La sentencia del TJUE C-413/23 P explicada: dato seudonimizado y enfoque relativo

Última actualización : 2026-10-11

Para quien tiene la tabla de correspondencia, sí; para el destinatario que no puede reidentificar de forma razonable, no: es el enfoque relativo adoptado por el TJUE el 4 de septiembre de 2025.

Esto no es asesoramiento jurídico. Esta página explica una sentencia a un público que no es jurista. Se limita a lo que escribió el Tribunal y no compromete tu responsabilidad profesional. Para una decisión sobre un expediente real, consulta a tu colegio profesional o a un asesor cualificado.

Los hechos

En junio de 2017, la Junta Única de Resolución (JUR) sometió a resolución al banco Banco Popular Español (apartados 10 a 12). Los accionistas y acreedores afectados pudieron presentar observaciones sobre el proyecto de decisión relativo a su indemnización. Cada observación estaba asociada a un código, lo que permitía a la JUR vincularla con su autor. Un subconjunto de 1 104 observaciones se envió a Deloitte para una valoración (apartados 17 a 28).

La información facilitada a los participantes no citaba a Deloitte entre los posibles destinatarios. Cinco reclamaciones llevaron al Supervisor Europeo de Protección de Datos (SEPD) a constatar una infracción del artículo 15, apartado 1, letra d), del Reglamento 2018/1725, que obliga a informar a la persona de los destinatarios de sus datos (apartados 29 a 34). El 26 de abril de 2023, el Tribunal General de la Unión Europea anuló esa decisión (asunto T-557/20), al considerar que las observaciones enviadas a Deloitte no eran datos personales (apartados 35 a 38).

La cuestión planteada al Tribunal de Justicia

El SEPD, apoyado por el Comité Europeo de Protección de Datos, interpuso recurso de casación (apartados 39 a 42). Dos cuestiones importan para esta página. ¿Una observación que expresa la opinión de una persona es información relativa a ella? ¿Y sigue siendo un dato seudonimizado un dato personal para un destinatario que no dispone de la información necesaria para reidentificar a la persona?

La respuesta del Tribunal

La sentencia del 4 de septiembre de 2025 (Sala Primera, ECLI:EU:C:2025:645) anula la sentencia del Tribunal General. Esto es lo que dice, apartado por apartado.

Las opiniones se refieren a una persona. Una opinión o un punto de vista personal está vinculado a su autor, sin necesidad de buscar un contenido, una finalidad o un efecto concretos. El Tribunal General cometió un error en este punto (apartados 54 a 61).
La calificación depende de un examen. La aplicación del reglamento presupone un examen del carácter identificado o identificable de la persona (apartado 69). La seudonimización no forma parte de la definición de dato personal (apartado 72). Presupone que existe información adicional que permite la reidentificación (apartado 73).
Para quien tiene la clave, el dato sigue siendo personal. La JUR disponía de la información adicional que permitía atribuir las observaciones a sus autores (apartado 76).
Para el destinatario, puede cambiar. Según el apartado 77, las observaciones enviadas a Deloitte pueden no ser datos personales para esta, con dos condiciones: que no pueda levantar las medidas de seudonimización en sus propios tratamientos, y que esas medidas le impidan realmente atribuir las observaciones a la persona, también mediante cruce de datos.
La regla general. Los datos seudonimizados no deben considerarse datos personales «en todos los casos y para cualquier persona» (apartado 86; el texto francés del Tribunal dice « en toute hypothèse et pour toute personne »). Si el destinatario puede atribuir razonablemente los datos a una persona, por ejemplo cruzándolos con otros datos que posee, la persona sigue siendo identificable para él (apartado 85). El concepto de dato personal es amplio, pero no ilimitado (apartado 88).
El deber de informar se juzga de otra manera. Para el deber de informar sobre los destinatarios, el Tribunal declara que la identificabilidad se aprecia en el momento de la recogida y desde el punto de vista del responsable del tratamiento (apartado 111). Ese deber se aplica antes de cualquier transferencia, tanto si el destinatario puede identificar a las personas como si no (apartados 112 a 115). El Tribunal General erró, por tanto, al exigir el punto de vista de Deloitte.
Lo que sigue. El Tribunal General vuelve a conocer del segundo motivo del recurso inicial, que requiere apreciaciones de hecho (apartados 121 y 122). El propio Tribunal de Justicia no resolvió, por tanto, que las observaciones no fueran personales para Deloitte.

El abogado general Dean Spielmann presentó sus conclusiones el 6 de febrero de 2025 (ECLI:EU:C:2025:59). Ya proponía anular la sentencia del Tribunal General y devolver el asunto, distinguiendo la apreciación relativa del dato seudonimizado y el punto de vista del responsable del tratamiento para el deber de informar.

Qué cambia para un profesional que envía un prompt seudonimizado

Piensa en un abogado autónomo, un médico en ejercicio libre o un experto contable que sustituye nombres por marcadores del tipo {{PERSON_a1b2}} antes de enviar un texto a un proveedor de modelos de lenguaje, y que conserva la tabla de correspondencia en su equipo.

Para ti, los datos siguen siendo personales. Tienes la tabla de correspondencia, como la JUR en la sentencia (apartado 76). El RGPD sigue aplicándose a tu tratamiento, y el tratamiento local de ndaact.ai se describe como seudonimización del lado del cliente (artículo 4, punto 5, del RGPD).
Para el proveedor, la cuestión es distinta. Si solo recibe marcadores, sin la tabla, y no dispone de un medio razonable para atribuir el texto a una persona, el enfoque relativo del Tribunal permite sostener que esos datos no son personales para él. Esa calificación se aprecia caso por caso, con las condiciones del apartado 77. Hablamos de desidentificación frente al tercero, y no de anonimización del prompt.
Tu deber de informar subsiste. El apartado 111 sitúa el deber de informar sobre los destinatarios del lado del responsable del tratamiento, en el momento de la recogida. Un profesional que recoge datos de clientes no puede deducir de la sentencia que ya no hace falta citar al proveedor del modelo.
El alcance de la sentencia es estrecho. Interpreta el Reglamento 2018/1725, aplicable a las instituciones de la Unión. El Tribunal vincula su lectura al concepto de dato personal del RGPD, pero el asunto no trata de un modelo de lenguaje. Trasladarlo a tu práctica es un análisis que debes hacer con tu asesor.

Los límites

Los identificadores indirectos. El apartado 77 se refiere a medidas que impiden la atribución, también mediante cruce de datos. Una frase como «mi cliente, el único panadero ecológico del municipio» puede identificar a una persona aunque no aparezca ningún nombre en el texto.
La detección puede omitir entidades. ndaact.ai sustituye las entidades que detecta. Una entidad no detectada llega en claro al proveedor del modelo, con el resto del texto, y los marcadores solo cubren lo que se detectó.
Lo que el proveedor puede cruzar. El apartado 85 se refiere a un destinatario que dispone de otros datos. El contexto de un expediente, las fechas o los importes pueden bastar para reidentificar a una persona si el proveedor tiene otra información.
Esta sentencia no valida una herramienta. No menciona ndaact.ai ni ningún producto, y no dispensa de ninguna obligación. Describe cómo aprecia el Tribunal el carácter personal de un dato seudonimizado.

Los textos

Fuente: TJUE, SEPD/JUR, C-413/23 P, 4 de septiembre de 2025.

Esta página es una traducción. Prevalece la versión francesa.