Blockchain y la seudonimización y anonimización de Datos Personales

Los datos en blockchain están cifrados bajo una función hash por lo que podrían llegar a considerarse datos seudonimizados o anonimizados de acuerdo con el RGPD.

El RGPD en su artículo 4.1, define como datos personales: toda información sobre una persona física identificada o identificable (el interesado); se considerará persona física identificable toda persona cuya identidad pueda determinarse, directa o indirectamente, en particular mediante un identificador, como por ejemplo un nombre, un número de identificación, datos de localización, un identificador en línea o uno o varios elementos propios de la identidad física, fisiológica, genética, psíquica, económica, cultural o social de dicha persona.

Si se presta atención al Considerando 26 del RGPD observamos que cuando se hace mención al tratamiento de datos, excluyendo de su ámbito de aplicación los datos anónimos: los principios de protección de datos no deben aplicarse a la información anónima, es decir información que no guarda relación con una persona física identificada o identificable, ni a los datos convertidos en anónimos de forma que el interesado no sea identificable, o deje de serlo. En consecuencia, el presente Reglamento no afecta al tratamiento de dicha información anónima, inclusive con fines

estadísticos o de investigación.

Por lo que se concluye que los datos anónimos no son sujetos a la normativa europea en materia de protección de datos.

Por otra parte, la Agencia Española de Protección de Datos también se ha manifestado en relación a los datos anonimizados, afirmando que la finalidad del proceso de anonimización es eliminar o reducir al mínimo los riesgos de reidentificación de los datos anonimizados, manteniendo la veracidad de los resultados del tratamiento de los mismos; es decir, además de evitar la identificación de las personas, los datos anonimizados deben garantizar que cualquier operación o tratamiento que pueda ser realizado con posterioridad a la anonimización no conlleve una distorsión de los datos reales.

El Grupo de Trabajo del Artículo 29 también abordó el tema de la anonimización de los datos, llegando a la conclusión que para anonimizar cualesquiera datos es necesario eliminar de ellos los elementos suficientes para que no pueda identificarse al interesado. Siendo más exactos, hay que tratarlos de tal manera que no puedan usarse para identificar a una persona física mediante “el conjunto de los medios que puedan ser razonablemente utilizados” por el responsable del tratamiento o por terceros. Un factor importante al respecto es que el tratamiento debe ser irreversible. También se manifestó respecto a la existencia de diferentes grados de solidez en las técnicas de anonimización, aconsejando tener en cuenta tres riesgos claves en la anonimización:

1. Singularización: la posibilidad de extraer de un conjunto de datos, algunos registros (o todos los registros) que identifican a una persona.

2. Vinculabilidad: la capacidad de vincular como mínimo dos registros de un único interesado o de un grupo de interesados, ya sea en la misma base de datos o en dos bases de datos distintas. Si el atacante puede determinar (por ejemplo, mediante un análisis de correlación) que dos registros están asignados al mismo grupo de personas, pero no puede singularizar a las personas en este grupo, entonces la técnica es resistente a la singularización, pero no a la vinculabilidad.

3. Inferencia: la posibilidad de deducir con una probabilidad significativa el valor de un atributo a partir de los valores de un conjunto de otros atributo.

El Grupo de Trabajo del artículo 29 en el dictamen del que se ha hablado, ofrece un gran catálogo de técnicas en donde sintetiza y hace un nexo causal con la singularización, vinculabilidad e inferencia.

Por otra parte, el RGPD en su artículo 4.5, sí tiene en consideración los datos seudonimizados, definiéndolos como: el tratamiento de datos personales de manera tal que ya no puedan atribuirse a un interesado sin utilizar información adicional, siempre que dicha información adicional figure por separado y esté sujeta a medidas técnicas y organizativas destinadas a garantizar que los datos personales no se atribuyan a una persona física identificada o identificable.

De aquí surge un problema conceptual ya que se puede llegar a contemplar como sinónimos el seudonimizar y anonimizar información, con la idea de no caer en la potestad del RGPD, ya que como hemos visto, los datos anónimos se excluyen del RGPD. Por ejemplo, un dato cifrado contiene una clave para descifrarlo, y en sentido estricto cae en la aplicación del RGPD. Es un error pensar que los datos disociados o anonimizados no estén bajo la custodia de la ley, pues pese a que la normativa de protección de datos los deje fuera en sentido amplio, puede existir el supuesto de una violación de la confidencialidad de las comunicaciones, que, pese a que los datos están anonimizados, esto no exime la intervención o intercepción de comunicaciones de manera ilícita.

En definitiva, podríamos llegar a la conclusión que la anonimización consiste en técnicas que se emplean en datos personales cuyo objetivo es que se disocien totalmente los datos, sin la posibilidad de identificación de las personas, sin poder ser irreversible. Por lo que un dato anonimizado es cuando en ningún caso pueda tener un vínculo con un dato que pueda identificar a una persona, haciendo imposible identificar a la persona. Por otro lado, la seudonimización hace que los datos personales no puedan identificar a una persona, sin utilizar información adicional, siendo a diferencia de la anonimización, un procedimiento reversible. En la seudonimización se reemplazan campos de información personal por diversas técnicas, pero se mantienen datos adicionales que pueden identificar a personas.

De acuerdo con EU Blockchain Observatory and Forum, actualmente hay intensos debates, pero no consenso sobre lo que se necesita para anonimizar los datos personales hasta el punto en que la salida resultante se pueda almacenar potencialmente en una red blockchain. Por poner un ejemplo, el hash de datos no se puede considerar como una técnica de anonimización en muchas situaciones, ya que con ataques de fuerza bruta y añadiendo computación cuántica se podría penetrar en la seguridad del hash. Sin embargo, hay casos en los que el uso de hash, para generar firmas digitales únicas de datos que se almacenan fuera de la cadena, es potencialmente concebible en una blockchain debido a que lo que se almacena en la cadena de bloques no es el hash en sí, si no la llave para poder acceder al hash.