Qué es la anonimización de datos y por qué a veces falla

Cada vez más empresas, administraciones e investigadores utilizan grandes volúmenes de información para mejorar servicios, detectar fraudes o entrenar modelos de inteligencia artificial. Para reducir los riesgos, recurren a la anonimización de datos. Sin embargo, eliminar nombres y direcciones no siempre basta: en determinadas circunstancias, una persona puede volver a ser identificada.

¿Qué significa anonimizar datos?

La anonimización consiste en transformar un conjunto de datos para que no sea posible identificar, directa o indirectamente, a las personas a las que pertenece. Si el proceso es realmente irreversible y no existe una forma razonable de vincular los datos con una persona, la información deja de considerarse un dato personal a efectos del Reglamento General de Protección de Datos (RGPD).

La diferencia entre anonimización y seudonimización es fundamental. Al seudonimizar, se sustituyen identificadores como el nombre o el correo electrónico por un código. No obstante, si la organización conserva la tabla que relaciona ese código con la identidad real, los datos pueden volver a atribuirse a una persona. Por eso, la seudonimización mejora la seguridad, pero no elimina las obligaciones del RGPD.

Técnicas habituales de anonimización

• Supresión: se eliminan datos directamente identificativos, como el nombre, el DNI, el teléfono o la dirección exacta.
• Generalización: se reduce la precisión de la información. Por ejemplo, se publica únicamente la provincia en lugar de la dirección o un rango de edad en vez de la fecha de nacimiento.
• Agregación: se muestran estadísticas de grupos, no registros individuales, como el número de usuarios por ciudad.
• Enmascaramiento y perturbación: se ocultan partes de un valor o se añade ruido controlado para dificultar la identificación.
• Privacidad diferencial: se incorpora ruido matemáticamente calibrado para que la presencia o ausencia de una persona tenga un impacto mínimo en los resultados publicados.

Por qué la anonimización puede fallar

El principal problema es que los datos aparentemente anónimos pueden combinarse con otras fuentes. Un código postal, una fecha de nacimiento y el sexo quizá no identifiquen a alguien por separado, pero juntos pueden describir a una persona concreta. Además, bases de datos públicas, redes sociales, registros de propiedad, aplicaciones y filtraciones ofrecen cada vez más información para realizar una reidentificación.

También existe el riesgo de los datos únicos. Una trayectoria de ubicación, una combinación poco frecuente de compras o un horario de desplazamientos pueden actuar como una huella digital. Aunque no aparezca el nombre, la singularidad del patrón puede revelar quién está detrás.

Otro fallo frecuente es confundir anonimización con la simple eliminación de identificadores. Quitar el correo electrónico no resuelve el problema si se mantienen coordenadas GPS precisas, marcas de tiempo exactas, identificadores de dispositivo o datos biométricos. En el caso de la biometría, además, una contraseña puede cambiarse, pero una cara, una voz o una huella dactilar no se pueden sustituir con facilidad.

El contexto también cambia el riesgo

La seguridad de un conjunto anonimizado depende de quién pueda acceder a él y de qué información adicional esté disponible. Un archivo que parece seguro para el público general podría ser fácilmente identificable por una empresa que ya posee historiales de clientes. Por este motivo, no basta con evaluar los datos de forma aislada: hay que considerar el contexto, los posibles atacantes y la evolución futura de las fuentes de información.

Cómo se puede medir la protección

Algunas organizaciones aplican modelos como el k-anonimato, que exige que cada registro sea indistinguible de al menos otros k-1 registros respecto a ciertos atributos. Sus variantes, como la l-diversidad y la t-proximidad, intentan evitar que, aun dentro de un grupo, se deduzca un atributo sensible.

Estas métricas son útiles, pero no garantizan por sí solas el anonimato. Pueden fallar ante ataques que aprovechen información externa, valores atípicos o correlaciones entre columnas. La privacidad diferencial ofrece garantías matemáticas más sólidas, aunque puede reducir la precisión de los resultados y requiere conocimientos técnicos para elegir correctamente sus parámetros.

Buenas prácticas para anonimizar de forma responsable

• Define antes de empezar qué riesgo de identificación es aceptable y quién podría atacar los datos.
• Recoge únicamente la información necesaria y reduce la precisión temporal, geográfica y demográfica cuando no sea imprescindible.
• Separa los datos identificativos de los analíticos y protege cualquier tabla de correspondencia con cifrado, controles de acceso y registros de actividad.
• Prueba la reidentificación con equipos independientes y escenarios realistas, también utilizando fuentes públicas.
• Revisa periódicamente el conjunto: lo que hoy parece anónimo puede dejar de serlo cuando aparezcan nuevas bases de datos o técnicas de análisis.
• Evita publicar muestras pequeñas, valores atípicos y combinaciones de atributos que puedan singularizar a una persona.
• Documenta el proceso y realiza una evaluación de impacto en protección de datos cuando exista un riesgo elevado.

Qué puede hacer un usuario para protegerse

La anonimización no depende solo de las empresas. Conviene limitar los permisos de ubicación, revisar qué aplicaciones acceden a contactos o sensores y evitar publicar rutinas fácilmente reconocibles. Una VPN como Mullvad, ProtonVPN, NordVPN, Surfshark o ExpressVPN puede ocultar la dirección IP frente al proveedor de internet y reducir el rastreo basado en la red, pero no anonimiza una cuenta, una cookie, un identificador publicitario ni los datos que el usuario entrega voluntariamente.

Para mejorar la privacidad, combina la VPN con navegadores que bloqueen rastreadores, autenticación multifactor, contraseñas únicas y una revisión periódica de la configuración de privacidad. Sobre todo, recuerda que anonimizar no significa borrar mágicamente toda posibilidad de identificación: es un proceso técnico que debe evaluarse continuamente frente a los datos disponibles y a las capacidades de quienes puedan analizarlos.