En estos tiempos donde la información es poder y la huella digital crece rápidamente, es importante que cada persona pueda tener controlados que, cómo, y quién tiene sus datos personales, decidir hasta cuando los tiene, actualizarlos o solicitar su eliminación completa.
A la hora de abordar técnicamente la protección de datos es necesario tener en cuanta varios aspectos, empezando por conocer el alcance de la ley aplicada y conocer los conceptos definidos hasta que pasos dar hasta conseguir la anonimización de los datos de forma que no existan datos personales identificables.
En cuanto a la ley, el Reglamento General de Protección de Datos (con sus siglas RGPD o GDPR en inglés) ha venido para quedarse. Viene a ser el sucesor de la Ley Orgánica de Protección de datos, aportando cosas importantes como:
Incremento notable en las sanciones: hasta 20 millones de euros o el 4 % de la facturación anual de la empresa infractora.
Derecho de supresión: más conocido como “derecho al olvido”. Como ciudadanos de la unión europea tenemos derecho a que nuestros datos personales sean borrados y dejen de almacenarse si ya no existe una finalidad para conservarlos.
Delegado de protección de datos: las empresas de carácter público o que traten un volumen de datos personales grande deben tener una persona responsable especializada en la protección de datos que verifique el cumplimiento de la ley. Esta persona es el delegado de protección de datos
También hay que tener claro que esto es una normativa de la Unión Europea, por lo tanto, si entregamos nuestros datos personales fuera de este ámbito seguramente acaben en poder de terceros. Es importante tener claro este aspecto a la hora de compartir nuestros datos en otros países en los que el RGPD no aplica.
El fin de este reglamento es la protección de los datos personales de las personas físicas, sobre todo datos referidos a la vida privada de las personas, tal como menciona el considerando 4 de la ley.
Es una normativa de la Unión Europea, por lo tanto, si entregamos nuestros datos personales fuera de este ámbito seguramente acaben en poder de terceros
El RGPD menciona diferentes conceptos importantes para llevar a cabo la protección de los datos:
En primer lugar, ¿qué es un dato de carácter personal?. Es cualquier tipo de dato asociado a una persona física, relativo a su identidad o a su ámbito social, laboral, político, etc. Por ejemplo: el nombre, el correo electrónico, la dirección, el número de teléfono, la foto del DNI, … Todos estos datos son de carácter personal.
Además, dentro de los datos personales hay un subconjunto de datos considerados como datos sensibles, que son los relacionados con: religión, raza, ideología política, afiliación sindical, ideología y pensamiento, datos biométricos, médicos y de salud, orientación sexual…
El RGPD habla de estos dos términos. Intentaré definir de una forma sencilla ambos. Anonimizar un conjunto de datos significa separar la parte de datos personales del resto de forma que los datos no personales no se alteren, manteniendo la misma integridad y contenido que la fuente de datos original.
La anonimización no es un proceso reversible. Este es el aspecto crucial que debemos tener en cuenta. No sería válido reemplazar los nombres de personas en un conjunto de datos encriptándolos. Este proceso sería reversible y se podrían volver a recuperar estos nombres conociendo la contraseña. Además, si se produce una pérdida de datos, el conjunto de información es suficientemente grande, se pueden aplicar mecanismos de ingeniería inversa hasta desencriptar los datos.
Es interesante destacar el concepto K-anonimidad. Aunque un conjunto de datos se haya anonimizado, a veces es posible volver a identificar los datos porque no existe una distribución suficientemente grande para garantizar el anonimato de una persona. La Agencia Española de Protección de Datos (AEPD) publicó un artículo relacionado.
La seudonimización consiste en identificar los datos a través de un “seudónimo”. Por tanto, sería un proceso reversible. Como ejemplo, si encriptamos los datos, estos estarían seudonimizados. El RGPD define que el seudónimo es considerado igualmente como un dato personal por lo que igualmente hace falta aplicar otro tipo de técnica de anonimización.
