Seudonimización y separación de identificadores

Seudonimizar es tratar los datos de forma que ya no se puedan atribuir a una persona sin una información adicional, que se guarda aparte y bajo controles propios. Así lo define el artículo 4 del Reglamento General de Protección de Datos europeo, y su considerando 26 saca la consecuencia que más se olvida: los datos seudonimizados siguen siendo datos de una persona identificable, porque alguien puede volver a ella. Anonimizar, en cambio, es que nadie pueda volver a la persona con medios razonables; solo entonces el dato deja de ser personal.

Para el arquitecto, la seudonimización es una medida que reduce el riesgo, no una salida de la ley. Y su fuerza depende de dos cosas que se diseñan: dónde vive y quién alcanza la información adicional (la tabla de correspondencia o la clave), y qué tan identificables son los datos que acompañan al seudónimo.

Si dos destinatarios reciben el mismo seudónimo para la misma persona, sus extractos se pueden vincular: basta con que uno le pase su archivo al otro, o con que se fusionen, o con que uno de los dos sufra una fuga. Lo que cada extracto dice por separado (horas de salida, estaciones, edad, barrio, accidentes) se suma en un perfil más rico y más fácil de reidentificar. Por eso se separan los identificadores por dominio: un seudónimo distinto para cada destinatario o finalidad, que no se pueda traducir de uno a otro sin pasar por quien custodia las tablas.

Revisa seudonimos/extractos.txt y seudonimos/tablas-de-correspondencia.txt.

La separación que pide la definición no es un trámite: si la tabla de correspondencia o la clave están al alcance de quien recibe el extracto, el seudónimo deja de proteger, porque el destinatario puede deshacerlo cuando quiera. Por eso la información adicional vive en otro almacén, con permisos propios, en manos de un equipo que no procesa los extractos, y nunca viaja con ellos.

Lee la columna de dónde se guarda cada tabla y quién puede leerla.

Aunque la tabla esté bien guardada, los campos que acompañan al seudónimo pueden identificar por sí solos. Se llaman cuasiidentificadores: datos que no identifican uno a uno (edad, sexo, barrio, una hora de salida), pero que combinados describen a muy pocas personas. Si una combinación aparece una sola vez en el extracto, quien conozca a alguien con esos rasgos sabe qué fila es la suya y, con ella, todos sus viajes. Contar cuántas filas quedan solas con una combinación es la forma más directa de medir ese riesgo; la idea de exigir que cada combinación se repita al menos k veces se conoce como anonimato k.

Usa seudonimos/muestra-ex-01.txt y agrupa las filas por las tres columnas de la persona: edad, sexo y barrio.

La Secretaría necesita contar viajes por barrio y edad; la aseguradora, revisar la duración de un viaje con accidente; la universidad, estudiar rutas. Ninguno necesita poder cruzar su extracto con el de otro, y ninguno necesita volver a la cédula: eso solo lo hace Pedalia, cuando atiende un reclamo.