N’hi ha prou de treure el nom i el DNI?

Normalment no. El RGPD defineix les dades personals com tota informació sobre una persona identificada o identificable, i treure el nom i el DNI només elimina els identificadors directes. Queden els indirectes: el domicili, el número de col·legiat, les dates, el número de procediment o la descripció dels fets. Mentre algun d’ells permeti singularitzar, creuar o deduir, es considera que el document continua permetent identificar la persona.

Anonimitzar i pseudonimitzar és el mateix?

Són conceptes diferents. Es parla d’anonimització quan la persona ja no es pot identificar amb els mitjans que raonablement es podrien utilitzar, i el considerant 26 del RGPD indica que els principis de protecció de dades no s’han d’aplicar a aquesta informació anònima. La pseudonimització apareix definida a l’article 4.5 com el tractament de dades de manera que ja no puguin atribuir-se a una persona sense utilitzar informació addicional. El mateix considerant 26 assenyala que les dades pseudonimitzades que podrien atribuir-se a una persona amb aquesta informació addicional s’han de considerar informació sobre una persona identificable.

Puc anonimitzar a mà un expedient sencer?

Es pot, però suposa força més que ratllar: revisar cada document amb la mateixa atenció, buscar identificadors indirectes també en annexos, capçaleres i peus de pàgina i, sobretot, mantenir la coherència: que la mateixa persona rebi la mateixa substitució en tots els documents. Si aquesta coherència es perd, l’expedient deixa de poder llegir-se com un conjunt.

Què passa si el document anonimitzat es creua amb una notícia publicada?

Si en posar-lo al costat de la notícia es pot identificar la persona, el document no superava el criteri de vinculabilitat, i el prudent és tractar-lo com un document amb dades personals. Per això la valoració no es fa mirant només el document: convé pensar en quines altres fonts existeixen i en que en poden aparèixer més endavant.

Un procediment reversible serveix per complir el RGPD?

Pot formar part de la protecció de les dades, però la diferència pràctica és si hi ha marxa enrere. Quan ningú no pot recuperar la identitat amb mitjans raonables, el considerant 26 del RGPD indica que els principis de protecció de dades no s’han d’aplicar a aquesta informació. Quan existeix una clau, una contrasenya o una taula que permet desfer la substitució, qui la conserva pot tornar a atribuir les dades a cada persona, i el mateix considerant assenyala que en aquest cas s’han de considerar informació sobre una persona identificable. A la pràctica, qui té la clau continua tractant dades personals, i la custòdia d’aquesta clau passa a ser el més important. L’article 32.1.a del RGPD cita la pseudonimització i el xifratge entre les mesures de seguretat del tractament.

Anonimització18 de setembre del 20268 min de lectura

Anonimitzar no és ratllar el nom: què exigeix de debò el RGPD

Mentre es pugui singularitzar, creuar o deduir, la dada continua sent personal. Ratllar una paraula no canvia això.

Desiree OriaDirectora executiva

Es considera que un document està anonimitzat quan ja no permet arribar a la persona per cap via raonable, no quan se li ha tret el nom. El criteri de referència a Europa es resumeix en 3 preguntes, i la idea és poder respondre que no a totes: si es pot aïllar algú concret, si es pot creuar el document amb una altra font que sí que l’identifiqui i si es pot deduir de qui es tracta pel que queda escrit. Mentre alguna continuï oberta, es considera que la dada continua sent personal.

L’escrit que sembla anonimitzat i no ho està

Imagina una demanda de reclamació de danys per un accident de trànsit. Abans de compartir-la, algú del despatx ha passat el retolador negre pel nom del client i pel del conductor contrari. A primera vista, la feina està feta.

Però a l’escrit continuen sent-hi el DNI del demandant, el seu domicili, el número de col·legiat del lletrat de l’altra part, el jutjat, el número de procediment i la data de l’accident, que el diari local va explicar l’endemà amb una foto de la rotonda.

Fes-te una pregunta senzilla: quantes d’aquestes peces necessites per saber de qui es tracta?

Amb el DNI no en necessites cap més. És un identificador directe, i ratllar el nom que té al costat és com tapar la signatura i deixar l’empremta. Sense el DNI, el normal és que n’hi hagi prou amb 2. La data i el lloc de l’accident porten a la notícia, i la notícia posa nom als implicats. El domicili i el jutjat redueixen el cercle a un grapat de persones. El número de col·legiat identifica l’advocat contrari, que també és una persona amb les seves dades, i diu quin despatx porta l’assumpte.

Res d’això no és un nom. I, tanmateix, el document continua dient de qui parla. Aquí hi ha el malentès més freqüent: pensar que anonimitzar consisteix a treure la paraula que identifica, quan els criteris amb què s’avalua miren una altra cosa: si queda algun camí que porti a la persona.

Els 3 criteris que cal superar

Un document de referència a Europa per avaluar una anonimització és el dictamen 05/2014 sobre tècniques d’anonimització del Grup de Treball de l’Article 29. El dictamen formula els seus criteris per a conjunts de dades, però traslladats a un escrit es poden resumir en 3 preguntes. No cal estudiar-lo per aplicar-les: n’hi ha prou de fer-se-les per a cada document.

Singularització: puc aïllar algú?

Singularitzar és poder distingir una persona concreta dins d’un conjunt, encara que no en sàpigues el nom. No cal el nom: n’hi ha prou que la descripció encaixi amb una sola persona.

En un expedient laboral, «l’únic treballador del torn de nit del centre de Girona» no anomena ningú i, tanmateix, assenyala algú. Qualsevol que conegui la plantilla sap de qui es parla. El mateix passa amb «l’administrador únic de la societat» o amb «la sòcia que es va incorporar l’any de la fusió»: són posicions, no noms, i cadascuna apunta a una persona.

Vinculabilitat: puc creuar-lo amb una altra font?

El segon criteri pregunta si el document pot enllaçar-se amb un altre conjunt de dades que sí que identifiqui. El risc no és en el que diu el teu escrit tot sol, sinó en el que diu quan es posa al costat d’una altra font.

Un import d’indemnització poc habitual, o una data d’accident que va sortir en un mitjà local, permeten creuar el document amb una font pública que sí que identifica la persona. Cap dels dos no és un nom, i tots dos funcionen com una referència creuada: porten del document a un lloc on la identitat sí que apareix.

Inferència: puc deduir de qui es tracta?

Inferir és arribar a la persona, o a informació sobre ella, per deducció a partir del que queda escrit. Aquí hi entren els detalls que ningú no ratlla perquè no semblen dades personals.

Una professió poc comuna en una localitat petita, l’edat i el barri, la descripció d’una malaltia poc freqüent. Cap no identifica per separat, i combinats amb el que se sap de l’entorn poden bastar per deduir de qui es parla.

Els 3 criteris funcionen junts: superar-ne 2 no n’hi ha prou si el tercer continua obert. I la vara de mesurar no és que identificar algú resulti impossible. El considerant 26 del RGPD parla dels mitjans que raonablement es podrien utilitzar per identificar una persona, tenint en compte factors com el cost, el temps necessari i la tecnologia disponible.

Per què en l’àmbit jurídic és més difícil que en d’altres

En altres sectors, anonimitzar sol consistir a treure columnes d’una taula: el nom, el telèfon, el correu electrònic. Un document jurídic no funciona així.

Un escrit està fet d’identificadors que no es poden treure sense destruir-lo: el jutjat, el número de procediment, les dates processals, la norma aplicable, les referències a altres escrits del mateix assumpte. Si s’eliminen tots, el que queda ja no és un escrit, sinó un text sense context que no serveix per al que es necessitava. I molts d’aquests elements apunten a registres públics, que és exactament la porta que obre la vinculabilitat.

Hi ha una segona dificultat, menys visible. Un expedient no és un document: en són molts. La demanda, la contestació, els informes pericials, els correus amb el client, les factures, la prova documental. Tenir 40 documents no és una raresa en un assumpte de certa entitat.

Anonimitzar-los un a un, sense un criteri comú, crea un problema nou. Si la mateixa persona apareix com a «client A» a la demanda, com «l’actor» a l’informe pericial i amb les seves inicials en un correu, les relacions entre els documents es perden. Ja no se sap que el testimoni de l’informe és qui signa la factura. El material queda protegit, però ha deixat de servir per al que es volia, que gairebé sempre és treballar amb l’assumpte complet.

Per això té poc sentit preparar a cop de retolador la documentació que es pujarà a una eina d’ús general. Abans de fer-ho amb els documents d’un client, convé saber què passa realment amb el que s’envia.

Cap anonimització no és perfecta, i cal dir-ho

L’Agència Espanyola de Protecció de Dades parteix d’aquesta idea en les seves orientacions sobre els procediments d’anonimització: l’avenç de la tecnologia i la informació disponible fan difícil garantir l’anonimat absolut, especialment al llarg del temps. Per això planteja el risc de reidentificació com un risc residual que cal gestionar, i no com una cosa que es pugui donar per eliminada.

Que sigui al llarg del temps importa. El que avui no permet identificar ningú ho pot permetre demà, quan aparegui una font nova amb la qual creuar-ho o es publiqui una notícia que abans no existia.

Tampoc no hi ha una tècnica que ho resolgui tot. Substituir els identificadors directes no protegeix davant la inferència, i generalitzar les dates no protegeix davant un número de procediment que s’ha quedat al text. El dictamen 05/2014 ho planteja així: la solució es decideix cas per cas i pot comportar la combinació de diverses tècniques. Les orientacions de l’Agència hi afegeixen la idea d’anonimitzar per capes, amb processos successius, de manera que una reidentificació exigeixi superar-les totes.

I hi ha l’equilibri incòmode del qual es parla poc: com més agressivament s’anonimitza, menys útil és el document. Les mateixes orientacions de l’Agència inclouen entre els seus principis el de conservar la utilitat de les dades anonimitzades. Si es ratlla tot, el text deixa de sostenir-se, i el que s’obtingui treballant-hi tampoc no servirà. L’objectiu no és ratllar al màxim, sinó protegir el que identifica i conservar el que dona sentit al document.

Convé dir-ho amb totes les lletres: qui prometi una anonimització perfecta, al 100%, està venent alguna cosa.

Què pots fer amb un document abans de pujar-lo enlloc

Aquesta llista de comprovació es pot aplicar avui, a mà, a qualsevol document abans que surti del despatx. No substitueix un procediment complet, però obliga a mirar just on solen quedar-se les dades que ningú no veu.

Identificadors directes. DNI, NIE, CIF, número de la Seguretat Social, IBAN, matrícula. Són els més evidents i tot i així s’escapen, sobretot en annexos, capçaleres i peus de pàgina.
Identificadors indirectes que gairebé ningú no mira. Número de col·legiat, referència cadastral, número de pòlissa. No semblen dades personals, però cadascun porta a una persona concreta.
Dates singulars. La data d’un accident, d’un acomiadament o d’una operació permet creuar el document amb la premsa o amb un registre. Si el dia exacte no és imprescindible, pot bastar amb el mes o l’any.
Referències a procediments amb publicitat. Números de procediment, de recurs o de resolució que es poden buscar en repertoris públics.
Descripcions de fets que ja van circular. Si l’assumpte va sortir en un mitjà, el relat dels fets pot identificar tot sol, encara que no quedi cap altra dada personal.
La pregunta de tancament. Amb el document al davant: queda alguna cosa que permeti singularitzar, creuar o deduir? Si alguna resposta és sí, el prudent és no donar el document per anonimitzat.

I abans de tot això, una pregunta que estalvia feina: cal enviar el document sencer? És la idea del principi de minimització que recull l’article 5.1.c del RGPD: dades limitades al que és necessari per a les finalitats per a les quals es tracten. El que no s’envia no cal anonimitzar-ho.

Si prefereixes revisar-ho amb un dels teus documents al davant, escriu-nos.

Fonts

Dictamen 05/2014 sobre tècniques d’anonimització (WP216), adoptat el 10 d’abril del 2014 — Grup de Treball de l’Article 29
Orientacions i garanties en els procediments d’anonimització de dades personals — Agència Espanyola de Protecció de Dades
Reglament (UE) 2016/679 (RGPD), considerant 26 i articles 4.1, 4.5, 5.1.c i 32.1.a

Preguntes freqüents

N’hi ha prou de treure el nom i el DNI?: Normalment no. El RGPD defineix les dades personals com tota informació sobre una persona identificada o identificable, i treure el nom i el DNI només elimina els identificadors directes. Queden els indirectes: el domicili, el número de col·legiat, les dates, el número de procediment o la descripció dels fets. Mentre algun d’ells permeti singularitzar, creuar o deduir, es considera que el document continua permetent identificar la persona.
Anonimitzar i pseudonimitzar és el mateix?: Són conceptes diferents. Es parla d’anonimització quan la persona ja no es pot identificar amb els mitjans que raonablement es podrien utilitzar, i el considerant 26 del RGPD indica que els principis de protecció de dades no s’han d’aplicar a aquesta informació anònima. La pseudonimització apareix definida a l’article 4.5 com el tractament de dades de manera que ja no puguin atribuir-se a una persona sense utilitzar informació addicional. El mateix considerant 26 assenyala que les dades pseudonimitzades que podrien atribuir-se a una persona amb aquesta informació addicional s’han de considerar informació sobre una persona identificable.
Puc anonimitzar a mà un expedient sencer?: Es pot, però suposa força més que ratllar: revisar cada document amb la mateixa atenció, buscar identificadors indirectes també en annexos, capçaleres i peus de pàgina i, sobretot, mantenir la coherència: que la mateixa persona rebi la mateixa substitució en tots els documents. Si aquesta coherència es perd, l’expedient deixa de poder llegir-se com un conjunt.
Què passa si el document anonimitzat es creua amb una notícia publicada?: Si en posar-lo al costat de la notícia es pot identificar la persona, el document no superava el criteri de vinculabilitat, i el prudent és tractar-lo com un document amb dades personals. Per això la valoració no es fa mirant només el document: convé pensar en quines altres fonts existeixen i en que en poden aparèixer més endavant.
Un procediment reversible serveix per complir el RGPD?: Pot formar part de la protecció de les dades, però la diferència pràctica és si hi ha marxa enrere. Quan ningú no pot recuperar la identitat amb mitjans raonables, el considerant 26 del RGPD indica que els principis de protecció de dades no s’han d’aplicar a aquesta informació. Quan existeix una clau, una contrasenya o una taula que permet desfer la substitució, qui la conserva pot tornar a atribuir les dades a cada persona, i el mateix considerant assenyala que en aquest cas s’han de considerar informació sobre una persona identificable. A la pràctica, qui té la clau continua tractant dades personals, i la custòdia d’aquesta clau passa a ser el més important. L’article 32.1.a del RGPD cita la pseudonimització i el xifratge entre les mesures de seguretat del tractament.