Fecha: agosto 15, 2025

El 7 de agosto de 2025 la Superintendencia de Protección de Datos Personales (SPDP) emitió el Reglamento para la seudonimización, anonimización, bloqueo y eliminación de datos personales (Reglamento). A continuación, información relevante de dicho Reglamento:

1. Seudonimización:
   a. Definición: Medida técnica que sustituye datos por seudónimos para que no se puedan vincular a un titular salvo que exista información adicional independiente.
   b. Para su aplicación:
   i. Es necesaria la existencia de una base legitimadora y un análisis de gestión de riesgos.
   ii. En caso de reidentificación debe existir un registro de ello.
   c. Aspectos relevantes: Los datos seudonimizados siguen siendo datos personales.
2. Anonimización:
   a. Definición: Medida de seguridad técnica que impide la identificación o reidentificación de un titular, sin esfuerzos desproporcionados.
   b. Para su aplicación:
   i. Es necesaria una metodología de análisis y gestión de riesgos adaptada a la naturaleza de los datos, estado de la técnica, particularidades del tratamiento y partes involucradas.
   ii. Es necesario un análisis sobre las implicaciones de la anonimización en la prestación de servicios.
   c. Aspectos relevantes:
   i. Esta medida debería priorizarse cuando existan tratamientos de datos de salud sin embargo, en este caso es necesario la autorización previa de la Superintendencia.
   ii. La transferencia de datos anonimizados no requiere del consentimiento.
3. Suspensión:
   a. Definición: Limitación temporal que restringe o impide, de forma provisional, tratamientos en un lapso específico.
   b. Para su aplicación:
   i. Es necesario analizar ciertos requisitos para su procedencia (ej. exactitud de los datos, ilicitud). De ser procedente la suspensión deberá ejecutarse en tiempos específicos (3 días).
4. Eliminación:
   a. Definición: Supresión definitiva de los datos para que no sean accesibles ni recuperables.
   b. Para su aplicación:
   i. Es necesario analizar ciertos requisitos para su procedencia (ej. necesidad, cumplimiento de principios, cumplimiento de finalidad). De ser procedente la eliminación deberá ejecutarse en tiempos específicos (3 días) y deberá existir constancia de ello.
   ii. De existir encargados la eliminación se vuelve extensiva salvo que exista una base legitimadora para su conservación.
5. Otros asuntos relevantes: El Reglamento también dispone lo siguiente:
   a. De existir un encargado en el tratamiento de datos personales él deberá cooperar con el responsable en el proceso de atención a ejercicios de derechos y en la eliminación/supresión/anonimización de datos personales.
   b. En caso de existir un derecho a la portabilidad el responsable original deberá eliminar los datos transferidos salvo que cuente con una base legitimadora para su conservación.
   c. El Reglamento también hace referencia al bloqueo y lo define como aquella medida que inhabilita el acceso a los datos para que no sean objeto de tratamiento.

Es importante que todos los responsables y/o encargados del tratamiento de datos personales realicen un análisis de riesgos y luego de ello identifiquen las medidas de protección que permiten cumplir con los principios normativos y no vulnerar los derechos de los titulares. En caso de ser necesario aplicar medidas de seguridad deberán implementarlas según las necesidades de cada caso.

Para mayor información escríbenos a info@lexvalor.com