Saltar al contenido

Ser Anónimo en la Red. Una Perspectiva desde la Privacidad. A cargo de Laura Cánovas.

AD+

SER ANÓNIMO EN LA RED. Una perspectiva desde la privacidad.

 

“Hides your IP address. Hides your location. Hides if you open emails.”

“Esconde tu dirección IP. Esconde tu localización. Esconde si abres los emails”.

        Con este slogan anunciaba Apple el pasado mes de agosto la nueva actualización de su Política de Privacidad, que vendrá incorporada en las nuevas actualizaciones de IOS. Ya el pasado mes de abril se anunciaron cambios que otorgaban una mayor transparencia y control a los usuarios sobre las aplicaciones que realizan seguimientos con fines publicitarios; entre otras cosas, permitía la aparición de un pop-up mediante el cual podías elegir si ofrecer o no tu consentimiento en los casos en los que una aplicación quisiera utilizar tu dirección IP para fines publicitarios.

Pero, entonces, ¿son la dirección IP o mi localización datos personales amparados por la normativa de protección de datos?

Para que un dato personal sea objeto de protección es necesario, además de que se refiera a una persona física, que identifique a tal persona o la haga identificable. Es decir, la información debe poder vincularse a una persona para que se considere que hay tratamiento de datos personales sometidos a la normativa.

¿Cuándo se considera que una persona es identificable? Se considera identificable aquella persona cuya identidad pueda determinarse, directa o indirectamente, mediante cualquier información referida a su identidad física, fisiológica, psíquica, económica, cultural o social. En el caso de que este proceso de identificación requiera de procedimientos o plazos desproporcionados, no se considerará “identificable”. Esta desproporción deberá analizarse en función de factores objetivos (como por ejemplo el coste o el tiempo) así como la tecnología de la que se dispone en el momento del tratamiento.

Existen, en consecuencia, dos tipos de datos personales: los identificadores directos y los identificadores indirectos.

  • Identificadores directos: es la información específica que puede atribuirse a un individuo, como su nombre o un número de identificación; sin ningún procedimiento, se asocia un dato con una persona en concreto.
  • Identificadores indirectos (también denominados cuasi-identificadores): es cualquier dato que podría utilizarse, ya sea de forma individual o combinada con otros cuasi-identificadores, por alguien que posea conocimientos sobre ese individuo con el fin de reidentificarse en el conjunto de los datos. Es decir, no se asocia directamente un dato a una persona, sino que debe realizarse una identificación cruzada. Por ejemplo, a través de información de otras bases de datos, de las redes sociales, de la situación geográfica en un momento determinado o utilizando seudónimos, entre otros, es posible identificar a una persona.

Aquí entra en juego el procedimiento de seudonimización, una medida expuesta por la propia normativa de protección de datos dirigida a garantizar el principio de minimización de los datos. Aquí, los datos se tratan de tal forma que no pueden atribuirse a un interesado sin utilizar información adicional, siempre que esta información aparezca por separado y esté sujeta a medidas técnicas y organizativas que garanticen que los datos personales no se atribuyan a una persona identificada o identificable. El cifrado de los datos sería un ejemplo de técnica de seudonimización.

La distinción entre identificadores directos e indirectos se utiliza en la propia normativa de protección de datos. Más concretamente, en el considerando 26 del RGPD se señala que los principios de la protección de datos se aplican a toda la información relativa a una persona física identificada o identificable, y, en consecuencia, no se aplican a la información anónima, es decir, a la información que no guarda relación con una persona física identificada o identificable, ni a los datos convertidos en anónimos de forma que el interesado no sea identificable, o deje de serlo.

Entonces, ¿la ocultación de mi dirección IP o de mi localización me pueden convertir en anónimo en la red?

 La anonimización, desde el punto de vista de la protección de datos, es el proceso mediante el cual los datos personales se convierten en anónimos, es decir, que los datos personales que se someten a este tipo de procedimiento dejan de ser identificables y, en consecuencia, de estar sometidos a los principios de protección de datos. A diferencia de lo que ocurre con la seudonimización -mencionada anteriormente- donde los datos continúan sujetos a la normativa, en el procedimiento de anonimización sí que se suprime (o se intenta suprimir al máximo) la vinculación con los datos que permitan asociarlos con una persona en concreto.

La finalidad del proceso de anonimización de los datos es doble. Por un lado, se persigue la eliminación o reducción al mínimo de los riesgos de reidentificación de los datos anonimizados; y por otro lado, se busca mantener la veracidad de los resultados de tratamiento de los mismos.

Ya hemos mencionado anteriormente -en lo referente a los identificadores indirectos- el término de reidentificación. Ahora bien, ¿Qué se entiende por “reidentificación”? Hace referencia a la probabilidad de que se reidentifique a un individuo en un conjunto de datos determinado, convirtiendo datos anonimizados en datos personales utilizando la comparación de datos u otras técnicas. Tal y como afirma el Comité Europeo de Protección de Datos, reducir al máximo el riesgo de reidentificación es prácticamente imposible, por lo que lo relevante será determinar el umbral específico del riesgo por encima del cual los datos no se considerarán anonimizados. Este umbral deberá ser considerado individualmente por cada organización atendiendo a la naturaleza de los datos, el contexto, los fines del tratamiento, el riesgo asumido, la comunicación de los datos (comunicación interna o comunicación al público), etc. En consecuencia, la mera ocultación de la dirección IP -en el caso de que el responsable del tratamiento posea más datos personales que puedan vincularse- no suprime el riesgo de reidentificación, por lo que no estaríamos ante un procedimiento de anonimización (no seríamos “anónimos”) y, por lo tanto, nuestros datos seguirían sujetos a los principios de protección de datos.

Como no podía ser de otra forma, la tecnología también ha impactado en este contexto, permitiendo automatizar los procesos de anonimización de los datos. Sin embargo, es importante tener presente el concepto de reidentificación mencionado, ya que aquellos procedimientos que permiten identificar y eliminar los identificadores directos de los datos -lo que se conoce como proceso de enmascaramiento– son los que actualmente se han automatizado. Sin embargo, como ya hemos apuntado, existen identificadores indirectos que determinarán en gran medida el riesgo de reidentificación de los datos. Este tipo de identificadores requieren de la intervención humana para su identificación y, en su caso, eliminación. Por lo tanto, un buen proceso de anonimización no puede ser enteramente automatizado.

Es importante apuntar que los datos anónimos no implican que pierdan su utilidad, la cual dependerá del riesgo de reidentificación que haya sido aceptado por la organización, sino que esos datos ya no se considerarán datos personales y no estarán sujetos a los principios de la normativa de protección de datos.

En consecuencia, es más importante determinar el grado de reidentificación de los datos que si estos han sido o no anonimizados, respecto al ámbito de aplicación de la normativa.

Una vez concluido el proceso de anonimización de los datos, no finalizan las obligaciones del responsable del tratamiento para con los interesados. Se vuelve imprescindible que, tras el proceso, se tomen medidas que garanticen la privacidad de los interesados, tales como auditorías en las que se verifique el uso de la información, procedimientos de destrucción de la información, etc. Es decir, el proceso de anonimización se adopta desde la perspectiva de la privacidad desde el diseño (privacy by design).

Para finalizar, me gustaría hacer una pequeña reflexión sobre la suficiencia de implantar cambios en la política de privacidad, tales como los señalados al principio de este artículo, en relación con la protección de la privacidad de los interesados.

En mi opinión, no basta solo con implantar medidas -en este caso, de protección de la privacidad- desde un punto de vista objetivo, funcional, sino que la comunicación y la concienciación de toda la organización sobre estas cuestiones es fundamental. La única opción posible es a través de unos protocolos de actuación, que deberán ser conocidos por toda la organización y que, sin lugar a duda, deberán ir acorde con el “Tone from the top”, es decir, con el discurso de la alta dirección, estrechamente vinculada a la cultura organizativa de la empresa y a su cultura ética. En definitiva, vincular la protección de datos con el modelo GRC (Gobernanza, Gestión del riesgo y Cumplimiento) resulta, hoy más que nunca, imprescindible.

Laura Cánovas Peláez

26 de agosto de 2021


Laura Cánovas Peláez

Laura Cánovas Peláez

Abogada nº1897 ICAE

Especializada en Derecho Mercantil, Protección de Datos y Nuevas Tecnologías. Consultora de emprendimiento e innovación.


BIBLIOGRAFÍA:

  1. https://www.cnbc.com/2021/08/10/how-apples-email-privacy-update-will-change-whats-in-your-inbox-.html
  2. https://www.cnbc.com/2021/04/26/apple-ios-14point5-iphone-update-is-out-now-heres-whats-new.html
  3. Derecho de las nuevas tecnologías. Memento Práctico Francis Lefebvre
  4. Orientaciones y garantías en los procedimientos de ANONIMIZACIÓN de datos personales. AEPD
  5. 10 malentendidos relacionados con la anonimización, del Comité Europeo de Protección de Datos.
  6. Serie de Cuadernos sobre cumplimiento legal. Alain Casanovas.

Deja un comentario

A %d blogueros les gusta esto: