Datos clínicos para estadística sin identificar a nadie

1. Por qué anonimizar bien cuesta más de lo que parece

La palabra «anonimizado» aparece con frecuencia asociada a la operación de borrar el nombre y el DNI de un dataset. Es una definición cómoda y peligrosamente incompleta. Un dataset del que solo se han quitado los identificadores directos puede reidentificar a la mayoría de los pacientes en un cruce razonable con fuentes públicas.

1.1. El caso clásico del código postal, la edad y el sexo

Un estudio famoso de finales de los noventa mostró que la combinación de código postal completo, fecha de nacimiento exacta y sexo identifica de forma única a más del 85 % de la población de Estados Unidos. En España el orden de magnitud es parecido. En un dataset clínico del centro con 500 pacientes, esas tres columnas —sin nombre ni DNI— son suficientes para identificar a la práctica totalidad simplemente cruzando con el padrón municipal.

1.2. Por eso «quitar el nombre» no basta

La anonimización real necesita tratar también los cuasi-identificadores: las columnas que por sí solas parecen inocuas pero que combinadas identifican. Y hay que hacerlo antes de que el dataset salga del sistema del centro, no como un paso posterior que el destinatario aplica.

1.3. Por qué el centro sigue siendo responsable

Cuando un centro entrega a un tercero un dataset supuestamente anónimo que en realidad permite reidentificar, la responsabilidad frente a la AEPD sigue siendo del centro: el tratamiento fue una comunicación de datos personales sin base jurídica, aunque las etiquetas dijeran «anonimizado». El tercero puede ser objeto de investigación adicional, pero el origen del incumplimiento está en la exportación defectuosa. Es la misma lógica que la nota general sobre compartir con terceros desarrolla en detalle.

2. Identificadores, cuasi-identificadores y valores sensibles

Cualquier dataset clínico se compone de tres tipos de columnas, y cada uno se trata distinto en la anonimización.

2.1. Identificadores directos

Nombre, DNI, tarjeta sanitaria, número de historia, teléfono, correo, dirección postal completa. Identifican por sí solos, sin necesidad de cruce con otra fuente. En una anonimización mínima se suprimen o se sustituyen por un identificador opaco no reversible. Este paso es imprescindible pero, como acabamos de ver, no es suficiente.

2.2. Cuasi-identificadores

Fecha de nacimiento exacta, código postal completo, sexo, profesión rara, país de origen, fecha del evento clínico exacta. Ninguno identifica por sí solo pero combinados en grupos de dos o tres columnas producen combinaciones únicas para casi todos los pacientes. Aquí es donde se aplican técnicas como la agregación por tramos —edad en cinco tramos en vez de año exacto—, el truncado del código postal a tres dígitos, o la agrupación de profesiones raras en categorías amplias.

2.3. Valores sensibles

Diagnóstico, tratamiento, resultado de la prueba, comorbilidades. Son la información que el tercero necesita analizar y que da valor al dataset. No se cambian: cambiarlos rompería el análisis. Se protegen limitando cuántos pacientes con la misma combinación de cuasi-identificadores comparten el mismo valor sensible, para que nadie pueda deducir la enfermedad de un paciente concreto por eliminación.

3. La k-anonimidad, la vara mínima

Agregar edad en tramos y codigo postal a tres digitos reduce las combinaciones unicas.

La k-anonimidad es la propiedad más citada y la vara mínima razonable. Su definición es simple y su aplicación cuidadosa.

3.1. Qué significa

Un dataset cumple k-anonimidad con nivel K cuando, para cualquier combinación de cuasi-identificadores que aparezca, hay al menos K pacientes en el dataset con esa misma combinación. Es decir: por cualquier fila que un atacante mire, hay otras K-1 pacientes indistinguibles por los cuasi-identificadores. La reidentificación por cruce ya no funciona: aunque el atacante sepa que su paciente tiene 67 años y vive en un código postal concreto, esa combinación coincide con K personas en el dataset y no sabe cuál es.

3.2. Cuánto K es suficiente

Depende del contexto y del riesgo. Un valor de K entre 5 y 10 es la convención más habitual para datasets de investigación con revisión ética; K más bajos empiezan a mostrar filtraciones probables. En datasets con muy pocos pacientes —el centro pequeño, la especialidad rara— K razonable puede ser difícil de conseguir sin agregar mucho, y el dilema es real: o se agrega tanto que el dataset pierde utilidad, o se acepta un K bajo con más riesgo. Cuando el balance no cuadra, la conclusión honesta es no compartir.

3.3. Sus limitaciones conocidas

La k-anonimidad no protege contra ataques de conocimiento adicional. Si el atacante sabe algo más del paciente —que estuvo hospitalizado en fechas concretas, que tuvo un evento raro— puede reducir el grupo de K a uno solo. Existen refinamientos —l-diversidad, t-proximidad— que añaden protección adicional, pero la k-anonimidad es la vara básica y la que primero hay que cumplir.

4. Agregación: rangos, cubos y redondeos

La agregación es la herramienta principal para conseguir k-anonimidad. Consiste en sustituir valores exactos por valores agrupados que reducen la granularidad sin perder toda la información.

4.1. Edad

La fecha de nacimiento exacta se sustituye por edad en tramos de cinco o diez años. «Nació el 12/03/1958» pasa a «65-69 años» o «adulto mayor». La convención razonable son tramos de cinco años hasta los 80 y un tramo abierto «85 o más» al final, porque las edades extremas son las que menos gente cubre y las más identificables.

4.2. Localización

El código postal se trunca a los tres primeros dígitos —«28034» pasa a «280XX»— o se sustituye por la provincia o la comunidad autónoma según el tamaño del dataset. El nombre exacto del municipio se conserva solo si es una ciudad grande; en municipios pequeños se agrupa en comarca o se suprime.

4.3. Fechas del evento clínico

Se sustituyen fechas exactas por mes y año, o por trimestre y año. Cuando la utilidad clínica lo permite, incluso por año solo. Un evento «12/06/2024» pasa a «junio 2024» o «segundo trimestre 2024». La agregación temporal es especialmente eficaz porque combinada con localización y edad reduce mucho la unicidad de las combinaciones.

5. Supresión selectiva de casos raros

Después de la agregación quedan casos que siguen siendo únicos: la paciente centenaria del pueblo pequeño, el paciente con una enfermedad rara en una comarca poco poblada. La agregación no puede protegerlos sin destruir el dataset entero. La técnica complementaria es la supresión selectiva.

5.1. Cuándo se suprime

Cuando después de aplicar toda la agregación razonable, una combinación de cuasi-identificadores todavía tiene menos de K pacientes en el dataset. Esos pacientes concretos se retiran del dataset —no aparecen en la exportación— y se documenta cuántos se han retirado y por qué. La estadística resultante refleja al resto y es honesta.

5.2. El coste que se paga

La supresión sesga el dataset hacia los casos habituales. Si el análisis pretende estudiar precisamente los casos raros, la técnica falla en su cometido. La conclusión práctica es que no todo dataset clínico se puede publicar como estadística útil: hay estudios que exigen datos individuales, y esos estudios necesitan otra base jurídica —consentimiento explícito del paciente, autorización de un comité ético, tratamiento con base en interés público en investigación—.

5.3. La generalización controlada

Una alternativa a suprimir es generalizar los valores sensibles de los casos raros. En vez de retirar al paciente con la enfermedad rara, se reagrupa esa enfermedad en una categoría más amplia —«enfermedad neurológica»— que ya cubre a más pacientes en el dataset. Es un compromiso: la enfermedad concreta desaparece de las estadísticas, pero el paciente no se pierde.

6. Qué exige el RGPD y qué dice la AEPD

La normativa aplicable a la anonimización es la del RGPD y su interpretación por la AEPD. La conclusión práctica es que la anonimización real está fuera del ámbito del RGPD; la anonimización defectuosa sigue dentro y se sanciona.

6.1. Considerando 26 del RGPD

El texto es claro: «los principios de protección de datos no deben aplicarse a la información anónima, es decir, información que no guarda relación con una persona física identificada o identificable, ni a los datos convertidos en anónimos de forma que el interesado no sea identificable, o deje de serlo». La palabra clave es «no identificable», y no admite grados: si el dataset permite reidentificar por cruce razonable, no es anónimo a efectos del reglamento.

6.2. Orientaciones de la AEPD

La AEPD ha publicado guías específicas sobre anonimización, incluyendo el «10 malentendidos sobre la anonimización» que sirve como comprobador básico. La agencia insiste en que la anonimización es un proceso, no un estado: hay que evaluar el riesgo de reidentificación cada vez que se comparte, teniendo en cuenta las fuentes públicas disponibles en ese momento.

6.3. La responsabilidad al exportar

Cuando el centro exporta un dataset como anonimizado, debe poder documentar qué método aplicó, con qué parámetros, y qué evaluación de riesgo de reidentificación hizo antes de liberar. Un dataset entregado como anónimo sin esa documentación deja al centro sin defensa si más tarde alguien demuestra que se puede reidentificar. La documentación es parte del proceso, no un extra.

7. Qué debe hacer tu software antes de exportar

El sistema calcula el K resultante y avisa antes de dejar salir el dataset.

La disciplina no puede descansar en la memoria del que exporta. El software del centro tiene que hacer parte del trabajo. Tres criterios verificables.

7.1. Aplica la agregación por defecto según el destino

Al preparar un dataset marcado como «para estadística externa», el sistema debe agregar automáticamente edad en tramos, código postal truncado y fecha en mes/año, y suprimir los identificadores directos. La configuración por defecto es conservadora: si el destinatario necesita más granularidad, hay que justificarlo y documentarlo en el flujo, no obtenerlo por descuido.

7.2. Verifica el nivel K antes de liberar

Después de la agregación, el sistema calcula cuántas combinaciones únicas de cuasi-identificadores quedan y avisa si alguna incumple el K mínimo del centro. Si el operador ignora el aviso, la exportación registra que se hizo con K por debajo del umbral y con qué justificación. La verificación automática es rápida y evita los datasets «anónimos» que aparentan serlo hasta el primer cruce.

7.3. Registra la exportación como acto trazable

Cada exportación de dataset queda registrada con destino, número de pacientes exportados, parámetros de anonimización aplicados, K resultante y autor. Es lo que después permite responder a una auditoría RGPD del centro y demostrar que los datasets entregados a terceros pasaron por la disciplina.

Y un cuarto criterio, más operativo. Los umbrales concretos —qué K mínimo, cuánto se agrega la edad, cuánto se trunca el código postal— dependen del contexto del centro y de sus proyectos de investigación, y los fija el responsable del tratamiento con el asesor legal si lo tiene. El software aplica lo configurado; no fija umbrales por sí solo.

8. Errores frecuentes al anonimizar para estadística

• Quitar el nombre y creer que ya está. Con edad exacta, código postal y sexo se reidentifica igual.
• Publicar cifras con desglose demasiado fino. «Un paciente de 87 años con esta patología en el municipio X» es una identificación directa.
• Reutilizar el mismo identificador opaco entre exportaciones. Si el opaco es estable, dos datasets del mismo centro cruzan por él.
• Documentar «anonimizado» sin especificar el método. Sin trazabilidad no hay defensa posible.

8.1. El error que más caro sale: incluir el diagnóstico raro en el dataset del centro pequeño

Un centro con 300 pacientes que exporta cifras para un estudio sobre una enfermedad que afecta a 5 de ellos, con edad y provincia. Aunque cambie el nombre por un opaco, cualquiera que conozca la especialidad y la localización puede deducir de quién habla. La supresión selectiva es la salida, aunque el estudio pierda esos 5 casos. La alternativa es no exportar y esperar a un dataset multicéntrico donde los 5 casos se diluyan entre 500.

8.2. Compartir la base de datos completa «para que el investigador la agregue»

Es una salida a la responsabilidad que no funciona jurídicamente. Cuando el centro entrega la base identificada y el investigador la agrega después, el tratamiento por parte del investigador ya se ha producido con datos personales y necesita su propia base jurídica. La agregación debe hacerla el centro antes de compartir, no delegarla en el receptor.

8.3. Anonimizar solo antes de la primera exportación

Un dataset que se exportó anonimizado en 2022 se vuelve a exportar en 2026 sin revisar. Entretanto han aparecido nuevas fuentes públicas —redes sociales, portales de datos abiertos, directorios profesionales— que reducen la protección del método original. La anonimización se evalúa cada vez que se comparte, no una vez y para siempre.

9. Qué aporta obeliOmed con esto

9.1. Capa de anonimización aplicada por destino

obeliOmed distingue en el sistema los destinos que reciben datos anonimizados —investigación, publicaciones, cifras para dirección— de los que reciben datos personales bajo contrato de encargado. Al preparar la exportación para un destino de estadística, el sistema aplica la agregación por defecto, verifica el K resultante y avisa antes de liberar. Los umbrales los configura el centro.

9.2. Registro trazable de cada dataset exportado

Cada exportación deja registro con qué destino, cuántos pacientes cubre, con qué parámetros de agregación se anonimizó y qué K se alcanzó. Esa trazabilidad forma parte del cumplimiento del RGPD y de la política de tratamiento de datos del centro, y responde a una auditoría posterior sin reconstruir de memoria.

9.3. Lo que no hace, dicho antes de que lo preguntes

obeliOmed no decide por el centro qué proyectos de investigación requieren consentimiento explícito, qué datos son compatibles con qué comité ético, ni cuánto K es «suficiente» para un caso concreto. Esas decisiones dependen del contexto y del asesor legal del centro. El sistema aplica lo configurado con disciplina, avisa cuando algo cae por debajo del umbral y no deja pasar exportaciones sin trazabilidad.