K-anonimato: definición, ejemplo práctico y por qué no basta

Qué son los cuasi-identificadores

Un identificador directo señala a una persona por sí solo: nombre y apellidos, DNI, número de historia clínica, correo electrónico. Un cuasi-identificador no identifica aislado, pero sí combinado con otros: fecha de nacimiento, código postal, sexo, profesión, nacionalidad o fecha de ingreso hospitalario. Quitar los identificadores directos no convierte una tabla en anónima si quedan cuasi-identificadores que pueden cruzarse con otra fuente, como un censo, un perfil profesional o una noticia. Ese cruce es la base de la reidentificación de datos.

El resto de columnas suelen ser atributos sensibles (diagnóstico, salario, sanción): justo lo que se quiere analizar y lo que no debe poder atribuirse a nadie.

Cómo se consigue: generalización y supresión

• Generalización: sustituir un valor por otro menos preciso. La edad 34 pasa a «30–39»; el código postal 28014 pasa a «280**»; la fecha de nacimiento completa se reduce al año.
• Supresión: eliminar valores o filas que siguen siendo únicos tras generalizar, por ejemplo el único paciente de 97 años de un municipio pequeño.
• Elección de k: no hay un valor fijado por ley. Cuanto mayor es k, menor es el riesgo y mayor la pérdida de detalle; la decisión depende de dónde se publican los datos y de quién podrá acceder a ellos.

Ejemplo con una tabla ficticia

Partimos de cuatro pacientes ficticios con nombre, código postal, edad, sexo y diagnóstico. Se eliminan los nombres, se generalizan código postal y edad y se suprime el sexo. El resultado es 2-anónimo: cada combinación de cuasi-identificadores aparece dos veces.

Fíjate en las dos últimas filas: nadie puede saber cuál de ellas corresponde a la vecina de 45 años que conoces, pero sí sabes que tiene diabetes, porque ambas comparten diagnóstico. Es el llamado ataque de homogeneidad, y demuestra que el k-anonimato por sí solo no impide revelar información.

l-diversidad y t-cercanía

Para corregir ese fallo se propusieron dos refinamientos. La l-diversidad (Machanavajjhala y otros, 2006) exige que dentro de cada grupo de filas equivalentes haya al menos l valores bien representados del atributo sensible. La t-cercanía (Li, Li y Venkatasubramanian, 2007) va más allá: la distribución del atributo sensible en cada grupo no debe alejarse más de un umbral t de su distribución en toda la tabla, de forma que pertenecer a un grupo apenas revele nada nuevo.

El Grupo de Trabajo del Artículo 29, en su Dictamen 05/2014 sobre técnicas de anonimización, analiza estas tres técnicas como variantes de la generalización y concluye que ninguna es infalible: reducen el riesgo de singularización, pero pueden seguir permitiendo inferencias o la vinculación con otras fuentes.

Límites del k-anonimato

• Depende de qué consideres cuasi-identificador. Si quien ataca conoce un dato que no previste (la profesión, la fecha exacta de un accidente), la garantía desaparece.
• Se degrada con muchas columnas. En tablas con decenas de atributos, formar grupos de k filas obliga a generalizar tanto que los datos pierden utilidad.
• No protege frente a publicaciones sucesivas. Dos versiones k-anónimas de la misma base, difundidas en momentos distintos, pueden cruzarse entre sí.
• No es un sello legal. El RGPD no menciona el k-anonimato; lo que pide su considerando 26 es valorar todos los medios que razonablemente podrían usarse para identificar a alguien.

Tablas frente a documentos de texto libre

El k-anonimato nació para bases de datos y hojas de cálculo con columnas homogéneas. Si trabajas con un listado de pacientes o un registro de expedientes, tiene sentido pensar en clases de equivalencia; en ese caso conviene anonimizar el Excel por columnas y comprobar después qué combinaciones siguen siendo únicas.

En una sentencia, un informe médico o un correo electrónico la situación cambia. No hay columnas: los datos identificativos aparecen mezclados en la narración. Lo decisivo es localizar y eliminar los identificadores directos (nombres, DNI, direcciones, teléfonos, matrículas) y revisar el contexto: cargos únicos, fechas muy concretas, hechos poco frecuentes o referencias que delatan a la persona aunque su nombre esté tachado. Una historia clínica anonimizada que conserva «la única cirujana del hospital comarcal» sigue apuntando a alguien.

Anonimatum está pensado para ese segundo escenario: detecta con IA y patrones nombres, fechas, direcciones, importes y documentos de identidad en PDF, Word, Excel y otros formatos, y permite revisar cada propuesta antes de aplicar un tachado irreversible. Decidir qué detalle de contexto sobra sigue siendo una tarea humana; la herramienta reduce el trabajo mecánico.