La Agencia Española de Protección de Datos (AEPD) ha publicado varias guías sobre anonimización, y las autoridades europeas tienen un dictamen de referencia sobre técnicas (el Dictamen 05/2014 del antiguo Grupo de Trabajo del Artículo 29). Esta es la idea común a todos: no hay una técnica que anonimice por sí sola; hay que elegirla según los datos y el uso, y medir el riesgo de reidentificar a alguien.
Los tres riesgos que hay que evitar
Unos datos están bien anonimizados si nadie puede:
- Singularizar: aislar a una persona dentro del conjunto («el único hombre de 94 años del pueblo»).
- Vincular: relacionar dos registros de la misma persona, en el mismo conjunto o en otro.
- Inferir: deducir con alta probabilidad un dato de alguien a partir del resto.
Técnicas de supresión y enmascaramiento
Son las más usadas en documentos de texto. Consisten en eliminar el dato o sustituirlo:
- Supresión: el dato se borra. En un documento, el tachado.
- Enmascaramiento: se oculta una parte («***45678Z»). Cuidado: a veces lo que queda basta para identificar.
- Sustitución por etiquetas: «[PERSONA_1]». Si se guarda la tabla, es seudonimización, no anonimización.
- Datos sintéticos: se cambia el dato por otro inventado y verosímil, con el mismo formato.
Técnicas de generalización
Se reduce la precisión del dato para que muchas personas compartan el mismo valor:
- Agregación: «34 años» pasa a «entre 30 y 39»; «Calle Mayor 12, Toledo» pasa a «Toledo».
- k-anonimato: cada combinación de datos indirectos (edad, sexo, código postal…) la comparten al menos k personas.
- l-diversidad y t-proximidad: refinan el k-anonimato para que, dentro de cada grupo, el dato sensible (un diagnóstico, por ejemplo) no sea el mismo para todos.
La generalización es muy útil en tablas y bases de datos. En documentos se aplica sobre todo a fechas («el 3 de marzo de 2024» por «en marzo de 2024») y lugares.
Técnicas de aleatorización
Se altera el dato para romper el vínculo con la persona sin perder valor estadístico:
- Adición de ruido: se suma una pequeña variación aleatoria a las cifras.
- Permutación: se intercambian valores entre registros.
- Privacidad diferencial: se añade ruido de forma controlada a los resultados de las consultas, con garantías matemáticas.
Son técnicas para conjuntos de datos, no para un contrato o una sentencia.
Qué técnica usar en documentos
En documentos de texto (informes, contratos, sentencias, expedientes) lo habitual es combinar:
- Supresión de los identificadores directos: nombre, DNI, teléfono, email, IBAN.
- Supresión o generalización de los indirectos: fechas, direcciones, cargos, números de expediente.
- Revisión humana de lo que queda, buscando combinaciones que identifiquen.
- Limpieza de metadatos y de información oculta del fichero.
Lo que insiste la AEPD
- La anonimización es un proceso, no un paso: hay que analizar el riesgo y revisarlo con el tiempo, porque aparecen nuevas fuentes con las que cruzar.
- Quitar el nombre no es anonimizar.
- Los datos seudonimizados siguen siendo personales (lo explicamos en anonimización y seudonimización).
- Hay que documentar qué se hizo y por qué.
Cómo encaja AnonimData
AnonimData aplica supresión (tachado), sustitución por etiquetas o datos sintéticos a documentos de texto, con una pantalla de revisión antes de descargar. Además genera un informe de anonimización en PDF, sin ningún dato original, con qué se quitó, cuánto y cómo se encontró: útil para documentar el proceso, como pide la AEPD.
Este artículo es divulgativo. Para un tratamiento concreto, consulta las guías de la AEPD y a tu delegado de protección de datos.