Redacción de documentos — requisitos jurídicos y práctica

La redacción de documentos es una medida de protección de datos eficaz y, a la vez, frecuentemente mal comprendida. Bien empleada puede respaldar una transmisión admisible sin revelar innecesariamente datos personales de terceros. Una barra negra sobre el texto, en cambio, suele producir solo una falsa seguridad. Este artículo explica qué significa "redacción de documentos", qué bases jurídicas deben comprobarse y cómo montar un proceso trazable.

Respuesta breve: Redactar documentos correctamente significa eliminar el texto de forma irreversible del PDF —no solo cubrirlo ópticamente con una barra negra—. Al redactar, todos los datos personales que no sean necesarios para la finalidad respectiva se borran físicamente del content-stream y los metadatos se depuran por completo.

¿Qué significa "redacción de documentos"?

Redactar significa la eliminación irreversible de texto de un documento, de modo que el contenido original no pueda recuperarse ni visual ni técnicamente. A diferencia de la supresión del documento íntegro, el documento en sí se conserva, pero los datos personales contenidos se eliminan físicamente —el documento queda, por así decirlo, liberado de sus contenidos sensibles—.

Casos de aplicación frecuentes son solicitudes de información conforme al Art. 15 DSGVO, accesos a expedientes conforme a la Ley de Procedimiento Administrativo, peticiones IFG de acceso a la información, la transmisión de documentos por titulares del secreto profesional (médicos, abogados, asesores fiscales, notarios) o la publicación de informes y dictámenes.

El principio jurídico central: la minimización de datos. Quien transmite documentos solo puede revelar los datos realmente necesarios para la finalidad respectiva (Art. 5 apdo. 1 let. c DSGVO). Todos los demás datos personales —en especial los de terceros— deben eliminarse antes de la transmisión, es decir, redactarse.

Bases jurídicas: ¿cuándo deben redactarse documentos?

Diversas normas jurídicas fundamentan una obligación de redactar documentos. Las más importantes:

Art. 5 apdo. 1 let. c DSGVO — minimización de datos. Los datos personales deben ser adecuados y pertinentes para la finalidad y limitarse a lo necesario para el tratamiento. Quien transmite documentos y revela más datos de los necesarios infringe este principio.

Art. 17 DSGVO — derecho de supresión. El interesado puede solicitar la supresión inmediata de sus datos personales. Si el documento íntegro debe conservarse por otras razones —por ejemplo por plazos de conservación mercantiles o fiscales—, la redacción es el camino adecuado para satisfacer el derecho de supresión sin vulnerar la obligación de conservación.

Art. 25 DSGVO — protección de datos desde el diseño. Los responsables deben garantizar ya en el diseño de los procedimientos que solo se traten los datos necesarios. La redacción es una de esas medidas de protección "integradas".

§ 203 StGB — vulneración de secretos privados. Los titulares del secreto profesional (médicos, odontólogos, psicólogos, abogados, asesores fiscales, auditores, notarios, farmacéuticos y otros) no pueden revelar sin autorización secretos ajenos que les hayan sido confiados. Al transmitir documentos a terceros deben redactar de forma fiable los datos amparados por el secreto profesional, de lo contrario incurren en responsabilidad penal.

IFG — Ley de Libertad de Información. La Ley de Libertad de Información federal (IFG) y las correspondientes leyes de los Länder otorgan a cualquier persona acceso a la información oficial. El § 5 IFG obliga a las autoridades a proteger, mediante redacción, los intereses dignos de protección de terceros —en especial sus datos personales— antes de entregar documentos.

En resumen: cualquiera que transmita documentos con datos personales de terceros —autoridades, empresas, titulares del secreto profesional— debe, por regla general, redactarlos previamente en la medida en que los datos no sean necesarios para la finalidad respectiva.

¿Qué datos deben redactarse?

En principio, todos los datos personales de terceros que no sean necesarios para la finalidad respectiva. Los tipos de datos más frecuentes en la práctica:

• Nombres (nombre y apellidos) e iniciales
• Datos de contacto (direcciones de correo electrónico, números de teléfono, direcciones postales)
• Cuentas bancarias (IBAN, BIC, números de tarjeta de crédito)
• Números de la seguridad social y números de documento de identidad
• Fechas de nacimiento y nacionalidad
• Datos de salud (diagnósticos, bajas médicas, planes de terapia) como categoría de datos especial conforme al Art. 9 DSGVO
• Números de expediente con referencia personal
• Direcciones IP y otros identificadores en línea

En los documentos amparados por el secreto profesional del § 203 StGB se aplican estándares aún más estrictos: la información de los clientes, los datos de los pacientes o los secretos de los usuarios no pueden revelarse en absoluto a terceros, salvo que el interesado haya levantado la confidencialidad.

El gran error: barra negra en lugar de redacción auténtica

El error más frecuente al redactar documentos es la simple cobertura visual. Los usuarios colocan en un editor PDF una barra negra sobre el texto y creen que la zona está redactada. En realidad, el texto original permanece íntegramente en el content-stream del archivo PDF y puede recuperarse con medios sencillos: copiando con Ctrl+C, abriéndolo en un editor de texto como el Bloc de notas o eliminando la capa gráfica con herramientas PDF profesionales.

Una muestra de PDFs indexados públicamente encontró en aproximadamente uno de cada seis documentos (ca. 17 %) texto aún seleccionable bajo la redacción manual. También el conocido informe AstraZeneca mostró el problema: los cuerpos de texto estaban correctamente redactados, pero los marcadores (bookmarks) del PDF contenían el texto original en texto plano —un ejemplo docente muy citado de metadatos pasados por alto—.

Jurídica y técnicamente, la cobertura visual no es una redacción. El DSGVO exige medidas eficaces (Art. 32 DSGVO) —quien se fía de una barra no ha cumplido esta obligación—.

Redacción manual frente a automática

La redacción manual, en la que un empleado marca y redacta individualmente cada pasaje de texto, es propensa a errores, lenta y cara. Sobre todo en documentos más largos o volúmenes mayores se pasan datos por alto. Además, distintos empleados redactan de forma distinta —la calidad depende de la persona—.

Las herramientas automáticas de redacción combinan patrones basados en reglas (regex) con Reconocimiento de Entidades Nombradas (NER):

• Patrones regex detectan IBAN (DE + 20 cifras, más dígito de control según ISO 13616), direcciones de correo electrónico, números de teléfono, números de tarjeta de crédito y números de la seguridad social a partir de formatos definidos.
• Modelos NER detectan nombres propios, esto es, personas, lugares y organizaciones, a partir del contexto del texto.

A continuación, un empleado revisa cada propuesta individualmente y la confirma o rechaza. Esta combinación de máquina y persona es notablemente más fiable que el puro trabajo manual —la IA encuentra datos que una persona pasa por alto, la persona evita falsas alarmas que produce una máquina—.

Paso a paso: redactar documentos correctamente

1. Cargar el documento. Cargar el PDF en una herramienta de redacción. Las páginas escaneadas se procesan a texto vía OCR.
2. Iniciar el reconocimiento automático. La herramienta identifica datos personales —nombres, IBAN, direcciones de correo electrónico, números de teléfono, direcciones, números de la seguridad social—.
3. Revisar cada propuesta individualmente. Confirmar solo lo que no se necesita para la finalidad respectiva. No aceptar a ciegas.
4. Depurar también los metadatos. Comentarios, marcadores (bookmarks), propiedades del PDF y capas ocultas pueden contener también datos personales —el caso AstraZeneca es el ejemplo docente—.
5. Añadir redacciones manuales, en caso de que se hayan pasado datos por alto.
6. Probar la redacción. Seleccionar la zona e intentar copiar el texto —si no aparece texto, la redacción fue irreversible—.
7. Asegurar el registro de auditoría. Documentar qué se redactó, cuándo, por quién y por qué —esa es la base de la obligación de responsabilidad según el Art. 5 apdo. 2 DSGVO—.

Con el Free-Check de Datenmaske puede redactar un PDF gratis —automáticamente, sin registro, de forma irreversible—.

Qué documentos se redactan típicamente

• Extractos bancarios para el Jobcenter, el arrendador o la entidad de seguridad social
• Facturas antes de su transmisión a terceros ajenos
• Expedientes personales en accesos por el comité de empresa o terceros
• Contratos (de arrendamiento, laborales, de servicios) con IBAN y otros datos de contacto
• Correo de autoridades en el marco de peticiones IFG o accesos a expedientes
• Historiales clínicos al transmitirlos a la aseguradora o al empresario
• Documentos judiciales antes de su publicación o transmisión

En todas partes rige el mismo principio: tratar solo los datos realmente necesarios para la finalidad respectiva, eliminar el resto de forma irreversible.

Redacción frente a anonimización frente a seudonimización

Estos tres términos se confunden a menudo, pero significan cosas distintas:

• Redacción: Determinados pasajes de texto se eliminan de forma irreversible del documento; el documento en sí se conserva.
• Anonimización: Los datos se modifican de modo que la referencia personal ya no pueda restablecerse por ningún medio (Art. 4 n.º 5 DSGVO). A diferencia de la redacción, la anonimización normalmente modifica los datos en lugar de eliminarlos.
• Seudonimización: Los identificadores se sustituyen por seudónimos (p. ej. "Paciente 4711"). La asignación sigue siendo posible con conocimiento adicional, por lo que los datos seudonimizados siguen siendo personales.

La redacción es la variante más segura, porque los datos se eliminan por completo —no queda ninguna asignación posible—.

Conclusión: redacción de documentos bien hecha

La redacción de documentos es una disciplina central de la protección de datos práctica. Un proceso comprobado técnica y jurídicamente puede habilitar transmisiones admisibles, proteger a terceros y respetar las obligaciones de conservación. Los errores como las meras barras, los metadatos residuales o la falta de documentación aumentan, por el contrario, el riesgo de fugas de datos e infracciones de protección de datos.

Las reglas básicas resumidas: eliminar el texto de forma irreversible en lugar de solo cubrirlo, registrar sistemáticamente los datos personales de terceros, depurar los metadatos, documentar cada operación de redacción. Las herramientas automáticas como Datenmaske asumen el reconocimiento laborioso sin sustituir la revisión humana. Más detalles sobre el procedimiento práctico se encuentran en el artículo Redactar documentos correctamente y en la detallada guía DSGVO de redacción.