Minimizar, seudonimizar y enmascarar

El RGPD define la seudonimización (art. 4.5) como tratar los datos de forma que no puedan atribuirse a una persona sin información adicional, que se guarda aparte y protegida. Y el considerando 26 aclara que los datos seudonimizados siguen siendo personales, porque con esa información adicional se puede volver a la persona. Solo la anonimización, cuando ya no es posible identificar a nadie con medios razonables, saca el dato del alcance de la norma.

El principio de minimización (RGPD art. 5.1.c; la LGPD lo llama necesidad) pide que los datos sean adecuados, pertinentes y limitados a lo necesario para la finalidad. La pregunta no es «¿qué podría servir algún día?», sino «¿qué usa hoy este informe?». Cada campo de una exportación debe poder justificarse con un uso concreto.

Abre encargo-analitica.txt y campos-exportados.txt. Cada informe usa unos campos. Si un campo viaja y ningún informe lo usa, la exportación pone en riesgo un dato sin ningún beneficio: es la parte más barata de arreglar, porque basta quitarlo.

Un resumen calculado con una función pública y sin clave ni sal es siempre el mismo para el mismo valor. Quien tenga una lista de correos candidatos puede calcular sus resúmenes y compararlos: el espacio de correos reales es pequeño frente al de un secreto aleatorio. Es seudonimización débil: sirve para unir tablas, pero no para decir que el correo está protegido. Un resumen con clave guardada aparte, o un código aleatorio con tabla de equivalencias, protege mejor.

Aunque se quiten los identificadores directos, lo que queda puede reidentificar. Una regla de medida simple, la de k-anonimato, pide que cada combinación de cuasi-identificadores la comparta al menos k personas. Una fila cuya combinación es única (k = 1) es la más fácil de señalar. En la muestra, agrupa por código postal de tres dígitos, año de nacimiento y sexo, y cuenta las filas que están solas en su grupo.