Anonimización de datos personales en Uruguay

Si buscás «anonimización de datos personales» desde Uruguay, vas a encontrar varias palabras que se usan como si fueran lo mismo: anonimizar, seudonimizar, borrar los datos. No lo son, y la diferencia entre la primera y la segunda es una sola pregunta: ¿se puede volver atrás?

Esa diferencia importa, porque la Ley 18.331 de Protección de Datos Personales le da efectos concretos a los datos que ya no se pueden vincular con nadie: se pueden comunicar sin consentimiento o usar con fines estadísticos. Y aparece cada vez que alguien quiere usar inteligencia artificial con documentos de clientes, pacientes o trabajadores.

Esta guía explica qué dicen la ley y sus decretos, cuándo una persona deja de ser identificable, qué técnicas se usan, los errores más comunes y qué alcanza, y qué no, cuando el objetivo es pegar un texto en un chat de IA sin exponer a nadie.

Qué es la anonimización de datos personales

Anonimizar es transformar un conjunto de datos de forma que ya no se pueda saber a quién se refieren. No alcanza con borrar el nombre: hay que lograr que, con lo que queda, nadie pueda reconocer a la persona con medios razonables.

Pensemos en una lista de pacientes de un consultorio. Si quitás el nombre pero dejás la fecha de nacimiento, el barrio y el diagnóstico, cualquiera que conozca a los pacientes puede reconocer a varios. Si en cambio dejás sólo rangos de edad, el departamento y el diagnóstico agrupado, y la lista tiene cientos de filas, reconocer a alguien se vuelve muy difícil. La primera lista no está anonimizada; la segunda probablemente sí.

Lo que dice la Ley 18.331

La Ley 18.331 no usa la palabra «anonimización». Lo que hace es definir, en su artículo 4, dos cosas que juntas dicen lo mismo:

• Dato personal (literal D): información de cualquier tipo referida a personas físicas o jurídicas determinadas o determinables.
• El tratamiento que corta el vínculo (literal G): todo tratamiento de datos personales hecho de manera que la información obtenida no pueda vincularse a una persona determinada o determinable.

Dos detalles uruguayos que conviene tener presentes. El primero: la ley protege también los datos de las personas jurídicas, no sólo los de las personas físicas, así que la planilla de proveedores de un estudio contable, con la razón social y el RUT de cada empresa, también entra. El segundo: la palabra clave es determinable. Un dato sin nombre sigue siendo personal mientras, con lo que queda o cruzándolo con otra información, se pueda llegar a la persona.

Para qué sirve anonimizar según la ley

La ley no pide anonimizar por gusto. A los datos que ya no se pueden vincular con sus titulares les da efectos prácticos que conviene conocer:

efecto	dónde lo dice
Se pueden comunicar a otro sin el consentimiento del titular, si se trataron de modo que los titulares no sean identificables	Ley 18.331, art. 17, literal D
Los datos de salud se pueden comunicar sin consentimiento por razones sanitarias, de emergencia o epidemiológicas, preservando la identidad de los titulares cuando sea pertinente	Ley 18.331, art. 17, literal C
Los datos sensibles se pueden tratar con fines estadísticos o científicos cuando no se pueden vincular con sus titulares	Ley 18.331, art. 18

Eso no convierte a cualquier dato «sin nombre» en un dato libre. Si alguien guarda la forma de volver a vincularlo con la persona, para esa persona sigue siendo un dato personal, y le siguen aplicando la seguridad (artículo 10), la reserva (artículo 11) y el resto de la ley. Las reglas completas están en la guía de la Ley 18.331.

Seudonimizar: lo que dice el Decreto 64/020

El Decreto 64/020, que reglamenta la responsabilidad proactiva del artículo 12 de la Ley 18.331, sí usa la palabra. Su artículo 8 cuenta la seudonimización y la minimización de datos, entre otras técnicas, como medidas de privacidad desde el diseño: cosas que el responsable tiene que pensar desde que arma un tratamiento, no después.

Seudonimizar es cambiar los datos que identifican por un código, una etiqueta o un alias, guardando aparte la forma de volver atrás. Es lo que se hace todos los días sin ponerle nombre: «CLIENTE_1» en una planilla, «la arrendataria» en un borrador, [PERSONA_1] en un texto que se pega en un chat de IA.

El mismo decreto agrega, en su artículo 9, la privacidad por defecto: tratar sólo los datos necesarios para cada finalidad, en cantidad, en alcance, en plazo de conservación y en a quién se comunican. Para quien usa IA en el trabajo, es la regla más útil de todas: si la pregunta no necesita el nombre del cliente, el nombre no tiene por qué viajar.

Cuándo una persona deja de ser identificable

Si dato personal es lo referido a personas «determinables», la pregunta práctica es cuándo alguien deja de serlo. En cualquier texto hay tres tipos de datos:

• Identificadores directos: el nombre, el número de cédula, el RUT de una empresa unipersonal, el correo, el celular, la dirección, la matrícula del auto, el padrón de una vivienda. Alcanzan solos para saber de quién se trata.
• Identificadores indirectos: la edad, el barrio o la localidad, el cargo, la fecha de un hecho, la profesión, la escuela de los hijos. Solos no identifican, pero combinados sí.
• Información sobre la persona: un diagnóstico, una deuda, un juicio. No identifica, pero es lo que no querés que quede asociado a alguien.

Anonimizar exige tratar los dos primeros. Tapar sólo los directos y dejar intactos los indirectos es el error más frecuente, y en un país chico se nota más: en una localidad del interior, «la única escribana del pueblo» o «el dueño de la barraca» no necesitan nombre.

Anonimizar, seudonimizar, borrar el nombre: cómo se distinguen

	anonimizar	seudonimizar	borrar sólo el nombre
¿Se puede volver atrás?	No	Sí, con la tabla o la clave	A veces, por contexto
¿Sigue siendo dato personal para quien tiene la tabla?	No	Sí	Sí
Dónde aparece en Uruguay	Ley 18.331, art. 4, literal G, y art. 17	Decreto 64/020, art. 8	En ninguna parte
Uso típico	Estadísticas, publicaciones, entrenar modelos	Trabajar un caso sin exponer a la persona y después reponer los datos	Ninguno recomendable

Para trabajar un caso concreto, como un contrato, una carta o un reclamo, lo que se necesita casi siempre es seudonimizar: sacar a la persona del texto mientras alguien trabaja con él, y devolverla al final.

Técnicas de anonimización de datos

Estas son las técnicas más usadas, solas o combinadas:

• Supresión: eliminar el dato. Es la más segura y la que más información quita.
• Sustitución por etiquetas: cambiar cada dato por una marca como [PERSONA_1] o [CORREO_1]. Si se guarda la tabla de equivalencias, es seudonimización; si se destruye, puede ser anonimización, según lo que quede en el texto.
• Generalización: reemplazar un dato preciso por uno más amplio. La edad por un rango, el barrio por el departamento, la fecha exacta por el mes o el año.
• Agregación: presentar totales o promedios en lugar de filas individuales.
• Perturbación: alterar un poco los valores, por ejemplo redondear montos o mover fechas unos días, manteniendo la utilidad estadística.
• Supresión de casos raros: quitar las filas o los detalles que hacen único a alguien, como el único paciente de una localidad o el único trabajador con un cargo.

La elección depende del uso. Para publicar una estadística, agregación y generalización. Para pedir ayuda sobre un caso concreto, sustitución por etiquetas y supresión de los detalles que no hacen falta. Para un texto suelto o un CSV, la guía práctica está en anonimizar texto y archivos CSV.

Anonimizar una planilla de Excel: cómo pensar cada columna

Supongamos una planilla de un estudio contable con los trabajadores de un cliente, que hay que compartir con un consultor para analizar la estructura de sueldos. Columna por columna:

columna	qué hacer	técnica
Nombres y apellidos	Eliminar o cambiar por un código	Supresión o sustitución
Cédula	Eliminar	Supresión
Correo y celular	Eliminar	Supresión
Fecha de nacimiento	Cambiar por rango de edad	Generalización
Barrio o localidad	Cambiar por departamento, o eliminar	Generalización
Mutualista	Eliminar	Supresión
Cargo	Agrupar en categorías amplias	Generalización
Sueldo nominal	Redondear o pasar a rangos, según para qué sea	Perturbación o generalización
Fecha de ingreso	Dejar sólo el año	Generalización

Después, mirá las filas una por una: si queda alguien único, por ejemplo el único gerente o la única persona de una sucursal chica, esa fila se reconoce aunque no tenga nombre. Hay que generalizar más o quitarla. El sueldo no está en la lista de datos sensibles del artículo 4 de la Ley 18.331, pero es de lo más delicado que tiene una planilla de personal; los que sí están, como la salud o la afiliación sindical, los vemos en datos sensibles.

Los pasos en Excel, con fórmulas, están en cómo anonimizar datos en Excel.

Seudonimizar en la práctica: dónde vive la tabla

Toda seudonimización tiene una pieza que decide si funciona o no: la tabla de equivalencias, la lista que dice que [PERSONA_1] es tal cliente y [CORREO_1] es tal correo. Mientras esa tabla exista, quien la tenga puede volver atrás, y para esa persona los datos siguen siendo personales.

Por eso, más que la técnica, importa dónde vive la tabla:

• En la misma carpeta o el mismo correo que el archivo seudonimizado, no protege casi nada: quien recibe uno recibe el otro.
• En el servidor de un proveedor, el proveedor sigue teniendo datos personales, y le aplican todas las reglas de un encargado de tratamiento.
• Sólo en la computadora de quien trabaja el caso, con acceso restringido, el texto que sale es útil para trabajar y no expone a nadie.

La tabla de equivalencias es, en sí misma, un conjunto de datos personales: merece el mismo cuidado que el archivo original, con las medidas de seguridad que pide el artículo 10 de la ley, y conviene borrarla cuando el trabajo termina.

Anonimizar documentos en un estudio jurídico o una escribanía

Los estudios jurídicos y las escribanías son, después de los servicios de salud, quienes más necesitan sacar a las personas de un texto. Un escrito, un contrato o un informe lleva los nombres de las partes, sus cédulas, sus domicilios y, muchas veces, información patrimonial o familiar. Cuando se comparte con un colega, un perito o una herramienta de IA para revisar la redacción, casi nunca hace falta que el tercero sepa quiénes son las partes.

La propia regulación da un ejemplo. El Decreto 414/009, reglamento de la Ley 18.331, pide en su artículo 25 que las resoluciones de la URCDP se publiquen aplicando criterios que impidan identificar a las personas cuyos datos aparecen en ellas. Quien cita resoluciones o sentencias en un informe, un artículo o una capacitación hace lo mismo cuando cambia los nombres de las partes por «el actor» y «la demandada»: sigue citando el criterio sin exponer a nadie.

A eso se suma el secreto profesional, que pesa aunque la ley de datos no lo mencione: el artículo 302 del Código Penal castiga revelar sin justa causa un secreto conocido por la profesión, cuando eso causa perjuicio. Lo vemos con más detalle en secreto profesional del abogado e IA.

Errores comunes al anonimizar

1. Borrar el nombre y dejar todo lo demás. El cargo, la localidad y la fecha alcanzan para reconocer a la mayoría.
2. Tapar en el PDF con un recuadro negro. El texto sigue debajo y se puede copiar. Por qué pasa y cómo evitarlo, en censurar un PDF.
3. Olvidar los metadatos: el autor del documento, los comentarios, el control de cambios, las notas del orador de una presentación.
4. Usar códigos que se deducen, como las iniciales, o la cédula sin el dígito verificador.
5. Llamar anonimizado a lo que sólo está seudonimizado. Si alguien guarda la tabla, no es anonimización, y los datos siguen siendo personales para esa persona.
6. Anonimizar una vez y compartir muchas. Cada vez que el archivo se combina con otro, el riesgo de volver a identificar cambia.

Anonimizar datos sensibles

Con los datos sensibles, que la Ley 18.331 define en su artículo 4, literal E, como los que revelan origen racial y étnico, preferencias políticas, convicciones religiosas o morales, afiliación sindical e informaciones referentes a la salud o a la vida sexual, el estándar sube. El artículo 18 pide para tratarlos el consentimiento expreso y escrito del titular, salvo excepciones, y un error con ellos tiene consecuencias más serias para la persona y para la organización.

En salud se suma la Ley 18.335, que en su artículo 18, literal D, establece que la historia clínica es reservada y que revelar su contenido fuera de los casos que la ley permite queda alcanzado por el artículo 302 del Código Penal. Un texto clínico típico, antes y después de pasarlo por Nonimo:

Paciente: Gustavo Moreira Sosa
Historia clínica N° 000123
Celular: +598 99 000 000
Consulta del 14 de octubre: control de presión arterial, ajuste de medicación.

Paciente: [PERSONA_1]
Historia clínica N° [HISTORIA_CLINICA_1]
Celular: [TELEFONO_1]
Consulta del 14 de octubre: control de presión arterial, ajuste de medicación.

El nombre, el número de historia clínica y el celular se tapan; el contenido clínico queda, porque es lo que se le pregunta a la IA. Tres recomendaciones prácticas:

• Separá el dato sensible de cualquier identificador, directo o indirecto. Un diagnóstico sin nombre pero con la edad exacta, la localidad y la fecha de atención puede seguir apuntando a alguien.
• Preferí la agregación cuando el objetivo es estadístico: «doce pacientes con hipertensión en el trimestre» en lugar de doce filas.
• Si no hace falta, quitalo. Para redactar una citación, la IA no necesita el diagnóstico.

Cómo se aplica en consultorios, mutualistas y policlínicas lo vemos en IA en la salud e historia clínica.

Anonimizar datos para la IA: qué alcanza y qué no

Cuando alguien pega un texto en ChatGPT, Claude, Copilot o Gemini, casi nunca necesita anonimizarlo en sentido estricto. Necesita que el servicio de IA no reciba datos que identifiquen a la persona, y poder reponerlos después para usar la respuesta. Eso es seudonimizar. Qué más pide la ley uruguaya cuando se usa la IA con datos de clientes, incluido lo que dice sobre mandar datos fuera del país, está en inteligencia artificial y protección de datos.

Lo que alcanza, en la mayoría de los casos:

• cambiar los identificadores directos por etiquetas antes de pegar;
• quitar o generalizar a mano los detalles que, juntos, permitirían reconocer a la persona;
• guardar la tabla de equivalencias sólo en tu computadora.

Lo que no alcanza:

• confiar en que el proveedor «no mira»: si los datos llegan, ya se comunicaron;
• tapar sólo el nombre y dejar el correo, el celular o la dirección;
• olvidar los identificadores indirectos.

Quién decide si algo está anonimizado

La decisión es del responsable de la base de datos, que la Ley 18.331 define en su artículo 4, literal K, como quien decide sobre la finalidad, el contenido y el uso del tratamiento: casi siempre, la empresa, el estudio o el servicio de salud que guarda los datos. El artículo 12, con la redacción de la Ley 19.670, le pide además adoptar medidas técnicas y organizativas, como la privacidad desde el diseño y por defecto, y poder demostrar que las aplicó.

Para los tratamientos de más riesgo, el Decreto 64/020 pide en sus artículos 6 y 7 una evaluación de impacto antes de empezar: por ejemplo, cuando los datos sensibles son el centro del negocio, cuando se tratan grandes volúmenes o cuando se transfieren datos a países sin un nivel de protección adecuado.

En la práctica, conviene dejar por escrito qué se hizo: qué datos se quitaron, cuáles se generalizaron, quién guarda la tabla si la hay y para qué se compartió el resultado. Si el día de mañana alguien pregunta, esa nota es la diferencia entre «creíamos que estaba anonimizado» y «hicimos esto, por estas razones».

Un ejemplo: qué cambia Nonimo y qué revisás vos

Así es un texto que alguien de recursos humanos pegaría en un chat para pedir ayuda con una comunicación interna:

Trabajadora: Adriana Viera Machado
Correo: cliente@example.com
Cargo: auxiliar contable
Es la única persona de la sucursal de Tacuarembó que trabaja medio horario y pidió licencia maternal en setiembre.

Y esto es lo que llega al chat después de pasarlo por Nonimo, tal cual:

Trabajadora: [PERSONA_1]
Correo: [CORREO_1]
Cargo: auxiliar contable
Es la única persona de la sucursal de Tacuarembó que trabaja medio horario y pidió licencia maternal en setiembre.

El nombre y el correo se tapan. Pero mirá la última línea: «la única persona de la sucursal de Tacuarembó que trabaja medio horario». Junto con el cargo y el mes de la licencia, esa frase alcanza para que cualquiera que conozca la empresa sepa de quién se trata. Nonimo tapa los datos que identifican directamente; no reescribe lo que el texto cuenta de la persona. Antes de pegar, esa frase hay que borrarla o generalizarla a mano: «una trabajadora de una sucursal que pidió licencia maternal». Cómo hacerlo en el área de personas lo vemos en IA para recursos humanos.

Cuatro formas de deshacer la anonimización sin darte cuenta

1. Cruzar con otra fuente. Una lista sin nombres pero con localidad y fecha de nacimiento se cruza con otra que sí los tiene.
2. Compartir la tabla. Mandar en el mismo correo el archivo seudonimizado y la tabla de equivalencias.
3. Dejar el contexto. «El cliente del caso que salió en el diario la semana pasada».
4. Repetir el código en todos lados. Si [PERSONA_1] es siempre la misma persona en todos los documentos que compartís, el contexto se acumula.

Qué revisar antes de pegar o compartir un texto

1. ¿Quité o tapé nombres, cédulas, correos, celulares y direcciones?
2. ¿Queda algún detalle que haga única a la persona: un cargo raro, una localidad chica, una fecha exacta?
3. ¿El destinatario necesita la información sensible, o sólo el resto?
4. ¿Dónde queda la tabla de equivalencias, si la hay, y quién la puede ver?
5. ¿Hay metadatos, comentarios o notas ocultas en el archivo?

Lo que hace Nonimo

Nonimo es una app para Windows y Mac que seudonimiza en tu computadora. Seleccionás el texto, presionás la tecla que elegiste y los datos que identifican a una persona se cambian por etiquetas como [PERSONA_1] o [CORREO_1]. Cuando copiás la respuesta de la IA y presionás la misma tecla, cada etiqueta vuelve a su valor en tu pantalla. Tu texto se tapa en tu computadora; a Nonimo no le llega.

En textos uruguayos tapa los nombres, los correos, los celulares y teléfonos con el +598, las direcciones, el número de pasaporte y el de historia clínica, y te los muestra marcados para que los revises: cada dato tapado se deshace con un clic. Si un dato queda a la vista (por ejemplo, la cédula o el RUT), seleccionalo y hacé clic en Tapar. Los identificadores indirectos y la información sobre la persona, como el cargo, el lugar o el diagnóstico, los revisás vos: Nonimo no decide qué parte del relato es necesaria para tu pregunta.

Para archivos, las herramientas web gratuitas tapan los datos personales, como nombres, correos, celulares o direcciones, de un PDF, un Word, un Excel, un PowerPoint o un CSV, y te devuelven el archivo listo para compartir.

Fuentes

Consultadas en IMPO el 24 de octubre de 2026 (todas figuran como «Documento Actualizado»).

• Ley 18.331, de Protección de Datos Personales y acción de habeas data. Texto en IMPO. Artículos 4 (literales D, E, G y K), 10, 11, 12 (redacción de la Ley 19.670), 17 (literales C y D) y 18.
• Decreto 414/009, reglamento de la Ley 18.331. Texto en IMPO. Artículo 25.
• Decreto 64/020, reglamentación de los artículos 37 a 40 de la Ley 19.670 y del artículo 12 de la Ley 18.331. Texto en IMPO. Artículos 6, 7, 8 y 9.
• Ley 18.335, de derechos y obligaciones de pacientes y usuarios de los servicios de salud. Texto en IMPO. Artículo 18, literal D.
• Código Penal, artículo 302. Texto en IMPO.

Esta guía resume normas vigentes y no reemplaza el asesoramiento de un abogado.