Cómo anonimizar un Excel sin que los datos se puedan reconstruir

Identificadores directos y cuasi identificadores

En datos tabulares conviene separar dos tipos de columnas. Los identificadores directos (nombre, DNI o NIE, correo, teléfono, número de la Seguridad Social, IBAN) señalan a una persona por sí solos y casi siempre deben eliminarse o sustituirse. Los cuasi identificadores (fecha de nacimiento, código postal, puesto, sexo, fecha de alta) parecen inofensivos uno a uno, pero combinados pueden apuntar a una sola fila: en un municipio pequeño, «jefa de servicio, nacida en 1971, código postal 28XXX» puede ser una única persona.

A esto se suma una tercera categoría que suele olvidarse: las columnas de texto libre como Observaciones, Motivo o Comentarios, donde aparece de todo, desde el nombre de un familiar hasta un diagnóstico. Esas celdas no se pueden tratar como un dato único; hay que leerlas y detectar los datos personales que contengan.

Decide qué hacer con cada columna

La pregunta para cada columna es la misma: ¿la necesita quien va a recibir el fichero? Si no la necesita, se elimina. Si la necesita para cruzar datos pero no para saber quién es, se seudonimiza. Si la necesita tal cual y no identifica, se deja. Este principio de minimización de datos resuelve la mayoría de las dudas antes de entrar en técnicas.

Lo que no se ve en una hoja de cálculo

• Hojas ocultas y muy ocultas. Una hoja oculta no aparece en las pestañas, pero sus datos siguen en el fichero; las hojas marcadas como «muy ocultas» desde VBA ni siquiera se listan en Mostrar.
• Filas y columnas ocultas o filtradas. Ocultar la columna DNI o filtrar filas no las borra: cualquiera puede volver a mostrarlas.
• Fórmulas. Una celda puede mostrar un total y hacer referencia a una hoja oculta con nombres, o a otro libro externo cuya ruta revela nombres de carpetas o usuarios.
• Cachés de tablas dinámicas. Una tabla dinámica guarda una copia de los datos de origen; aunque borres la hoja de origen, hacer doble clic en un valor puede reconstruir las filas de detalle.
• Comentarios, notas y propiedades del libro, con autores, fechas y rutas.
• Gráficos y nombres definidos que apuntan a rangos con datos personales.

La herramienta Inspeccionar documento de Excel localiza hojas, filas y columnas ocultas, comentarios y propiedades, pero no decide por ti qué hacer con cada columna visible. Para tablas dinámicas, lo más seguro es convertirlas en valores o eliminarlas antes de compartir; para fórmulas que apuntan a datos que vas a eliminar, valora pegar los resultados como valores.

Quitar los nombres no basta: el riesgo de reidentificación

En datos tabulares, el riesgo real no está en una celda sino en la combinación de columnas. El k-anonimato mide precisamente eso: un conjunto es k-anónimo si cada combinación de cuasi identificadores se repite al menos en k filas. La nota técnica de la AEPD sobre k-anonimidad lo presenta como una forma de gestionar el riesgo de reidentificación, no como una garantía absoluta: un grupo de k filas que comparten el mismo dato sensible sigue revelándolo.

En la práctica: generaliza (año en lugar de fecha, provincia en lugar de código postal), agrupa categorías con pocos casos, suprime filas únicas cuando no aporten y evalúa el riesgo antes de publicar. Una herramienta puede censurar o sustituir columnas, pero la decisión de si el conjunto resultante es anónimo depende del contexto y de quién lo va a recibir.

Seudonimizar con coherencia

Si el destinatario necesita seguir a una misma persona entre filas, hojas o ficheros (por ejemplo, las nóminas de enero y febrero), la sustitución debe ser coherente: el mismo DNI siempre se convierte en el mismo sustituto. Si la columna DNI funciona como clave entre la hoja Personal y la hoja Nóminas, ambas deben recibir el mismo valor para que los cruces sigan funcionando. Recuerda que los datos seudonimizados siguen siendo datos personales y que el mapa de equivalencias debe guardarse aparte y protegido. Más detalle en seudonimización de documentos.

Cómo hacerlo con Anonimatum

Desde la versión 1.9.0, Anonimatum trata las hojas de cálculo columna a columna en .xlsx, .xls, .ods y .csv: sugiere el tipo de dato de cada columna y eliges dejar, censurar, sustituir, seudonimizar o detectar en el texto (útil para columnas de observaciones). El resultado sale en el mismo formato, con sus hojas, su formato y sus fórmulas. Cada 50 filas consumen 1 página de cupo, de modo que un listado de 2.000 filas equivale a 40 páginas.

Para mantener la coherencia entre ficheros, el mapa compartido de un expediente hace que el mismo dato reciba el mismo sustituto en todos sus documentos. Si trabajas con nóminas, la página sobre anonimizar nóminas en PDF y Excel recoge los casos típicos.