La importancia del seudonimización en el nuevo Reglamento de Protección de Datos

La seudonimización no es algo nuevo, sin embargo, son pocas las empresas que introducen esta beneficiosa medida en sus procesos de negocio.

Para revertir esta situación, el Reglamento General de Protección de Datos, introduce explícitamente en su artículo 32, relativo a la seguridad en el tratamiento de los datos personales, la seudonimización como una medida apropiada para garantizar un nivel de seguridad adecuado al riesgo.

Por lo tanto, parece clara la importancia que el legislador ha querido dar a esta medida, de cara a garantizar el cumplimiento de la nueva normativa.

¿En qué consiste la seudonimización?

Por este nombre, nos referimos al tratamiento de datos de carácter personal, de manera que ya no puedan atribuirse a un interesado sin utilizar información adicional. Es decir, a una técnica que reduciría el vínculo existente entre los datos de carácter personal y la persona a la que identifican.

Estaríamos hablando, así lo define el art. 4.5) del Reglamento General de Protección de Datos, de toda aquella información que, sin incluir datos denominativos del sujeto afectado (que conllevarían una identificación directa del mismo), permitiría determinar potencialmente quién es el sujeto que está detrás de los datos seudonimizados a través de un proceso posterior de asociación con información adicional, siempre que dicha información adicional figure por separado y esté sujeta a medidas técnicas y organizativas destinadas a garantizar que los datos personales no se atribuyan a una persona física identificada o identificable.

¿Un dato seudonimizado está sujeto a la normativa de protección de datos?

A pesar de que la información seudonimizada no permite la identificación directa del interesado, no debemos olvidar en ningún momento, que nos encontramos ante datos de carácter personal, y como tal, objeto de protección de la normativa en materia de protección de datos.

¿Es lo mismo seudonimizar que anonimizar?

No. De hecho, es muy importante destacar la diferencia que existe entre anonimización y seudonimizacion, ya que tan sólo nos encontraremos ante un dato anonimizado cuando en ningún caso sea posible la vinculación del dato con la persona a la que hubiese identificado. Es decir, cuando sea imposible volver a identificar a la persona a través de ese dato. Por el contrario, la seudonimizacion se reduce a limitar la trazabilidad entre el conjunto de datos tratados y la persona física cuya identidad queda asociada a estos.

¿Cómo puede llevarse a cabo esta seudonimización?

El proceso de seudonimización consiste en sustituir un atributo por otro en un registro, de tal forma que a pesar de que siga existiendo la posibilidad de vincular a la persona física de manera indirecta con el conjunto de datos origen, se dificulta tal acción.

Es decir, un caso de seudonimización (que no el único posible), sería sustituir el nombre de una persona, o cualquier otro componente identificador, por un código, de manera que no fuera posible atribuir ese código a ninguna persona, salvo que se cuente con información adicional que permita establecer dicha vinculación. Por lo tanto, es de vital importancia para la eficacia de la seudonimización, la custodia de esta información adicional que permite vincular el dato seudonimizado con el titular del mismo.

Por su parte, la complejidad de reversión en este proceso dependerá de las técnicas utilizadas y de los atributos sustituidos. En todo caso, debemos tener en cuenta que una persona aún puede ser identificable a través de un conjunto de datos seudonimizados, por lo que los responsables del tratamiento deberán tomar medidas adicionales y más aún si lo que se pretende es anonimizar los datos, puesto que en estos casos se deberá garantizar que la identificación sea irreversible. Todo dependerá de la finalidad del tratamiento de los datos de carácter personal.

¿Cuáles serían las técnicas de seudonimización más habituales?

Tal y como recoge el Dictamen 05/2014 del Grupo de Trabajo sobre Protección de Datos de Carácter del artículo 29, de 10 de abril de 2014, las técnicas más relevantes serían:

• Cifrado con clave secreta: El poseedor de la clave podrá descifrar el conjunto de datos de carácter personal reidentificando al interesado fácilmente.

• Función hash: Se trata de una técnica más robusta, ya que no es reversible. En este caso se parte de una función que devuelve un resultado de tamaño fijo a partir de un valor de entrada de cualquier tamaño. Eso sí, cabría la posibilidad, en caso de conocer el rango de los valores de entrada de la función hash, de pasar estos valores por la función con el fin de obtener un valor real de un registro determinado.

• Función con clave almacenada: Se trata de un tipo de función hash que hace uso de una clave secreta a modo de valor de entrada suplementario. La ejecución de la función se podría reproducir con el atributo y la clave secreta.

• Cifrado determinista o función hash con clave de borrado de clave: Esta técnica equivaldría a generar un número aleatorio a modo de seudónimo para cada atributo de la base de datos y, posteriormente, al borrado de la tabla de correspondencia.

• Descomposición en tokens: Técnica que reemplaza los números de identificación de tarjetas por valores que son de poca utilidad para aquellos que quieran acceder de forma fraudulenta a los datos personales. Se basa en la aplicación de mecanismos de cifrado unidireccionales, o en la asignación, mediante una función de índice, de un número de secuencia o un número generado aleatoriamente que no derive matemáticamente de los datos originales.

Por lo tanto, la seudonimización es una excelente forma de reducir los riesgos derivados del tratamiento de datos de carácter personal de los interesados afectados y ayudar a los responsables y a los encargados del tratamiento a cumplir con sus obligaciones de protección de los datos.