Técnicas de anonimización

Técnicas de anonimizar datos personales según las Autoridades Europeas de Protección de Datos. Priv Técnicas de anonimizar datos personales según las Autoridades Europeas de Protección de Datos. Publicado el 22 de abril de 2014 por Francisco Javier Sempere  1 Comentario El Grupo del Artículo 29 de Protección de Datos, del que forman parte todas las Autoridades Europeas, ha elaborado un nuevo Dictamenreferente a la anonimización de los datos personales (por cierto, bastante “infumable”), partiendo del “Open Data”, es decir, de la reutilización de datos que permita beneficios para la sociedad. ¿Qué es un dato anónimo? La Directiva 95/46, relativa a la protección de las personas físicas en lo que respecta al tratamiento de datos personales y a la libre circulación de estos datos, en su Considerando 26 señala que“que los principios de la protección no se aplicarán a aquellos datos hechos anónimos de manera tal que ya no sea posible identificar al interesado”. Por su parte, la Directiva 2002/58, relativa al tratamiento de los datos personales y a la protección de la intimidad en el sector de las comunicaciones electrónicas, también se refiere a la “anonimización” en parte de su articulado:  – Considerando 26: Los datos sobre tráfico utilizados para la comercialización de los servicios de comunicaciones o para la prestación de servicios de valor añadido deben también eliminarse o hacerse anónimos tras la prestación del servicio. – Artículo 6.1: (…) los datos de tráfico relacionados con abonados y usuarios que sean tratados y almacenados por el proveedor de una red pública de comunicaciones o de un servicio de comunicaciones electrónicas disponible al público deberán eliminarse o hacerse anónimos cuando ya no sea necesario a los efectos de la transmisión de una comunicación.  – Artículo 9.1: En caso de que puedan tratarse datos de localización, distintos de los datos de tráfico, relativos a los usuarios o abonados de redes públicas de comunicaciones o de servicios de comunicaciones electrónicas disponibles al público, sólo podrán tratarse estos datos si se hacen anónimos, o previo consentimiento de los usuarios o abonados, en la medida y por el tiempo necesarios para la prestación de un servicio con valor añadido.  Partiendo del citado articulado que acabamos de transcribir, el Grupo del Artículo 29 considera que para que exista una verdadera “anonimización” de datos personales, ésta debe ser irreversible, es decir, que no permita la identificación del titular de los datos personales, si bien hay que tener valorar el riesgo inherente a realizar dicha “anonimización”, ya que dado el estado actual de la tecnología, podemos encontrarnos con situaciones que, aunque a primera vista no parecía que permitiesen la reversibilidad, debido al uso de diferentes tecnologías, sí sea factible la misma, es decir, se pueda identificar al interesado.  Ejemplo: los datos genéticos, ya que no sería suficiente con eliminar el nombre y apellidos, puesto que según el Grupo del Artículo 29 se puede obtener la identificación de la persona utilizando otros medios como obituarios, registros de genealogías, motores de búsqueda; incluso, aunque hubiese una donación anónima de ADN, utilizando los metadatos del mismo (momento de la donación, edad, lugar de residencia).  Siguiendo con los citados riesgos, el responsable que realice la “anonimización” debe tener en cuenta, además: – Diferenciarlo de la “pseudoanonimización”, que sí puede permitir la identificación del sujeto;  – Que sean anónimos no supone que no sea aplicable la legislación. Así, por ejemplo, el artículo 5.3 de la Directiva 2002/58, sobre acceso a la información (incluyendo la de carácter no personal) del abonado;  – El uso que se le dé a los datos anónimos, sobre todo en el caso de perfiles, ya que pueden tener un impacto negativo.  Técnicas de anonimización y su relación con la tecnología.  Según el Dictamen del Grupo del Artículo 29, existen diversas técnicas cuya aplicación dependerá del grado de madurez de la tecnología, debiendo tener en cuenta las siguientes tres premisas:  – “Singling out”: supone aislar algunos datos del individuo de todo el conjunto de sus datos personales;  –  “Linkability”: es la posibilidad de vincular al menos dos datos a un sujeto o grupo de sujetos, de manera que que si es sobre estos últimos, la anonimización sería “fuerte” respecto a aislar a un individuo (no se podría reconocer el mismo) pero sería “débil” sobre la “linkability” al poder identificarlo respecto a un grupo;  –  “Inference”: permite conocer el valor de un atributo sobre el valor de conjunto de otros atributos.  En este sentido, para el Grupo, cualquier técnica de anonimización, para que sea efectiva, debe ser capaz de superar los tres elementos citados anteriormente.  Aunque en la práctica las técnicas de anonimización están siendo objeto de estudio, el Dictamen analiza principalmente la “randomization” y la “generalization”, aunque también se refiere a otras como “pseudonymisation”, “differential-privacy”, “l-diversity”, y “t-closeness”, poniéndolo en relación con las tres premisas citadas anteriormente, así como los riesgos que pueden producir.  Para este análisis, el Grupo parte de que sobre cada individuo existen una serie de registros, que a su vez están formados por un conjunto de valores (por ejemplo, 2013) para cada atributo (por ejemplo, años).  Recomendaciones y buenas prácticas.  Al aplicar cualquier técnica de anonimización debemos asegurarnos de que no se pueda identificar al individuo, por eso es muy importante evaluar todos los riesgos, teniendo en cuenta, que puede ser posible la identificación consultado otras fuentes (o ficheros), ya sean accesibles o no al público. Para evitar esta situación, se recomienda, entre otras cosas, lo siguiente:  – Antes de aplicar cualquier técnica de anonimización, hay que valorar el uso de la misma en relación con la finalidad que se persigue, ya que algunas presentan debilidades, de forma que se podría identificar al individuo;  – Para elegir la técnica de anonimización a aplicar, lo mejor es realizar un análisis previo caso por caso, de manera que esta técnica sea “fuerte” en relación a las tres premisas: “singling out”, “linkeability” e “inference”.  – Los riesgos deben ser evaluados constantemente, no sólo antes de realizar la anonimización, sino también posteriormente.