La Sala de lo Social del Tribunal Supremo, en su sentencia de 12 de marzo de 2026, se pronuncia sobre la naturaleza de determinados datos seudonimizados en el marco de un procedimiento en el que se analizaba si la publicación en la intranet de un listado codificado de trabajadores (sin identificación directa de las personas) constituía un tratamiento de datos personales a efectos del Reglamento General de Protección de Datos (“RGPD”). En particular, la controversia se centraba en determinar si el destinatario de dicha información podía, o no, identificar a las personas a partir de los datos recibidos.
La sentencia parte de que la determinación de si un dato constituye o no un dato personal no puede realizarse en abstracto, sino que debe efectuarse atendiendo a las circunstancias del caso concreto y, en particular, a la posibilidad de identificar a una persona física mediante medios razonables.
En este sentido, el Tribunal señala que, para apreciar si una persona es identificable, deben tenerse en cuenta todos los medios que razonablemente puedan ser utilizados, directa o indirectamente, por el responsable del tratamiento o por un tercero, considerando factores como el coste, el tiempo necesario y la tecnología disponible.
En relación con los datos seudonimizados, la sentencia recuerda que estos siguen siendo información relativa a una persona identificable, y por tanto, continúan siendo datos personales, cuando exista la posibilidad de atribuirlos a una persona concreta mediante el uso de información adicional. No obstante, cuando quien accede a los datos no dispone de esa información adicional ni tiene medios razonables para obtenerla, no puede considerarse que esté en condiciones de identificar a la persona afectada.
Finalmente, el Tribunal insiste en que la apreciación de la identificabilidad debe realizarse caso por caso, teniendo en cuenta el conjunto de circunstancias concurrentes, y no sobre la base de hipótesis meramente teóricas de identificación.