Reidentificación: cómo datos «anónimos» vuelven a señalar a alguien

Cuasi-identificadores y ataques de enlace

Un ataque de enlace (linkage attack) combina un fichero «anonimizado» con otro que sí contiene nombres y comparte algunos campos. Si ambos tienen fecha de nacimiento, sexo y código postal, basta unir las filas que coinciden. Esos campos que no identifican solos pero sí juntos se llaman cuasi-identificadores, y son la razón de ser de técnicas como el k-anonimato.

Dos estudios publicados ilustran la magnitud del problema:

• Sweeney (2000), con datos del censo estadounidense de 1990, estimó que alrededor del 87 % de la población de EE. UU. era probablemente única con solo tres datos: código postal de cinco dígitos, sexo y fecha de nacimiento completa.
• Rocher, Hendrickx y de Montjoye (2019), en Nature Communications, desarrollaron un modelo estadístico según el cual el 99,98 % de los estadounidenses se reidentificaría correctamente en cualquier conjunto de datos con 15 atributos demográficos, incluso si solo se publica una muestra.

La conclusión práctica no es que anonimizar sea imposible, sino que quitar el nombre casi nunca basta.

Los tres riesgos del Dictamen 05/2014

El Grupo de Trabajo del Artículo 29 propuso tres preguntas para evaluar cualquier técnica de anonimización. Siguen siendo la referencia de las autoridades europeas, incluida la AEPD:

• Singularización: ¿se puede aislar el registro de una persona dentro del conjunto? Si un expediente es el único de una mujer de 61 años en un pueblo, está singularizado aunque no lleve nombre.
• Vinculabilidad: ¿se pueden enlazar al menos dos registros de la misma persona, en el mismo conjunto o en conjuntos distintos? Un identificador seudónimo estable entre publicaciones lo permite.
• Inferencia: ¿se puede deducir con probabilidad significativa el valor de un atributo a partir de otros? Si todos los trabajadores de un departamento tienen la misma sanción, se infiere la de cada uno.

Riesgos específicos en documentos

En sentencias, informes, actas o correos el riesgo no está en columnas, sino en el texto y en el propio fichero. Estos son los descuidos más frecuentes:

Los metadatos merecen mención aparte: autor, organización, historial de revisiones, comentarios o nombres de archivo viajan con el documento aunque nadie los vea en pantalla. Lo mismo ocurre con las capas de texto ocultas de un PDF escaneado con OCR.

Cómo reducir el riesgo de reidentificación

• Define quién podría intentar la reidentificación (un vecino, un periodista, un empleador) y qué información adicional tendría a mano.
• Elimina primero los identificadores directos y después revisa el contexto: cargos, fechas, lugares y hechos singulares.
• Comprueba que el tachado es irreversible y que no queda texto bajo las marcas negras.
• Limpia metadatos, comentarios y control de cambios.
• Si publicas el mismo tipo de documento con regularidad, evita códigos o seudónimos estables que permitan vincular publicaciones.

Con Anonimatum puedes anonimizar un PDF, un Word o un correo con adjuntos detectando con IA y patrones nombres, fechas, direcciones, importes, firmas y sellos digitales y códigos QR, revisar cada propuesta y aplicar un tachado irreversible. La herramienta también permite eliminar los metadatos del PDF. La revisión del contexto sigue necesitando criterio humano.