Seudonimización y anonimización: ¿en qué se diferencian?

Seudonimización y anonimización: ¿en qué se diferencian? La AEPD (Asociación Española de Protección de datos) nos advierte de las confusiones producidas en relación con la anonimización y seudonimización. A continuación, vamos a ver la definición de ambos conceptos y vamos a verlos detenidamente:

• Anonimización: La información anónima es un conjunto de datos que no guarda relación con una persona física identificada o identificable (Considerando 26 del RGPD.

• Seudonimización: La información seudonimizada es un conjunto de datos que no puede atribuirse a un interesado sin utilizar información adicional, requiere que dicha información adicional figure por separado y, además, esté sujeta a medidas técnicas y organizativas destinadas a garantizar que los datos personales no se atribuyan a una persona física identificada o identificable (Artículo 4.5).

Vamos a explicar esto más detalladamente.

La primera de sus diferencias radica en que los datos anonimizados no están bajo el ámbito de aplicación del Reglamento General de Protección de Datos (RGPD). Sin embargo, los datos seudonimizados sí lo están.

En ambos casos, transformar un conjunto de datos personales en información anónima o seudonimizada exige realizar un tratamiento sobre dichos datos personales.

El tratamiento de anonimización genera un único y nuevo conjunto de datos, mientras que el tratamiento de seudonimización genera dos nuevos conjuntos de datos: la información seudonimizada y la información adicional que permite revertir la anonimización.

 

Datos anonimizados

La AEPD nos advierte que los datos anonimizados no están bajo el ámbito de aplicación del Reglamento General de Protección de Datos (RGPD)  aunque pudiera estar bajo el ámbito de aplicación de otras normas (por ehemplo de seguridad nacional, salud pública, infraestructuras críticas, etc.).

No obstante hay que tener en cuenta lo siguiente:

• El tratamiento que generan los datos anonimizados sí es un tratamiento de datos personales, que puede considerarse compatible con el fin original del tratamiento de datos personales del que proceden los datos

• El conjunto de datos anonimizados queda fuera del ámbito de aplicación del RGPD en la medida que es posible demostrar objetivamente que no existe capacidad material para asociar los datos anonimizados a una persona física determinada, directa o indirectamente, ya sea mediante el uso de otros conjuntos de datos, informaciones o medidas técnicas y materiales que pudieran existir a disposición de terceros.

Esto significa que los datos se darán por anonimizados en tanto en cuanto no haya una probabilidad razonable que alguien pueda identigicar a la persona física en el conjunto de datos.

 

Datos seudonimizados: 4 tipos de garantías que los protegen

Los datos seudonimizados, y la información adicional vinculada con dicho conjunto, están bajo el ámbito de aplicación del RGPD, así como el tratamiento que los genera. De ahí que el conjunto de datos seudonimizados esté protegido por 4 tipos de garantías:

• El propio tratamiento de seudonimización que ha de evitar la reidentificación sin contar con la información adicional.

• Los principios y garantías del RGPD que establecen limitaciones, entre otras cosas, a las finalidades, el periodo de conservación o la comunicación de los datos seudonimizados.

• Las garantías adicionales que incorpore el tratamiento de los datos seudonimizados según el riesgo para los derechos y libertades de las personas físicas.

• Las garantías técnicas y organizativas dispuestas al efecto de impedir la materialización de brechas de datos personales, tanto sobre conjunto seudonimizado como de la información adicional

 

Datos anonimizados

Desde la óptica del RGPD, solo hay que tener en cuenta la robustez del proceso de anonimización contra la posible reidentificación.

Cuando el conjunto de datos está anonimizado, ya no hay obligación de implementar los otros tres conjuntos de garantías, al menos desde el punto de vista de la normativa de protección de datos.

Sin embargo, seguirán siendo aplicables garantías que se pudieran derivar de otra normativa (ver apartado 2.2.3 del Dictamen 5/2014) y se podrían establecer limitaciones al tratamiento (por ejemplo,: a través de condiciones incorporadas en licencias de uso de la información anonimizada).

 

Derechos y libertades de los interesados

Han de estar protegidos tanto en los tratamientos de anonimización como en los procesos de seudonimización.

Si bien sobre los datos anonimizados no será preciso atender a los requisitos establecidos por el RGPD en cuanto a la limitación del tratamiento, la conservación de los datos, las comunicaciones y las transferencias internacionales, o las medidas para proteger la confidencialidad.

Teniendo en cuenta que sobre el conjunto de datos anonimizados no será preciso atender a los requisitos establecidos por el RGPD en cuanto a la limitación del tratamiento, la conservación de los datos, las comunicaciones y las transferencias internacionales, o las medidas para proteger la confidencialidad, se han de diseñar y validar los tratamientos de anonimización pensando en la protección de los derechos antes señalados. Esto exige poder demostrar un nivel objetivo de calidad en el tratamiento de anonimización y aconseja determinar cómo evoluciona el riesgo de reidentificación a lo largo del tiempo.

En cualquier caso, la reversión de la anonimización supone la plena aplicación del RGPD a los sujetos obligados que traten los datos personales.

 

¿Te han quedado dudas? Somos expertos en LOPD y RGPD, nosotros te asesoramos.

Si tienes alguna duda sobre tener en cuenta esto en tu negocio, no dudes en contactar con nosotros. Somos expertos en Ley Orgánica de Protección de Datos y en Reglamento General de Protección de datos.