La confusión más cara del RGPD
Hay una confusión en el mundo del cumplimiento que genera consecuencias reales: creer que seudonimizar datos equivale a anonimizarlos, y que por tanto el RGPD deja de aplicar. No es así. El Reglamento distingue con precisión entre ambos conceptos, y las consecuencias de confundirlos van desde la falta de protección real de los datos hasta sanciones por tratar datos personales sin base jurídica adecuada, creyendo erróneamente que ya no lo son.
Qué es la seudonimización según el RGPD
El artículo 4.5 del RGPD define la seudonimización como el tratamiento de datos personales de manera tal que ya no puedan atribuirse a un interesado específico sin utilizar información adicional, siempre que dicha información adicional figure por separado y esté sujeta a medidas técnicas y organizativas destinadas a garantizar que los datos personales no se atribuyan a una persona física identificada o identificable.
En términos simples: se sustituye un identificador directo (nombre, DNI, email) por un pseudónimo (un código, un número de referencia), pero existe una tabla de correspondencia que permite revertir la operación. Esa tabla es la “información adicional” que debe guardarse por separado y con medidas de seguridad específicas.
Los datos seudonimizados siguen siendo datos personales. El Reglamento lo dice explícitamente en su considerando 26. La seudonimización reduce el riesgo de tratamiento, y el RGPD la reconoce como medida de seguridad apropiada y como elemento que puede reducir las obligaciones en determinados contextos (como el tratamiento con fines de investigación o estadísticos), pero no elimina la aplicación del Reglamento.
Qué es la anonimización real
La anonimización es la aplicación de técnicas que hacen imposible, de forma irreversible, identificar a los interesados a partir de los datos. Si el proceso se ha aplicado correctamente, el resultado ya no son datos personales y el RGPD deja de aplicar.
El problema está en esa palabra: correctamente. El considerando 26 del RGPD señala que para determinar si una persona es identificable hay que tener en cuenta “todos los medios que razonablemente pueda utilizar el responsable del tratamiento o cualquier otra persona para identificar directa o indirectamente a la persona”. La anonimización real tiene que resistir ese test.
El Grupo de Trabajo del Artículo 29 (predecesor del CEPD) publicó en 2014 un dictamen sobre técnicas de anonimización que sigue siendo la referencia principal. En él identificó tres criterios que deben cumplirse para considerar que la anonimización es efectiva: la individualización (imposibilidad de aislar a un individuo en el conjunto), la vinculación (imposibilidad de vincular registros relativos a un mismo individuo) y la inferencia (imposibilidad de deducir información sobre un individuo a partir del conjunto).
Las técnicas de anonimización más usadas y sus limitaciones
La generalización sustituye valores precisos por rangos o categorías (edad exacta → rango de edad; código postal → provincia). Reduce el riesgo pero puede no ser suficiente si el conjunto de datos es pequeño o si los rangos son muy específicos.
La supresión elimina directamente los campos identificadores. Es efectiva para los campos suprimidos, pero puede no ser suficiente si los datos restantes permiten identificar a los individuos por combinación.
El ruido aleatorio añade perturbaciones aleatorias a los valores numéricos. Útil para datos estadísticos, pero puede no resistir ataques de reidentificación si el conjunto de datos es grande.
El k-anonimato garantiza que cada combinación de atributos cuasi-identificadores (edad, sexo, código postal) aparezca al menos k veces en el conjunto, haciendo que cada individuo sea indistinguible de al menos k-1 otros. Es una técnica más robusta, pero tiene variantes que la mejoran (l-diversidad, t-closeness) para resistir ataques más sofisticados.
Ninguna técnica garantiza la anonimización perfecta en todos los contextos. La evaluación del riesgo de reidentificación es parte del proceso.
Cuándo usar seudonimización y cuándo anonimización
La seudonimización tiene sentido cuando se necesita mantener la posibilidad de reidentificación en determinados casos (para auditorías, para atender derechos de los interesados, para investigación médica que pueda requerir contactar con los sujetos) pero se quiere reducir el riesgo de exposición en el tratamiento ordinario. También cuando el RGPD ofrece flexibilidades específicas para datos seudonimizados, como en el tratamiento con fines de investigación del artículo 89.
La anonimización tiene sentido cuando los datos van a publicarse, compartirse con terceros o usarse en análisis donde no hay ninguna razón legítima para mantener la posibilidad de reidentificación. Si se consigue anonimización real, el RGPD ya no aplica a esos datos y se eliminan las obligaciones de base jurídica, derechos de los interesados y conservación.
La trampa frecuente es aplicar seudonimización y tratarla como anonimización: compartir los datos con terceros, publicarlos o conservarlos sin las protecciones del RGPD, asumiendo que ya no son personales cuando sí lo son.
El test de reidentificación
Antes de tratar datos como anonimizados, la pregunta que debe hacerse el responsable es: ¿podría alguien, con los medios y recursos razonablemente disponibles, reidentificar a los individuos a partir de estos datos?
Ese alguien no tiene por qué ser el propio responsable. Puede ser un tercero con acceso a otras fuentes de datos que, combinadas con los datos supuestamente anonimizados, permitan la reidentificación. Los ataques de reidentificación sobre conjuntos de datos supuestamente anónimos son más frecuentes y exitosos de lo que se asume: estudios académicos han conseguido reidentificar individuos en conjuntos de datos de movilidad, de compras y de datos médicos que habían sido publicados como anónimos.
La evaluación del riesgo de reidentificación no es un ejercicio teórico: debe considerar el tamaño del conjunto de datos, la granularidad de los campos, la disponibilidad de otras fuentes de datos que puedan usarse para la reidentificación y el contexto en el que se van a usar los datos.
En Adapta RGPD evaluamos qué técnica es adecuada para cada tratamiento dentro de nuestra adaptación al RGPD, con análisis de riesgo incluido desde 119€/año.
