La ICO publica una guía para una anonimización de datos efectiva

Aunque todavía se encuentra en una fase de borrador, la autoridad británica competente en protección de datos (ICO) ha publicado una guía para asegurar que la anonimización y seudonomización de datos se lleva a cabo de una manera segura y efectiva para mejorar la privacidad de las personas.

Como punto de partida, este borrador reconoce que una anonimización eficaz reduce la posibilidad de reidentificación de las personas a un nivel considerado como remoto. En este punto, nos podríamos plantear la cuestión de qué es la identificabilidad, y no es más que la probabilidad de que una persona sea identificada o identificable por otros individuos. Esta identificación, aunque puede hacerse a través de medios directos como con el nombre de alguien, también puede realizarse a través de medios indirectos como cuando a las personas se les asigna un ID de usuario.

Además, para determinar el nivel de reidentifibalidad, también se deben tener en cuenta los medios tecnológicos que harían posible dicha identificación, lo que se traduce en que es necesario valorar, entre otras cosas, el coste, tiempo o la tecnología disponible en el mercado, sin perder de vista el desarrollo tecnológico que pueda producirse a lo largo del tiempo. No obstante, tal y como indica la guía el factor determinante es determinar si es razonablemente probable que se pueda volver a reidentificar a las personas cuyos datos han sido anonimizados. Para ello será también necesario reducir las posibilidades de inferir, adivinar o predecir datos personales sobre la lista de base de datos que se pretenda anonimizar.

Por otro lado, también es necesario determinar el entorno en el que se encuentran dichos datos ya que si son datos anónimos que podrán estar disponibles al público, será necesario optar por técnicas de anonimización más robustas que permitan que dicha anonimización sea verdaderamente efectiva. 

Por último, antes la guía da unas pautas en las que se indica cuándo y cómo publicar datos, para lo cual se indica que se debe: determinar el modelo de datos, realizar una evaluación inicial para evaluar si la información incluye datos personales, establecer si puede anonimizar esos datos, probar la eficacia de las técnicas de anonimización, hacer más ajustes, y documentar todo el proceso de anonimización.

En cualquier caso, para determinar qué técnica de anonimización se debe usar , es necesario hacer una evaluación de cada caso en concreto para determinar sus riesgos y así poder elegir la técnica adecuada.