Seudonimización de datos, según RGPD, es el tratamiento de datos personales de manera tal que ya no pueden atribuirse a un interesado sin utilizar información adicional. Dicha información adicional tiene que figurar por separado y estar sujeta a medidas técnicas y organizativas destinadas a garantizar que los datos personales no se atribuyan a una persona física identificada o identificable. No es algo nuevo, sin embargo hay pocas empresas que la utilizan en sus procesos de organización.
Un ejemplo sería separar los datos como nombre y apellidos de la persona de su número de identificación fiscal, sustituyendo el NIF por un código de manera que no fuese posible atribuir este código a ninguna persona.
En el artículo 25 se consideran una serie de medidas a adoptar desde el diseño y por defecto, es decir, que de entre todas se utilice la que sea menos invasiva para la privacidad de datos. Es obvio que las medidas deben adoptarse con carácter previo al tratamiento. Por eso la seudonimización de datos favorece los principios de protección y minimización de los mismo y hace, que por defecto, solo sean objeto de tratamiento los datos personales estrictamente necesarios para cada uno de los fines específicos del tratamiento.
Objetivos de seudonimización de datos tiene que ser capaz de:
- garantizar la confidencialidad, integridad, disponibilidad y resiliencia permanentes de los sistemas y servicios de tratamiento
- restaurar la disponibilidad y el acceso a los datos personales de forma rápida en caso de incidente físico o técnico (uno de los significados de resiliencia)
- implantar un proceso de verificación, evaluación y valoración regulares de la eficacia de las medidas técnicas y organizativas para garantizar la seguridad del tratamiento
Desde nuestro punto de vista, seudonimización supone una herramienta que permite fácilmente cumplir con varias exigencias de Reglamento Europeo de Protección de Datos y con uno de los mayores retos incluidos en el mismo que es el control de riesgo.
La correcta utilización de esta figura debería poder probarse a través de sistemas certificación. Conteniendo muchísimos efectos beneficiosos, puede incluir algunos riesgos propios del tratamiento. Uno de ellos podría ser reversión no autorizada de seudonimización de datos.
¿Un dato seudonimizado está sujeto a la normativa de Protección de Datos?
Aunque un dato seudinimizado no permite identificación directa de la persona, no olvidemos que se trata de datos personales. Por lo tanto, es objeto de protección de la normativa de Protección de Datos.
¿Qué técnicas de seudonimización existen?
Tal y como recoge el dictamen 05/2014 de 10 de abril sobre técnicas de anonimización, algunas de las técnicas más relevantes serían:
- cifrado con clave secreta o con clave de borrado de claves;
- función hash;
- función con clave almacenada;
- descomposición en tokens;
- etc.
Pidan presupuesto sin compromiso de implantación de la normativa vigente
