Anonimización y seudonimización

Identificadores directos e indirectos

• Directos: nombre, DNI, teléfono: delatan al instante.
• Indirectos: código postal, fecha de nacimiento, género: juntos pueden identificar.
• El peligro está en la combinación de los indirectos.

Seudonimización

Sustituir identificadores por seudónimos reversibles con una clave aparte. Reduce el riesgo pero sigue siendo dato personal, porque se puede revertir.

Anonimización

Transformar los datos de modo que la persona ya no sea identificable, razonablemente. Es irreversible y, de lograrse de verdad, saca el dato del ámbito de la protección personal.

Supresión de cuasi-identificadores

• Borrar o generalizar campos que ayudan a identificar.
• Generalizar: convertir edades exactas en rangos.
• Reduce la especificidad que permite reidentificar.

k-anonimato

Garantiza que cada registro sea indistinguible dentro de al menos k registros respecto a los cuasi-identificadores. Nadie queda solo en un grupo pequeño y reconocible.

r-diversidad y más allá

• El k-anonimato solo protege la identidad, no atributos sensibles.
• La l-diversidad exige variedad de valores sensibles en cada grupo.
• Hay medidas de cercanía que evitan grupos homogéneos.

Ruido diferencialmente privado

La privacidad diferencial añade ruido calibrado a consultas o datos, dando una garantía matemática: la presencia de uno apenas cambia el resultado. Es el estándar más sólido.

El riesgo de reidentificación

• Cruzar datos «anónimos» con otras fuentes disponibles.
• Casos famosos reidentificaron a partir de datos liberados.
• La anonimización debe evaluarse contra ataques plausibles.

Utilidad frente a privacidad

Cuanto más se protege, menos detallado y útil queda el dato. Encontrar el punto justo depende del riesgo y del uso previsto.

Qué no es anonimizar

• Solo quitar el nombre o cifrar de forma reversible no anonimiza.
• Si una clave permite revertir, sigue siendo identificable.
• Confundir ocultar con anonimizar es un error caro.

Errores frecuentes

• Borrar el nombre y el DNI y dar el conjunto por anonimizado.
• Confundir seudonimización con anonimización cuando la clave sigue disponible.
• Publicar datos «anónimos» sin evaluar ataques de reidentificación cruzada.

Ejemplo resuelto: una fuga de datos «anónimos» de movilidad

Una ciudad libera registros de viajes sin nombres pero con fecha, hora y coordenadas precisas. Un investigador cruza esos datos con publicaciones en redes y vuelve a identificar a varios usuarios. El equipo corrige generalizando hora y zona y aplicando k-anonimato antes de republicar.

1. inventariar identificadores directos e indirectos del conjunto
2. generalizar o suprimir los campos que delatan
3. aplicar k-anonimato o ruido de privacidad diferencial
4. medir el riesgo de reidentificación con ataques plausibles
5. publicar solo si el riesgo residual es aceptable

¿Para qué sirve en la realidad?

Publicar datasets abiertos, entrenar modelos con datos sensibles o compartir información entre organizaciones exige desvincular el dato de la persona: la anonimización bien hecha protege la privacidad sin matar la utilidad, y su ausencia acaba en multas y escándalos de reidentificación.

Privacidad diferencial
Marco con garantía formal de que un individuo apenas influye en el resultado.

# Anonimización y seudonimización
## Identificadores
### directos
### indirectos
### cuasi-identificadores
## Técnicas
### supresión
### generalización
### k-anonimato
### ruido diferencial
## Riesgos
### reidentificación
### cruce de fuentes
### grupos pequeños
## Equilibrio
### utilidad
### privacidad
### riesgo aceptable

k-anonimato
Cada registro indistinguible dentro de al menos k respecto a los cuasi-identificadores.