La mayoría de las organizaciones no tiene un problema de datos guardados: tiene un problema de datos circulando —reportes que salen a un financiador, dos sistemas que se hablan, un tablero que ve media empresa—. La Ley 21.719 nombra la seudonimización como una de las medidas de seguridad esperadas, y es exactamente eso lo que construimos: el dato que sale de tu operación viaja como token, y la identidad queda en una bóveda aparte, cifrada, con registro de quién vuelve a mirarla.
Dos cosas antes de seguir, dichas de frente: la seudonimización es parcial —hay datos y canales que no se pueden seudonimizar sin romper la operación— y no exime de ninguna obligación de la ley: el dato seudonimizado sigue siendo dato personal.
Si la tabla que convierte token en identidad vive junto a los datos seudonimizados, legalmente no hay seudonimización: son los mismos datos con otro nombre. La separación no es un detalle de arquitectura, es el requisito que la ley exige.
Seudonimización, artículo 2 letra l) · la información adicional debe «figurar por separado y estar sujeta a medidas técnicas y organizativas».
La diferencia parece técnica y es la que decide si el trabajo sirve o no.
Los datos se tratan de modo que no pueden atribuirse a una persona sin usar información adicional, y esa información adicional tiene que estar por separado y bajo medidas técnicas y organizativas. Es reversible: con la llave y la autorización correctas, se vuelve a la identidad. El dato seudonimizado sigue siendo dato personal y sigue sujeto a toda la ley.
Es un procedimiento irreversible, con el que ya no es posible identificar a nadie — ni con esfuerzo razonable ni con información externa. Sirve para publicar estadísticas, no para operar. Si alguien promete «anonimizar» tu base y seguir usando el detalle individual, no está anonimizando.
Las medidas de seguridad incluyen, cuando corresponda, el cifrado y la seudonimización de los datos personales.
No se trata de esconder los datos: se trata de que cada zona tenga sólo lo que necesita para funcionar.
Donde el nombre hace falta de verdad: la ficha, el expediente, la atención, el correo con la familia. No se toca. Es el trabajo real de tu equipo y queda como está.
Nombre · RUT · contactoPor donde salen los datos hacia reportes, tableros, integraciones entre dos sistemas y análisis. Acá circulan tokens y atributos generalizados, nunca identidades.
PNA-7F3A92 · FAM-C1D884La tabla que une token e identidad, cifrada a nivel de aplicación, en un entorno aparte que sólo acepta conexiones del servicio de tokenización. Es el activo más crítico del diseño.
Acceso restringido + MFAEl token se calcula con una función criptográfica sobre el identificador, con un secreto que administramos por versiones: la misma persona produce siempre el mismo token —así los datos se pueden unir entre sistemas y entre meses sin consultar la bóveda— y el secreto se puede rotar sin perder la serie histórica.
El reporte que sale a un financiador, a la dirección o a un servicio público no necesita nombres para cumplir su función. Se entrega con tokens, y además generalizamos los atributos que en universos pequeños permiten deducir de quién se trata: la fecha de nacimiento pasa a tramo etario, la comuna a una zona más amplia, el caso individual a un conteo.
Nacimiento 14-03-2015 → tramo 6-9 años · comuna → regiónCuando un dato tiene que viajar de un software a otro por automatización —agendamiento, matrícula, admisión, informes—, el flujo tokeniza en su primer paso: lo que entra al sistema de destino es el token, y los registros de la automatización no quedan con copias completas de los datos.
El dato identificado no se copia a la capa de automatizaciónSeudonimizar no es magia: token + programa + comuna + edad puede volver a identificar a una persona en un universo chico (un curso, un programa, una sede). Por eso el diseño incluye generalizar atributos en los reportes, limitar la re-identificación a perfiles definidos y dejar registro de cada evento.
Registro de auditoría: quién, cuándo, flujo y motivoPreferimos decirlo antes de la propuesta: hay procesos donde seudonimizar es una mejora concreta y otros donde sería teatro.
«Seudonimización parcial de los flujos X, Y y Z; los procesos A y B quedan identificados por necesidad operativa y así se declaran.» Si un proveedor te ofrece seudonimización total, pregúntale cómo responde una solicitud de un titular al día siguiente.
La automatización que agenda, recuerda y confirma opera con tokens; el dato real queda en el sistema clínico, que es donde tiene que estar. Los reportes de atención se analizan sin nombres.
Datos de niños, niñas y adolescentes son categoría protegida: las integraciones con plataformas de notas, pagos o comunicaciones no necesitan llevarse la ficha completa, y los informes a sostenedores se entregan generalizados.
Ver protección de datos de NNALos reportes a financiadores y servicios públicos son el caso más claro: se rinde cuenta con tokens y cifras, no con identidades. Y el equipo del programa sigue viendo lo que necesita para acompañar.
Campañas, tableros de venta, proveedores de marketing y soporte externo: todos esos flujos pueden operar con identificadores internos en lugar de nombre y contacto.
Ver Nube PrivadaNo es un consejo: es la arquitectura puesta a funcionar sobre los sistemas que ya usas, con su documentación para el modelo de prevención y para la fiscalización.
Si alojamos la bóveda en tu infraestructura, nunca vemos las identidades: operamos la capa seudonimizada y el servicio de tokenización, y las llaves quedan bajo tu control. Si prefieres que la alojemos nosotros, pasamos a ser encargados también de los datos de identidad y la transferencia internacional se documenta en el anexo del contrato. Se decide contigo, con las consecuencias a la vista.
No publicamos precios de lista. El trabajo se dimensiona sobre cuántos flujos hay que seudonimizar, qué sistemas intervienen y dónde queda la bóveda. De la consulta sale un alcance con etapas y valor, y tú decides hasta dónde avanzar: si con el diseño basta, ahí termina.
Esto se complementa con el resto del cumplimiento: los documentos, registros y protocolos de la Ley 21.719 son la otra mitad del trabajo.
Plazos de referencia: un flujo puntual, entre dos y cuatro semanas; una capa completa con varios sistemas, entre seis y diez semanas por etapas — primero el flujo de mayor exposición.
Cuando la bóveda o los flujos quedan bajo nuestra operación, lo hacemos como encargado del tratamiento: contrato por escrito, tus instrucciones, prohibición de usar los datos para fines propios, y devolución o supresión al término del encargo.
La seudonimización es reversible: los datos no se pueden atribuir a una persona sin la información adicional, y esa información adicional debe estar por separado y protegida. La anonimización es irreversible: nadie puede volver a identificar a la persona, ni con esfuerzo razonable. La segunda sirve para publicar estadísticas; la primera, para operar. Si alguien te ofrece «anonimizar» y seguir usando el detalle individual del caso, no está anonimizando nada.
No. El dato seudonimizado sigue siendo dato personal: la ley nombra la seudonimización como una medida de seguridad, no como una exención. Tienes que poder demostrar la base de licitud, la finalidad, la retención, la respuesta a los titulares y el protocolo de vulneraciones. Lo que cambia es el riesgo: si algo se filtra de la capa seudonimizada, se filtra un token.
Sí, y es donde más valor tiene —con un cuidado adicional: en universos chicos (un curso, un programa, una sede) el token más algunos atributos puede permitir deducir de quién se trata. Por eso generalizamos los atributos en los reportes y limitamos la re-identificación a perfiles definidos, con registro de cada evento.
Sí. Ese es el punto de la seudonimización frente a la anonimización: cuando el proceso lo exige —una atención, una notificación, una investigación— se vuelve a la identidad a través de un acceso restringido y cada re-identificación queda registrada con quién, cuándo, desde qué flujo y con qué motivo.
No. Trabajamos sobre lo que ya usas. Lo que se agrega es la bóveda, el servicio de tokenización y los flujos que tokenizan al salir; los sistemas de origen siguen siendo los mismos y no migramos tu operación a ninguna plataforma nuestra.
A la persona que conoce los procesos —quién usa qué dato y para qué—, la lista de sistemas y automatizaciones que mueven datos personales, y la decisión sobre dónde vivirá la bóveda. Con eso, en la primera conversación ya se puede decir qué flujos conviene seudonimizar primero.
Un flujo puntual, entre dos y cuatro semanas; una capa completa con varios sistemas, entre seis y diez semanas por etapas. No publicamos precios de lista: el alcance depende de cuántos flujos haya y dónde quede la bóveda. De una consulta de 30 minutos sale un alcance con etapas y valor, sin compromiso de continuar.
Sí. Operamos desde Chile de forma remota en todo el país y en Latinoamérica. Si tu organización trata datos de personas en Chile, la ley aplica igual; si la bóveda queda en nuestra infraestructura y el titular está en otro país, la transferencia internacional se documenta en el anexo del contrato.
Revisamos qué datos personales salen de tu operación, hacia dónde van y quién los necesita identificados. De ahí sale un diagnóstico honesto: qué flujos se pueden seudonimizar y cuáles no vale la pena tocar.
MenteGlobal SpA · Santiago de Chile · Actualizado en octubre de 2026.
