Anonimización y seudonimización

Técnicas de anonimización de datos

Un repaso a los métodos para desvincular los datos de las personas y cuánto protegen de verdad frente a la reidentificación.

Identificadores directos e indirectos

Directos: nombre, DNI, teléfono: delatan al instante.
Indirectos: código postal, fecha de nacimiento, género: juntos pueden identificar.
El peligro está en la combinación de los indirectos.

Seudonimización

Sustituir identificadores por seudónimos reversibles con una clave aparte. Reduce el riesgo pero sigue siendo dato personal, porque se puede revertir.

Anonimización

Transformar los datos de modo que la persona ya no sea identificable, razonablemente. Es irreversible y, de lograrse de verdad, saca el dato del ámbito de la protección personal.

Supresión de cuasi-identificadores

Borrar o generalizar campos que ayudan a identificar.
Generalizar: convertir edades exactas en rangos.
Reduce la especificidad que permite reidentificar.

k-anonimato

Garantiza que cada registro sea indistinguible dentro de al menos k registros respecto a los cuasi-identificadores. Nadie queda solo en un grupo pequeño y reconocible.

r-diversidad y más allá

El k-anonimato solo protege la identidad, no atributos sensibles.
La l-diversidad exige variedad de valores sensibles en cada grupo.
Hay medidas de cercanía que evitan grupos homogéneos.

Ruido diferencialmente privado

La privacidad diferencial añade ruido calibrado a consultas o datos, dando una garantía matemática: la presencia de uno apenas cambia el resultado. Es el estándar más sólido.

Una tabla de registros personales a la izquierda, un embudo central que difumina y agrupa las identidades en siluetas genéricas, y un escudo a la derecha con varios perfiles anónimos agrupados. — Quitar el nombre no basta: anonimizar es generalizar y agrupar hasta que nadie quede solo y reconocible.

El riesgo de reidentificación

Cruzar datos «anónimos» con otras fuentes disponibles.
Casos famosos reidentificaron a partir de datos liberados.
La anonimización debe evaluarse contra ataques plausibles.

Utilidad frente a privacidad

Cuanto más se protege, menos detallado y útil queda el dato. Encontrar el punto justo depende del riesgo y del uso previsto.

Qué no es anonimizar

Solo quitar el nombre o cifrar de forma reversible no anonimiza.
Si una clave permite revertir, sigue siendo identificable.
Confundir ocultar con anonimizar es un error caro.

Errores frecuentes

Borrar el nombre y el DNI y dar el conjunto por anonimizado.
Confundir seudonimización con anonimización cuando la clave sigue disponible.
Publicar datos «anónimos» sin evaluar ataques de reidentificación cruzada.

Ejemplo resuelto: una fuga de datos «anónimos» de movilidad

Una ciudad libera registros de viajes sin nombres pero con fecha, hora y coordenadas precisas. Un investigador cruza esos datos con publicaciones en redes y vuelve a identificar a varios usuarios. El equipo corrige generalizando hora y zona y aplicando k-anonimato antes de republicar.

inventariar identificadores directos e indirectos del conjunto
generalizar o suprimir los campos que delatan
aplicar k-anonimato o ruido de privacidad diferencial
medir el riesgo de reidentificación con ataques plausibles
publicar solo si el riesgo residual es aceptable

¿Para qué sirve en la realidad?

Publicar datasets abiertos, entrenar modelos con datos sensibles o compartir información entre organizaciones exige desvincular el dato de la persona: la anonimización bien hecha protege la privacidad sin matar la utilidad, y su ausencia acaba en multas y escándalos de reidentificación.

La seudonimización se distingue de la anonimización porque:

Quitar únicamente el nombre de un conjunto de datos garantiza su anonimización completa.

Anonimizar

Sustituir identificadores de forma reversible

seudonimizacion

Transformación que impide identificar

anonimizacion

Ampliar precisión o borrar cuasi-identificadores

generalizacion

Cada registro mezclado con k-1 iguales

k-anonimato

Añadir ruido con garantía matemática

privacidad diferencial

Toca una tarjeta para ver la respuesta.

Ordena una publicación responsable de datos:

Arrastra cada ficha a su categoría (o tócala y luego toca la categoría). También puedes usar el teclado.

Privacidad diferencialMarco con garantía formal de que un individuo apenas influye en el resultado.

Une cada técnica de protección del dato con su idea:

Anonimizar

Anonimización y seudonimización
- Identificadores
  - directos
  - indirectos
  - cuasi-identificadores
- Técnicas
  - supresión
  - generalización
  - k-anonimato
  - ruido diferencial
- Riesgos
  - reidentificación
  - cruce de fuentes
  - grupos pequeños
- Equilibrio
  - utilidad
  - privacidad
  - riesgo aceptable

k-anonimatoCada registro indistinguible dentro de al menos k respecto a los cuasi-identificadores.

Vas a publicar datos de movilidad «anonimizados». ¿Qué ataque de reidentificación temerías y qué técnica (k-anonimato, ruido) priorizarías?

Tu texto se guarda sólo en este dispositivo.

Anonimización y seudonimización

Herramientas de la lección

Sobre este contenido

Ir a