrito y fecha de nacimiento se cruza con otra que sí los tiene.
2. Compartir la tabla. Mandar en el mismo correo el archivo disociado y la tabla de equivalencias.
3. Dejar el contexto. «El cliente del caso que salió en el diario la semana pasada».
4. Repetir el código en todos lados. Si [PERSONA_1] es siempre la misma persona en todos los documentos que compartes, el contexto se acumula.

Qué revisar antes de pegar o compartir un texto

1. ¿Quité o tapé nombres, documentos, correos, celulares y direcciones?
2. ¿Queda algún detalle que haga única a la persona: un cargo raro, un lugar pequeño, una fecha exacta?
3. ¿El destinatario necesita la información sensible, o sólo el resto?
4. ¿Dónde queda la tabla de equivalencias, si la hay, y quién la puede ver?
5. ¿Hay metadatos, comentarios o notas ocultas en el archivo?

Lo que hace Nonimo

Nonimo es una app para Windows y Mac que hace una disociación reversible en tu computadora. Seleccionas el texto, presionas la tecla que elegiste y los datos que identifican a una persona se cambian por etiquetas como [PERSONA_1] o [CORREO_1]. Cuando copias la respuesta de la IA y presionas la misma tecla, cada etiqueta vuelve a su valor en tu pantalla. A Nonimo no le llega tu texto.

En textos peruanos tapa los datos personales, como nombres, correos, celulares, direcciones, el DNI o el RUC, y te los muestra marcados para que los revises. Los identificadores indirectos y la información sobre la persona, como el cargo, el lugar o el diagnóstico, los revisas tú: Nonimo no decide qué parte del relato es necesaria para tu pregunta.

Para archivos, las herramientas web gratuitas tapan los datos personales, como nombres, correos, celulares o direcciones, de un PDF, un Word, un Excel, un PowerPoint o un CSV, y te devuelven el archivo listo para compartir.

Fuentes

Consultadas el 23 de octubre de 2026.

• Ley 29733, Ley de Protección de Datos Personales, con las modificaciones del Decreto Legislativo 1353. Texto en gob.pe. Artículos 2 (numerales 4, 14 y 15), 6, 14 (numerales 6 y 8), 15 (numeral 6) y 28 (numerales 4 y 7).
• Decreto Supremo 016-2024-JUS, Reglamento de la Ley 29733, El Peruano, 30-nov-2024. PDF en gob.pe. Artículos III (numeral 4), IX, 41, 132 y 133.

Esta guía resume normas vigentes y no reemplaza la asesoría de un abogado.