Comprenda todo sobre la seudonimización

Nuestros artículos siguen nuestros episodios d’1min para entenderlo todo. Se trata de vídeos cortos durante los cuales nuestros abogados expertos en protección de datos personales le ofrecen definiciones sencillas de conceptos clave del Reglamento General de Protección de Datos de Carácter Personal (RGPD) y le dan ejemplos concretos. Síguenos en LinkedIn ¡para que no te pierdas ninguna noticia!  

Hoy abordamos el concepto de elaboración de perfiles. Ponte cómodo, ¡te lo explicaremos todo en 5 minutos!  

 ¿qué es la seudonimización?  

Artículo 4, apartado 5, del RGPD define la seudonimización como una tratamiento de datos personales de tal manera que ya no puedan atribuirse a un interesado específico sin el uso de información adicional, siempre que dicha información adicional se mantenga separada y sujeta a medidas técnicas y organizativas para garantizar que los datos personales no se atribuyan a una persona física identificada o identificable.  

Me gusta l’anonimización, del que hablamos la semana pasada, es un proceso que limita las posibilidades de identificar a la persona cuyos datos se procesan. La seudonimización consiste en sustituir datos directamente identificativos por datos no identificativos. A diferencia de la anonimización, la seudonimización es un proceso reversible y los datos conservan un carácter personal. Por tanto, los datos seudonimizados siguen sujetos al RGPD.    

El objetivo de la seudonimización es dejar de poder asignar datos a una persona sin información adicional. Para reidentificar a la persona se deberá realizar una referencia cruzada de datos. Esto permite al responsable del tratamiento procesar datos sin que los interesados sean directamente identificables.  

Existen diferentes métodos de seudonimización. Según elDirectrices del G29 sobre técnicas de anonimización (2014), los más utilizados son:  

• El sistema de criptografía de clave secreta,  
• La función hash,  
• La función hash de clave con clave guardada,  
• Función de cifrado determinista o hash de claves con eliminación de claves,  
• Tokenización.  

Dado que la seudonimización es reversible, la individualización, la correlación y la inferencia siguen siendo posibles. De hecho, la identidad de la persona está vinculada a un atributo como un seudónimo, por lo que puede identificarse fácilmente.      

 ¿cómo seudonimizar datos?   

El siguiente ejemplo es un modelo de seudonimización simplificado. Su objetivo es explicar de forma clara y comprensible todo el proceso de seudonimización. Cada organización debe determinar la técnica más adecuada para seudonimizar sus datos. Como recordatorio, la seudonimización no ofrece las mismas garantías que la anonimización.  

El método más revelador es la hipótesis en la que el responsable del tratamiento sustituye datos como el nombre y el apellido por un seudónimo. Este es el caso, por ejemplo, cuando una organización asigna un número a sus empleados. A continuación se muestra una muestra de los datos disponibles para el departamento de RRHH de una empresa:  

Para seudonimizar los datos, el responsable del tratamiento puede proceder de la siguiente manera: determinar los datos a ocultar y luego establecer un medio eficaz para llevar a cabo la operación de seudonimización. Así, para asignar un número, el responsable del tratamiento puede determinar una clave para complicar la identificación de las personas. Por otro lado, la persona que tiene la clave puede reidentificar fácilmente a las personas afectadas. El conjunto de datos seudonimizados podría verse así:  

Archivo 1:  

Archivo 2:

En este ejemplo, el número de registro se asignó aleatoriamente. Para que el proceso sea lo más eficiente posible, la persona que accede al archivo 2 no debe acceder al archivo 1.  

 Data Comply One (anteriormente Mission RGPD) y seudonimización  

En cada uno de nuestros episodios d’1min para entender todo presentamos características de Data Comply One (anteriormente Mission GDPR). Es una plataforma completa y fácil de usar, permite, entre otras cosas, centralizar todos los documentos y procesos esenciales para cumplir con las obligaciones establecidas por el RGPD.    

Entre los módulos automatizados de la plataforma, Data Comply One (anteriormente Mission RGPD) ofrece un registro de procesamiento automatizado. En cada hoja de procesamiento, documente las medidas implementadas para garantizar la seguridad de los datos, ¡por ejemplo, la seudonimización! Agregue como archivo adjunto el documento que detalla este proceso. En caso de inspección, ¡encuentre fácilmente los documentos necesarios y los enlaces que los conectan entre sí!