El 10 de abril de 2014, el Grupo de Trabajo sobre Protección de Datos del Artículo 29 (WP29) de la Comisión Europea publicó el documento "Anonymisation Techniques onto the web" que fue adoptado como "Opinion 05/2014 on Anonymisation Techniques". Ahora tenemos disponible la versión es español de este documento.
 |
| Dictamen 05/2014 - Español |
La justificación de este informe es muy interesante (y acertada, desde mi punto de vista), ya que parte del concepto de «datos abiertos» y de los beneficios que la liberación y reutilización de datos pueden aportar a los ciudadanos y a la sociedad, para reconocer la importancia de aplicar las técnicas de anonimización adecuadas que garanticen un tratamiento correcto de los datos de carácter personal.
Segun la normativa europea de protección de datos, la anonimización "es el resultado de un tratamiento de los datos personales realizado para evitar de forma irreversible su identificación". La cuestión principal es, aquí, que el proceso debe ser «irreversible», es decir que para cualquier fichero o tratamiento de datos sea imposible determinar la identidad del interesado.
Aunque la legislación europea en ningún momento establece cuáles son las técnicas de anonimización que deben emplearse, el dictamen del WP29 propone algunas técnicas y métodos teniendo en cuenta los tres riesgos clave de la anonimización:
El dictamen incluye un Anexo técnico de 12 páginas titulado "Manual de técnicas de anonimización" donde se describe con más detalle cada una de las técnicas citadas, con interesantes ejemplos y casos prácticos. Muy útil para quienes no tienen un conocimiento previo en esta materia.
El WP29 insiste es que "han de definirse con claridad los requisitos previos (el contexto) y los objetivos del proceso para obtener la anonimización deseada al mismo tiempo que se generan datos útiles" al tiempo que aclara que "la solución óptima debe decidirse caso por caso y puede conllevar la combinación de diversas técnicas".
Retomando el enfoque práctico desde una perspectiva de la protección de datos personales, podemos concluir que un fichero resultante de un adecuado proceso de anonimización (con las garantías suficientes de que no se pueda identificar a los interesados) quedaría excluido del ámbito de aplicación de la Directiva 95/46/CE sobre protección de datos de carácter personal, sin embargo "aunque los datos anonimizados se encuentren fuera del alcance de la legislación sobre protección de datos, es posible que los interesados tengan derecho a protección en virtud de otras disposiciones legales (como las que protegen la confidencialidad de las comunicaciones)"
Segun la normativa europea de protección de datos, la anonimización "es el resultado de un tratamiento de los datos personales realizado para evitar de forma irreversible su identificación". La cuestión principal es, aquí, que el proceso debe ser «irreversible», es decir que para cualquier fichero o tratamiento de datos sea imposible determinar la identidad del interesado.
Aunque la legislación europea en ningún momento establece cuáles son las técnicas de anonimización que deben emplearse, el dictamen del WP29 propone algunas técnicas y métodos teniendo en cuenta los tres riesgos clave de la anonimización:
- Singularización: posibilidad de extraer registros que identifiquen a personas.
- Vinculabilidad: capacidad de vincular dos registros distintos que están asignados a la misma persona /grupo de personas (correlación).
- Inferencia: posibilidad de deducir el valor de un atributo a partir de otros.
- Basadas en Aleatorización:
- Adición de ruído
- Permutación
- Privacidad diferencial
- Basadas en generalización:
- Agregación y anonimato k
- Diversidad l, proximidad t
El dictamen incluye un Anexo técnico de 12 páginas titulado "Manual de técnicas de anonimización" donde se describe con más detalle cada una de las técnicas citadas, con interesantes ejemplos y casos prácticos. Muy útil para quienes no tienen un conocimiento previo en esta materia.
El WP29 insiste es que "han de definirse con claridad los requisitos previos (el contexto) y los objetivos del proceso para obtener la anonimización deseada al mismo tiempo que se generan datos útiles" al tiempo que aclara que "la solución óptima debe decidirse caso por caso y puede conllevar la combinación de diversas técnicas".
Retomando el enfoque práctico desde una perspectiva de la protección de datos personales, podemos concluir que un fichero resultante de un adecuado proceso de anonimización (con las garantías suficientes de que no se pueda identificar a los interesados) quedaría excluido del ámbito de aplicación de la Directiva 95/46/CE sobre protección de datos de carácter personal, sin embargo "aunque los datos anonimizados se encuentren fuera del alcance de la legislación sobre protección de datos, es posible que los interesados tengan derecho a protección en virtud de otras disposiciones legales (como las que protegen la confidencialidad de las comunicaciones)"
Contenido completo del "Dictamen sobre Anonimización" descargable aquí [PDF, 42 págs.]:
