Imaginemos una tabla clínica en la que ya no aparecen nombres, documentos de identidad ni números de historia. Podría parecer anónima. Sin embargo, una edad exacta, una fecha de ingreso, un municipio pequeño y una enfermedad poco frecuente pueden formar una combinación reconocible. Basta con disponer de otra fuente de información para que aquel registro aparentemente impersonal vuelva a señalar a alguien.
Proteger los datos sanitarios exige mirar más allá de los identificadores evidentes. La anonimización y la seudonimización ayudan a reducir el riesgo, pero cumplen funciones distintas y su eficacia depende de cómo se apliquen. También importa qué información se conserva, quién podrá consultarla y para qué análisis se necesita.
Un historial puede identificar sin decir el nombre
Cuando pensamos en información personal, solemos fijarnos primero en los datos más directos: nombre, apellidos, dirección o número de identificación. Eliminarlos es un paso necesario, aunque no siempre suficiente.
Otros atributos pueden convertirse en identificadores indirectos al combinarse. Quizá una fecha de nacimiento no permita reconocer a una persona por sí sola. Lo mismo puede ocurrir con el código postal o con un diagnóstico. Pero la unión de varias características puede aislar un registro dentro de un conjunto y facilitar su asociación con información externa.
La Agencia Española de Protección de Datos señala que un conjunto puede considerarse anónimo cuando no existe una probabilidad razonable de identificar a una persona, directa o indirectamente. Para valorarlo hay que tener en cuenta el tiempo, los costes y los medios técnicos necesarios, pero también la información que podría estar disponible para terceros. Esa evaluación debe contemplar la evolución de la tecnología, porque lo que hoy resulta difícil podría dejar de serlo más adelante. (Agencia Española de Protección de Datos)
La reidentificación puede producirse de varias formas. Alguien puede localizar un registro singular, vincularlo con datos procedentes de otra fuente o deducir información sensible a partir de atributos aparentemente inofensivos. El problema no está únicamente en lo que contiene una base de datos, sino también en lo que puede averiguarse al relacionarla con otras.
Anonimización y seudonimización hacen trabajos diferentes
La seudonimización sustituye los datos que identifican directamente a una persona por un código o seudónimo. La relación entre ese código y la identidad original se conserva por separado y debe estar protegida mediante controles específicos.
Pensemos en un estudio clínico en el que el nombre del paciente se sustituye por una referencia como «P-0842». El equipo que analiza la información puede trabajar con el registro sin conocer directamente su identidad. Sin embargo, alguien autorizado podría volver a relacionar el código con la persona consultando la tabla de correspondencias.
Por ese motivo, los datos seudonimizados siguen siendo datos personales y continúan sometidos a la normativa de protección de datos. La técnica reduce la exposición de la identidad y limita quién puede acceder a ella, pero no elimina por completo la posibilidad de reconstruir el vínculo. (Agencia Española de Protección de Datos)
La anonimización persigue un resultado diferente. El conjunto debe quedar transformado de tal manera que no resulte razonablemente posible atribuir la información a una persona. Ya no debería existir una tabla que permita recuperar la identidad ni una combinación de medios previsibles que conduzca hasta ella.
Tampoco conviene confundir estas técnicas con el cifrado. Cifrar impide leer la información sin disponer de la clave correspondiente, pero los datos pueden recuperar su forma original cuando se descifran. Es una medida de seguridad necesaria en muchos contextos, aunque por sí misma no convierte la información personal en anónima.
El punto difícil está en decidir qué se conserva
La protección aumenta cuando se eliminan detalles, se agrupan valores o se reduce la precisión de determinadas variables. Una edad exacta puede convertirse en un intervalo; una fecha concreta, en un periodo más amplio; una ubicación detallada, en una zona geográfica mayor.
Cada transformación tiene un coste. Si se reduce demasiado el detalle, el conjunto puede dejar de responder a la pregunta para la que fue preparado. Si se conserva más información de la necesaria, crece la posibilidad de distinguir o vincular registros.
La utilidad del dato, por tanto, no puede valorarse de forma abstracta. Depende del propósito. Un conjunto podría servir para observar una tendencia general y resultar insuficiente para estudiar otro fenómeno que requiera mayor precisión. Antes de decidir qué se elimina o modifica, la organización necesita definir con claridad qué análisis quiere realizar.
Datos.gob.es explica que la utilidad debe evaluarse para cada finalidad y que, en ocasiones, será necesario sacrificar parte de la información para preservar la privacidad. La dificultad consiste en reducir el riesgo sin degradar atributos que apenas influyen en la posibilidad de reidentificación. La investigación sobre evaluación de riesgos también apunta hacia métodos más precisos, capaces de concentrar las modificaciones en las variables que realmente aumentan la exposición. (Nature)
El riesgo medio no cuenta toda la historia
Dos registros incluidos en la misma base pueden presentar riesgos muy diferentes. Una combinación frecuente de características puede quedar diluida entre miles de casos similares. Otra mucho menos habitual puede destacar con facilidad.
Esta desigualdad también se ha observado en investigaciones sobre modelos de inteligencia artificial médica. Un estudio recogido por El País mostró que los ataques destinados a averiguar si la información de una persona se utilizó para entrenar un modelo no afectan por igual a todos los pacientes. Los casos menos comunes pueden quedar más expuestos que aquellos que se confunden con numerosos perfiles parecidos. (El País)
El mecanismo analizado en esa investigación no es idéntico a la reidentificación de una base anonimizada, pero deja una advertencia útil: calcular únicamente el riesgo medio puede ocultar situaciones individuales mucho más delicadas.
Evaluar el conjunto exige estudiar qué registros pueden distinguirse, qué atributos podrían encontrarse en fuentes externas y qué consecuencias tendría revelar la información asociada. En datos sanitarios, el impacto no depende solamente de si alguien averigua un nombre. También cuenta qué diagnóstico, tratamiento u otra información personal podría quedar vinculada a esa identidad.
La protección continúa fuera del conjunto de datos
Una vez transformada la información, todavía quedan decisiones que tomar. Hay que limitar quién accede, definir para qué puede utilizarse y controlar el entorno en el que se realiza el análisis.
El marco del Espacio Europeo de Datos de Salud combina la anonimización y la seudonimización con otras salvaguardas. Entre ellas se encuentran la minimización de los datos, la autorización de los accesos y el uso de entornos seguros de tratamiento. Esto permite ajustar las medidas a la finalidad y al nivel de detalle que requiere cada proyecto. (Public Health)
También pueden establecerse condiciones contractuales, plazos de conservación o restricciones sobre la difusión. La AEPD recomienda revisar el riesgo durante el ciclo de vida de la información, en lugar de dar por válido de forma indefinida el resultado inicial. Nuevas fuentes públicas, mejores herramientas de análisis o cambios en el contexto pueden alterar una evaluación anterior. (Agencia Española de Protección de Datos)
La técnica importa, pero también lo hacen las reglas que rodean el uso de los datos.
Una demostración para comprobar el resultado
El Centro Demostrador de Ciberseguridad plantea trasladar estas cuestiones a un escenario práctico. Su caso de uso sobre anonimización prevé trabajar con un conjunto de datos clínicos reales o sintéticos, aplicar técnicas de anonimización y seudonimización y evaluar cómo cambia el riesgo de reidentificación mientras se mantiene la utilidad de la información. El planteamiento contempla además el cifrado como medida de protección de los datos sensibles.
La formulación es relevante porque no da por hecho que aplicar una técnica produzca automáticamente un resultado seguro. La demostración busca medir qué ocurre después de transformar los datos: si todavía pueden aislarse registros, si es posible relacionarlos con otra información y si el conjunto conserva el valor necesario para el análisis previsto.
También permite separar conceptos que con frecuencia se presentan como equivalentes. La seudonimización limita la asociación directa con una identidad. El cifrado protege la lectura de la información. La anonimización pretende impedir que los datos puedan atribuirse razonablemente a una persona. Pueden utilizarse de forma complementaria, pero cada medida responde a un riesgo distinto.
Antes de reutilizar datos médicos
Una organización que quiera trabajar con datos clínicos debería poder responder a varias preguntas antes de comenzar. ¿Qué finalidad concreta justifica el análisis? ¿Qué variables necesita realmente? ¿Quién podrá acceder al conjunto? ¿Con qué información externa podría relacionarse? ¿Cómo se ha comprobado el riesgo de reidentificación? ¿Siguen siendo útiles los datos después de transformarlos?
Llamar anónimo a un conjunto de datos debería ser el resultado de ese análisis, no una etiqueta asignada al principio. La protección se demuestra comprobando qué puede averiguarse todavía y decidiendo si el riesgo restante resulta compatible con el uso previsto.
Keywords: anonimización, seudonimización, sanidad, privacidad, reidentificación, datos, ciberseguridad
