Anonimización

Un conjunto de datos está anonimizado solo cuando nadie que lo posea puede volver a identificar razonablemente a las personas que contiene. Eliminar identificadores evidentes, como nombres y números de identificación, no basta, porque el resto del registro puede seguir describiendo a una persona real. Los registros con datos sensibles requieren la prueba más estricta.

Los reguladores y los organismos de normas lo evalúan según el contexto completo. Preguntan qué otras fuentes de datos existen, quién podría combinarlas y cuánto esfuerzo costaría volver a identificar a las personas. Quitar el nombre pero dejar una combinación poco común de código postal, fecha de nacimiento y sexo es una forma conocida de no superar esa prueba, porque esa combinación por sí sola puede señalar a una persona concreta en registros públicos.

Cuatro técnicas cubren la mayoría de los casos. No las confunda con el enmascaramiento de datos, que oculta valores sin eliminar necesariamente la posibilidad de identificar a las personas.

Modelos formales como la k-anonimidad, la l-diversidad y la privacidad diferencial dan a estas técnicas una garantía medible. Por ejemplo, la k-anonimidad asegura que cada combinación de cuasi-identificadores corresponda al menos a k personas del conjunto de datos.

Ambos conceptos se confunden con frecuencia, pero la normativa los trata de forma muy distinta. La seudonimización sustituye los valores identificativos por marcadores consistentes, como un ID de cliente asignado a un token. Una clave separada puede revertir el proceso, así que los datos siguen siendo datos personales, solo que protegidos.

La anonimización elimina esa posibilidad. No hay clave ni vía legítima de regreso a la persona. Por eso los datos seudonimizados siguen bajo la protección de datos personales, mientras que los datos correctamente anonimizados generalmente no.

La anonimización es un proceso, y cada paso reduce el riesgo. Empiece por la clasificación de datos, que marca cada campo antes de modificar nada.

1. 1

   Defina el propósito

   Decida quién recibirá los datos y para qué. La respuesta determina cuánto detalle puede conservarse.

2. 2

   Clasifique cada campo

   Marque los identificadores directos, los cuasi-identificadores como el código postal o la fecha de nacimiento, y los atributos sensibles como los diagnósticos.

3. 3

   Aplique las técnicas

   Generalice, suprima o agregue los campos de riesgo y elimine por completo los identificadores directos.

4. 4

   Pruebe con datos externos

   Pregúntese si alguien con otros conjuntos de datos podría asociar un registro a una persona. Si es así, repita el paso anterior con cambios más fuertes.

Antes de anonimizar un conjunto de datos hay que localizar sus identificadores. La consola de Anexet DLP incluye tesauros integrados para SSN, tarjetas de crédito y datos financieros, y expresiones regulares para valores como códigos postales y cuentas bancarias. Los dos fotogramas siguientes muestran esos diccionarios y patrones.

1 / 2

• 
• 

Las organizaciones usan la anonimización en cuatro situaciones habituales:

• Investigación y publicación de datos. Los datos de salud, censales y de encuestas se anonimizan antes de publicarse o compartirse fuera de la organización que los recopiló.
• Análisis y aprendizaje automático. Los datos de entrenamiento y las estadísticas de uso se anonimizan para estudiar patrones sin exponer a las personas detrás de ellos.
• Cumplimiento normativo. Los datos realmente anónimos generalmente dejan de regularse como datos personales según el RGPD.
• Retención de datos. Los registros antiguos conservan su valor estadístico sin poder rastrearse hasta personas, en lugar de borrarse por completo.

Los ataques de reidentificación han demostrado en repetidas ocasiones que conjuntos de datos supuestamente anónimos pueden desenmascararse cruzándolos con otros datos aparentemente no relacionados, como rastros de ubicación, historiales de compra o publicaciones en redes sociales. El texto libre es el caso más difícil, porque los nombres y los lugares se esconden en datos no estructurados y son fáciles de pasar por alto.

El riesgo crece con la riqueza del conjunto de datos. Cuantos más atributos contiene un registro, más probable es que alguna combinación de ellos sea única para una persona. Por eso la anonimización es una valoración continua del riesgo y no un paso técnico único.

Empiece por los conjuntos de datos que causarían más daño si se filtraran, y luego por los campos que, combinados, forman una identidad. Anonimícelos primero.

Un conjunto de datos que hoy supera la prueba puede fallar el año que viene, cuando aparezcan nuevos datos públicos que se puedan cruzar con él.

Lectura recomendada: ¿Cómo puedo mantener seguros mis Datos Personales?; Cómo usar Anexet Ultimate DLP para el cumplimiento del RGPD.