Cómo validar la restitución de seudónimos sin mezclar clientes

Define una correspondencia con ámbito

Diseña la referencia de restitución con cliente, sesión o tarea, versión de correspondencias y token. Obtén el cliente desde el contexto autenticado; no aceptes que el texto generado elija ese ámbito. Mantén las correspondencias separadas del contenido enviado al modelo, con acceso restringido y conservación definida. Es una propuesta de diseño que debes implementar y probar, no una propiedad automática de cualquier sustitución de nombres.

Prueba la ida y la vuelta autorizadas

Crea dos clientes ficticios que utilicen el mismo token, por ejemplo PERSONA_1, para identidades sintéticas diferentes. Seudonimiza una entrada, procesa su representación y restituye únicamente los campos previstos en el expediente original. Compara identificadores y referencias estructuradas con el resultado esperado; una frase que parece correcta no demuestra aislamiento. Cambia cliente, sesión y versión por separado: cada cruce no autorizado debe fallar sin revelar la identidad del otro ámbito.

Haz fallar las correspondencias incorrectas

Incluye token desconocido, tabla ausente, referencia caducada y correspondencia modificada después de preparar el borrador. Ante ausencia o incompatibilidad, bloquea la restitución y deriva para resolver el dato; no pruebes tablas de otros clientes ni uses la versión más reciente por aproximación. Si el negocio autoriza migrar una versión, registra una decisión explícita y repite la validación del borrador. Conserva referencias versionadas para evitar que un token antiguo pase a representar a otra persona en silencio.

Autoriza el uso, además de la búsqueda

Comprueba que la identidad técnica puede resolver ese ámbito y que la finalidad y el destino de la restitución están aprobados. Poder consultar la correspondencia no autoriza enviar el documento. Prueba un usuario sin permiso y otro autorizado solo para preparar: el primero no recibe identidades; el segundo no consigue un envío. No entregues al modelo la tabla completa para que haga esta comprobación.

Cierra con evidencia y responsable

Registra solicitud, ámbito, versión, decisión del resolutor y resultado de la prueba mediante referencias controladas, evitando copiar identidades en el log general. El dueño de la integración corrige fallos técnicos y el responsable del proceso autoriza el uso previsto. Aprobar esta batería solo acredita los casos y configuración ensayados; no garantiza anonimato, criptografía universal ni ausencia de otras vías de identificación.

Fuentes y documentación

• AEPD: datos seudonimizados — Los datos reatribuibles con información adicional siguen siendo datos personales.
• AEPD: malentendidos sobre anonimización — Distingue anonimización y seudonimización y recoge la definición del artículo 4.5 RGPD: información adicional separada y medidas técnicas y organizativas.