Guía · protección de datos
Subir un PDF con datos personales a una herramienta online
Qué ocurre exactamente en términos del RGPD cuando arrastras un contrato, una nómina o un informe médico a un servicio de PDF, por qué casi nadie tiene resuelto el papeleo que eso exige y qué alternativas hay.
Lo que pasa cuando pulsas «subir»
El gesto parece inocente: arrastras el archivo, esperas cinco segundos y descargas el resultado. Lo que ha ocurrido por debajo es que una copia íntegra del documento ha salido de tu equipo, ha viajado por internet y se ha quedado en un sistema que no controlas durante el tiempo que ese proveedor decida.
Si el documento lleva el nombre, el DNI, la dirección o la cuenta bancaria de una persona, eso no es «usar una herramienta». Es un tratamiento de datos personales en el que aparece un tercero.
Las tres piezas que hay que tener
- Una base jurídica para tratar esos datos. Normalmente la tienes: es la misma que te permite tener el expediente.
- Un contrato de encargo del artículo 28 del RGPD con el proveedor, porque está tratando los datos por cuenta tuya. La mayoría de servicios lo ofrecen en sus planes de empresa; casi nadie lo firma cuando usa el gratuito.
- La entrada correspondiente en tu registro de actividades de tratamiento, indicando ese destinatario y, si procede, la transferencia internacional.
La pregunta incómoda no es si esto es legal. Es si en tu despacho, en tu gestoría o en tu departamento están las tres piezas. En la inmensa mayoría de los casos, no lo están.
Qué documentos son los delicados
No todos los archivos plantean el mismo problema. Una presentación comercial no tiene ninguno. Los que sí lo tienen suelen ser siempre los mismos: nóminas y contratos laborales, informes médicos y partes de baja, escritos judiciales y expedientes con número de procedimiento, escrituras y documentación de operaciones, y cualquier cosa que incluya datos de las categorías especiales del artículo 9 del RGPD, como la salud.
Con esos documentos, la diferencia entre procesar en local y procesar en un servidor ajeno deja de ser una cuestión técnica y pasa a ser una cuestión de responsabilidad.
Cómo se comprueba dónde se procesa un archivo
Hay una prueba que no requiere saber nada de informática: abre la herramienta, desconecta la red y usa la función. Si sigue funcionando, el trabajo lo está haciendo tu equipo. Si deja de funcionar, el archivo viajaba.
La segunda comprobación es la pestaña de red del navegador, que se abre con F12. Al procesar el documento verás, o no verás, la petición que lo envía. Es la evidencia más directa que existe y no depende de creerse la política de privacidad de nadie.
En las herramientas de Anónimo IA las dos comprobaciones salen igual: funcionan con la red desconectada y no aparece ninguna petición con tu archivo. La política de seguridad de contenido del sitio bloquea las conexiones de salida en el propio navegador, así que no depende de nuestra buena fe.
Qué hacer a partir de mañana
- Separa por tipo de documento, no por herramienta: lo que no lleva datos personales puede ir donde quieras.
- Para lo que sí los lleva, usa el programa instalado en el equipo o una herramienta que se ejecute en el navegador.
- Si tu organización usa un servicio en la nube de forma habitual, firma el contrato de encargo y anótalo en el registro de actividades. No cuesta nada y cierra el hueco.
- Escribe una regla de una línea para el equipo. «Los documentos con datos de clientes no se suben a webs de conversión» funciona mejor que un manual de treinta páginas.
Y el caso más frecuente de todos: pegarlo en una IA
Todo lo anterior vale igual, y con más motivo, cuando el destino del documento es ChatGPT, Claude o Gemini. Ahí no solo hay transferencia: según el plan contratado puede haber además revisión humana y uso para entrenamiento.
Ese es el problema concreto que resuelve el anonimizador de Anónimo IA: detecta los identificadores dentro del documento y los sustituye por etiquetas antes de que salga nada, guardando la equivalencia en tu equipo para que la respuesta te siga sirviendo. Y si lo que quieres es saber qué hace cada plan de cada modelo con tus datos, está el verificador.
Preguntas frecuentes
¿Es ilegal subir un PDF con datos personales a iLovePDF o Smallpdf?
No es ilegal por sí mismo. Es un tratamiento de datos que necesita su base jurídica y, si el proveedor trata los datos por cuenta tuya, un contrato de encargo del artículo 28 del RGPD. Lo que suele fallar no es la legalidad de fondo, sino que en la mayoría de despachos y pymes ese contrato no se ha firmado, no está en el registro de actividades y nadie ha comprobado dónde se procesan los archivos.
¿Qué es un encargado del tratamiento?
Quien trata datos personales por cuenta de otro. Si mandas un contrato con datos de tu cliente a un servicio para comprimirlo, ese servicio los está tratando por cuenta tuya: es un encargado, y el artículo 28 del RGPD exige un contrato que regule qué puede hacer con ellos, durante cuánto tiempo y con qué medidas de seguridad.
¿Y si el servicio dice que borra los archivos en dos horas?
Está bien que lo diga, pero es una promesa contractual, no una garantía técnica. Sigue habiendo una transferencia y sigue habiendo un periodo en el que el archivo está en un sistema ajeno. Además, el borrado no elimina la obligación de haber documentado el tratamiento.
¿Cambia algo si el servidor está en Europa?
Cambia bastante: evita el problema añadido de la transferencia internacional. Pero no elimina la relación de encargo ni la necesidad de contrato. Y conviene comprobarlo en la documentación del proveedor, no suponerlo.
¿Procesar en el navegador evita todo esto?
Evita la parte del tercero, que es la que suele estar sin resolver: si el archivo no sale de tu equipo, no hay comunicación de datos, no hay encargado y no hay contrato que firmar. Técnicamente equivale a abrir el documento con un programa instalado. Tu base jurídica para tratar esos datos y tu registro de actividades siguen siendo los tuyos.
¿Qué le digo a un auditor?
Que la herramienta se ejecuta en el navegador y que se puede comprobar: la política de seguridad de contenido del sitio bloquea las conexiones de salida, y la página funciona con la red desconectada. Eso es una evidencia técnica reproducible, no una declaración del proveedor.
Esta guía explica cómo funcionan las herramientas y qué obligaciones suelen aplicarse. No es asesoramiento jurídico. Si necesitáis revisar el encaje concreto de vuestro caso, eso se trabaja en auditoriadeia.es.