Desmontando el mito de los datos «anónimos»
Las afirmaciones de que los datos de usuarios pueden «anonimizarse» de forma segura son cada vez más cuestionadas por casos reales de reidentificación y por normas legales como el GDPR, que tratan la mayoría de los conjuntos de datos seudónimos como si siguieran siendo personales. Los comentaristas debaten si técnicas como la privacidad diferencial, k-anonimidad, los datos sintéticos y el hash protegen de forma significativa a las personas, especialmente cuando los conjuntos de datos pueden vincularse y los incentivos comerciales favorecen la máxima utilidad. Muchos concluyen que la verdadera anonimidad es prácticamente inalcanzable o exige tanto ruido que los datos pierden la mayor parte de su valor, lo que refuerza los llamamientos a limitar la recopilación de datos en lugar de confiar en la anonimización a posteriori.
Límites de los datos «anónimos»
- Muchos comentaristas coinciden en que los conjuntos de datos ricos y a nivel individual son intrínsecamente difíciles de anonimizar de verdad; la vinculación entre conjuntos de datos a menudo vuelve a identificar a las personas.
- Se citan fallos clásicos (los registros de búsqueda de AOL, el Netflix Prize) como ejemplos de «anonimizado hasta que se correlaciona».
- Algunos sostienen que, si cualquier reidentificación razonablemente práctica es posible, los datos deberían tratarse como personales.
- Otros responden que la anonimidad es un espectro: agregados como «el 51,1% de la población de EE. UU. es femenina» incluyen claramente a individuos, pero no plantean un riesgo realista de reidentificación.
Privacidad diferencial y otros enfoques técnicos
- Varios señalan que el artículo minimiza u omite la privacidad diferencial (DP), los datos sintéticos, las pruebas de conocimiento cero y el cifrado homomórfico.
- Algunos consideran que la DP es matemáticamente sólida y, a menudo, «suficientemente buena»; otros creen que fomenta compartir más datos y da una falsa sensación de seguridad, dependiendo mucho de la elección de parámetros.
- Los críticos dicen que la mayoría de los esquemas de «anonimización» asumen atacantes débiles y fallan frente a adversarios sofisticados; las técnicas actuales, en su mayor parte, solo elevan el coste en lugar de impedir la desanonimización.
- Hay debate sobre si modelos analíticos efectivos, escalables y verdaderamente anónimos son siquiera alcanzables teóricamente.
Seudonimización, identificadores indirectos y GDPR
- Varios distinguen la seudonimización (eliminar identificadores directos o aplicarlos hash) de técnicas más fuertes que también tratan identificadores indirectos (edad, código postal, género, etc.).
- Se destacan normas al estilo de la UE: cualquier dato que pueda vincularse razonablemente de vuelta a una persona sigue siendo dato personal; deben considerarse ataques «razonablemente probables», usando todos los datos de que disponga el responsable del tratamiento.
- Surgen desacuerdos sobre cuán estrictamente se interpreta esto en la práctica y cómo se compara con conceptos de EE. UU. como PII.
Práctica industrial, incentivos y modelos de amenaza
- Algunos sostienen que el problema de raíz es la recopilación excesiva de datos; ninguna técnica lo soluciona.
- La publicidad tecnológica y los intermediarios de datos se consideran poco propensos a usar métodos de privacidad fuertes porque los datos en bruto son más valiosos y las sanciones son débiles.
- Otros enfatizan casos de uso internos de primera parte (por ejemplo, bases de datos de desarrollo/pruebas) donde la anonimización reduce de forma significativa el riesgo sin vender datos.
- Hay tensión entre «las protecciones parciales de buena fe valen la pena» y «cualquier cosa que no sea no recopilar datos es falsa seguridad o humo».
Demostraciones, servicios y pragmatismo
- Algunos mencionan herramientas o startups que ofrecen análisis de riesgo, desidentificación o anonimización; uno busca servicios de desanonimización para demostrar los riesgos.
- Las analogías con las cerraduras de puertas subrayan el modelado de amenazas: ninguna cerradura es perfecta, pero pueden ser lo bastante buenas contra la mayoría de los atacantes.
- Algunos abogan por «contaminar» los conjuntos de datos con falsos plausibles para frustrar los intentos de reidentificación.