Anonimización de datos sanitarios

No. Suprimir los identificadores directos, como el nombre o el DNI, no anonimiza los datos, porque la reidentificación llega sobre todo por el cruce de cuasi-identificadores. Aplica a cualquier extracción sanitaria que se quiera difundir o compartir, donde variables aparentemente inocuas, como la edad, el código postal, la fecha de un ingreso o un diagnóstico poco frecuente, bastan en combinación para señalar a una persona. El marco parte de los tres ataques de reidentificación, la singularización, la vinculación y la inferencia, y prescribe, para cada tipo de petición, qué variables hay que tratar y hasta qué umbral. Quitar el identificador directo es solo el primer gesto; la combinación de cuasi-identificadores es el vector real, y es el que un marco formal acota de forma medible. Anonimizar es un problema de combinaciones, no de borrar una columna.

El k-anonimato es una propiedad formal que exige que cada combinación de cuasi-identificadores se repita en al menos k individuos, de modo que ninguno sea único por esa combinación. Aplica al tratamiento de microdatos sanitarios, donde el riesgo de singularización es alto. Sobre esa base, la l-diversidad añade una condición sobre las variables sensibles: que dentro de cada grupo haya suficiente variedad para que pertenecer al grupo no revele el atributo sensible. El umbral concreto de k y de l no es universal: corresponde a cada clase de petición según su uso y su granularidad, y se fija en el árbol de decisión. Conviene un límite: estos modelos acotan el riesgo de forma medible, no lo anulan, y su garantía depende de qué variables se traten como cuasi-identificadores. Lo que aportan es una garantía formal y verificable sobre el riesgo asumido, no una promesa de imposibilidad absoluta.

No necesariamente: el objetivo del marco es acotar el riesgo de reidentificación preservando la utilidad analítica, eligiendo la técnica por tipo de salida en lugar de aplicar una sola a todo. Aplica cuando se teme que anonimizar deje los datos inservibles para el análisis previsto. Para microdatos se usan generalización jerarquizada, supresión, microagregación o desplazamiento de fechas con los umbrales de k-anonimato y l-diversidad que correspondan; para agregados publicables, la privacidad diferencial limita lo que un tercero podría inferir, manteniendo utilidad cuando el nivel de ruido es compatible con el uso previsto. La clave es que el modelo se elige por el tipo de salida y el uso previsto, no se impone uno único que arruine el resto. Hay un compromiso real entre privacidad y utilidad, y el marco lo gestiona de forma explícita y documentada, no a ciegas. Se busca el tratamiento que protege a las personas sin destruir la pregunta de investigación.

Ese cruce es un riesgo real, y se reduce con pseudonimización por instancia: un pseudónimo distinto en cada extracción que impide enlazar las salidas de un mismo individuo entre entregas. Aplica a cualquier organización que difunde datos de forma recurrente desde un mismo registro o sistema. Un pseudónimo estable entre entregas, el mismo código para la misma persona en todas las extracciones, permitiría reconstruir su trayectoria completa cruzando salidas, aunque cada una por separado pareciera segura. Generar un pseudónimo distinto por instancia rompe el enlace directo por identificador entre entregas; se implementa de forma reproducible mediante derivación con HMAC, de modo que el proceso sea consistente y reejecutable. El límite: esto protege frente al cruce entre extracciones, no sustituye al tratamiento de cuasi-identificadores dentro de cada una. Es la pieza que evita que la difusión repetida deshaga la anonimización de cada entrega.

No se ofrece una garantía de cumplimiento del RGPD ni una validación jurídica de la anonimización, porque esa es una valoración legal que corresponde a otro ámbito. Lo que se diseña es el marco metodológico: la clasificación de peticiones, los modelos de privacidad formales, los umbrales verificables y el checklist previo a la entrega que da garantías formales sobre el riesgo de reidentificación. Aplica precisar este límite porque "anonimización" tiene una lectura jurídica además de la técnica, y conviene no confundirlas. La robustez efectiva del resultado depende también de cómo el cliente implante y mantenga el proceso en su entorno: ADI diseña el protocolo y analiza el riesgo; la organización posee los datos, los difunde y opera el marco. Lo que se entrega es una evaluación metodológica trazable y verificable del riesgo asumido, no un dictamen de conformidad normativa.

No se garantiza irreversibilidad absoluta, porque ningún marco serio de anonimización puede prometer que la reidentificación sea imposible en cualquier circunstancia futura. Aplica a toda difusión de datos sanitarios, donde el riesgo se gestiona y se acota, no se elimina por completo. Lo que el marco hace es cuantificar y limitar ese riesgo de forma medible: los umbrales de k-anonimato y l-diversidad acotan la singularización y la vinculación, la privacidad diferencial limita la inferencia sobre agregados, y el checklist bloquea lo que no alcanza el umbral antes de la entrega. El riesgo residual depende también de los datos auxiliares que un tercero pueda tener y del contexto futuro de disponibilidad de información. Por eso se habla de garantías formales sobre el riesgo asumido, con sus supuestos explícitos, no de imposibilidad de reidentificación. Anonimizar bien es acotar el riesgo a un nivel conocido y justificado, no prometer un imposible.

La anonimización de datos sanitarios se utiliza cuando el objetivo es difundir o compartir datos reduciendo el riesgo de que se reidentifique a las personas, tratando cuasi-identificadores y variables sensibles. La trazabilidad y el marcado forense encajan cuando lo que se busca es poder identificar el origen de una filtración o demostrar la procedencia de una extracción, marcando los datos de forma que cada copia sea atribuible. Son secuenciales y complementarios, ya que una organización puede anonimizar para difundir y, además, marcar cada entrega para rastrear su origen, pero no responden a la misma pregunta: la anonimización protege a las personas frente a la reidentificación; el marcado forense protege a la organización frente a la difusión no autorizada. Pueden contratarse por separado o como un proceso encadenado, según la necesidad.

Se entrega el marco metodológico de anonimización: la clasificación de peticiones por uso y granularidad, los árboles de decisión que prescriben técnicas y umbrales para cada clase, los modelos de privacidad formales aplicados según el tipo de salida y el checklist de validación previa a la entrega. El reparto es deliberado: ADI diseña el protocolo, define los umbrales y analiza el riesgo; la organización posee los datos, los difunde y opera el marco en su día a día. El protocolo se diseña para ser reproducible y verificable, ya que las categorías, los árboles y el checklist quedan documentados, de modo que el tratamiento aplicado a cada entrega pueda revisarse, mantenerse y reejecutarse sin ambigüedad. Lo que se entrega no es una extracción anonimizada suelta, sino un marco reproducible para aplicar tratamientos consistentes ante la misma clase de petición.