Anonimización de datos médicos: guía paso a paso

Si el conjunto conserva una fecha de nacimiento exacta, un código postal detallado, una fecha de ingreso poco frecuente y un diagnóstico singular, la reidentificación puede seguir siendo viable.

La diferencia tiene impacto jurídico y operativo. La información anonimizada de forma eficaz queda fuera del ámbito de aplicación del RGPD, según el Considerando 26. La información seudonimizada no. En la seudonimización se sustituye la identidad por un código y se conserva una clave adicional que permite revertir el proceso. Esa clave convierte el sistema en un tratamiento de datos personales sujeto al Reglamento.

El proceso correcto exige evaluar el riesgo residual. No existe una garantía técnica de riesgo cero. El objetivo es que la identificación no resulte razonablemente posible por coste, tiempo y esfuerzo, considerando también los datos externos que un atacante podría utilizar.

La frontera legal entre seudonimización y anonimización real

En un sistema hospitalario, la seudonimización suele ser necesaria para mantener la trazabilidad clínica. El equipo investigador trabaja con un identificador interno. El servicio autorizado conserva la tabla que relaciona ese identificador con el paciente. Si aparece un hallazgo relevante, el circuito asistencial puede recuperar la identidad.

Ese diseño tiene utilidad clínica. También mantiene la aplicación del RGPD.

La anonimización persigue otro resultado. El dataset debe transformarse de manera que no exista una vía razonable para volver a identificar a una persona. No basta con ocultar el nombre. Tampoco basta con cifrar el fichero. El cifrado protege la confidencialidad mientras existe una clave. La anonimización modifica el contenido para eliminar o reducir la relación con una persona identificable.

La siguiente comparación evita el error más habitual:

La clasificación no depende del nombre que se dé al proyecto. Un archivo llamado anonimo.csv puede contener datos personales si conserva suficientes atributos identificables. La evaluación debe centrarse en la capacidad real de identificación.

Qué datos suelen delatar a un paciente

Los identificadores directos son evidentes:

• Nombre y apellidos.
• DNI, número de historia clínica o número de tarjeta sanitaria.
• Teléfono, correo electrónico y dirección.
• Número de episodio o identificador interno.
• Imágenes clínicas sin tratamiento adecuado.
• Texto libre con nombres, lugares o acontecimientos reconocibles.

El problema técnico aparece con los cuasiidentificadores. Cada dato, por separado, puede parecer inocuo. La combinación puede ser única.

Entre los más frecuentes están:

• Fecha de nacimiento completa.
• Fechas exactas de ingreso, intervención y alta.
• Código postal.
• Municipio o centro sanitario.
• Profesión.
• Sexo y grupo de edad.
• Diagnóstico raro.
• Tratamiento poco habitual.
• Resultado clínico excepcional.
• Secuencia temporal de visitas.
• Datos de dispositivos médicos o sensores.
• Coordenadas geográficas.
• Texto narrativo de informes.

La anonimización de historias clínicas requiere trabajar sobre el conjunto completo. El riesgo no reside únicamente en una columna. Se produce por la combinación de columnas y por la posibilidad de cruzarlas con registros públicos, bases estadísticas, noticias, publicaciones científicas o información disponible en internet.

Borrar el nombre reduce la exposición. No demuestra anonimización.

Paso 1: definir el propósito y el perímetro del dataset

Ningún proceso de anonimización debe comenzar con una herramienta. Debe comenzar con una finalidad concreta.

Un proyecto que calcula la ocupación de camas necesita menos granularidad que otro que estudia la evolución temporal de una enfermedad. Un análisis de tiempos quirúrgicos puede requerir hora de inicio y hora de finalización, pero no necesariamente el código postal exacto del paciente. Un modelo predictivo puede necesitar edad, pero no la fecha de nacimiento completa.

La pregunta operativa es simple: ¿qué variables necesita realmente el análisis?

El inventario inicial debe registrar, como mínimo:

1. Origen del dato. Historia clínica electrónica, sistema de laboratorio, radiología, farmacia, dispositivo médico o registro administrativo.

2. Propietario funcional. Servicio que responde de la calidad y del uso permitido.

3. Tipo de variable. Identificador directo, cuasiidentificador, dato clínico, metadato técnico o texto libre.

4. Nivel de detalle. Exacto, agrupado, truncado, agregado o derivado.

5. Frecuencia de valores. Cuántos pacientes comparten cada combinación.

6. Posibilidad de cruce. Fuentes internas y externas que podrían vincular el registro.

7. Necesidad analítica. Motivo por el que la variable debe conservarse.

8. Riesgo asociado. Singularización, vinculabilidad e inferencia.

El principio de minimización tiene una traducción técnica directa: si una variable no es necesaria para la finalidad, se elimina antes de transformar el resto. No tiene sentido proteger con complejidad una columna que no aporta valor al análisis.

Diferenciar dato clínico y dato identificativo

Un diagnóstico es un dato de salud. Una fecha de ingreso es un cuasiidentificador. Una combinación de diagnóstico raro, fecha exacta y centro pequeño puede identificar a una persona aunque no contenga su nombre.

La clasificación debe hacerse por contexto. El mismo atributo puede tener un riesgo distinto en un hospital terciario, en una clínica privada o en un registro autonómico. También cambia según el tamaño de la población representada.

Una tabla con diez pacientes no soporta la misma granularidad que una tabla con varios cientos de miles. En la primera, casi cualquier combinación puede ser singular. En la segunda, algunos atributos pueden generalizarse sin perder utilidad estadística.

Paso 2: medir las tres amenazas de reidentificación

La evaluación de riesgos debe analizar tres amenazas principales: singularización, vinculabilidad e inferencia. Son problemas diferentes. Una transformación que reduce uno puede no resolver los otros dos.

Singularización

La singularización permite aislar un registro o un individuo dentro del dataset. No exige conocer su identidad. Basta con que una fila sea única.

Ejemplo:

• Mujer.
• 47 años.
• Ingreso el 14 de marzo.
• Municipio de 8.000 habitantes.
• Diagnóstico poco frecuente.
• Intervención realizada en un único centro.

Aunque se elimine el nombre, la combinación puede corresponder a una sola persona.

La prueba debe ejecutarse sobre combinaciones de cuasiidentificadores. No basta con contar valores únicos por columna. Hay que contar registros únicos por conjunto de atributos.

Un pipeline de calidad puede calcular:

• Número de combinaciones únicas.
• Porcentaje de registros que pertenecen a grupos de tamaño uno.
• Tamaño mínimo de cada grupo.
• Distribución de frecuencias.
• Variables que generan la mayor parte de las singularidades.

La métrica no debe presentarse como una certificación automática. Es una evidencia dentro de una evaluación más amplia.

Vinculabilidad

La vinculabilidad aparece cuando un atacante conecta dos o más registros del mismo paciente. El vínculo puede producirse dentro del dataset o mediante otra fuente.

Un paciente podría aparecer con una consulta ambulatoria, una hospitalización y una prueba de laboratorio. Si todos conservan la misma secuencia temporal, edad exacta y centro sanitario, la trayectoria puede seguir siendo reconocible.

También existe vinculabilidad entre versiones del mismo dataset. Una publicación mensual puede parecer segura de forma aislada. La comparación entre ediciones puede revelar quién ha entrado, quién ha salido o qué evento nuevo ha ocurrido.

Por ese motivo, la evaluación debe incluir:

• Versiones anteriores del dataset.
• Copias de respaldo.
• Exportaciones realizadas por otros departamentos.
• Registros agregados publicados.
• Tablas de resultados entregadas a terceros.
• Identificadores técnicos y marcas temporales.
• Datos procedentes de sistemas conectados por interoperabilidad.

La anonimización no termina cuando se genera el primer fichero. También debe controlar el ciclo de vida de las versiones.

Inferencia

La inferencia permite deducir información sensible aunque no se identifique de forma directa al paciente. Puede surgir por la distribución de los datos, por una categoría minoritaria o por la relación entre varias variables.

Si en un grupo de edad, municipio y periodo solo aparece un diagnóstico, un tercero podría deducir que todos los integrantes de ese grupo tienen esa condición. Si el grupo contiene pocos registros, el problema aumenta.

La inferencia también afecta a variables derivadas. Un campo como riesgo_alto = sí puede revelar una conclusión clínica aunque se hayan eliminado los resultados originales. La transformación de datos no debe limitarse a las columnas visibles. Debe revisar también los atributos calculados, etiquetas y resultados intermedios.

La pregunta no es solo quién puede ser identificado. También es qué información clínica puede deducirse sin identificarle por nombre.

Paso 3: aplicar la k-anonimidad sin convertirla en una cifra decorativa

La k-anonimidad agrupa registros según sus cuasiidentificadores. Un registro cumple un valor K cuando comparte la misma combinación de atributos con al menos K-1 personas adicionales dentro del grupo.

En conjuntos de datos sencillos, las guías técnicas suelen situar un valor aceptable entre 3 y 5. Ese rango no constituye un umbral universal para cualquier proyecto sanitario. Un K de 5 puede ser insuficiente si los datos describen una enfermedad rara, incluyen fechas exactas o pueden cruzarse con una base externa muy detallada.

La aplicación práctica sigue una secuencia:

1. Seleccionar los cuasiidentificadores que podrían utilizarse para reconocer a una persona.

2. Medir la frecuencia de cada combinación.

3. Localizar los grupos por debajo del valor K definido.

4. Generalizar o suprimir atributos de esos grupos.

5. Recalcular la distribución.

6. Evaluar la pérdida de utilidad analítica.

7. Revisar el resultado con escenarios de ataque plausibles.

Generalización

La generalización reduce la precisión de un dato sin eliminarlo por completo.

Ejemplos:

• Edad exacta → intervalo de edad.
• Fecha de nacimiento → año de nacimiento o grupo quinquenal.
• Código postal completo → provincia o área amplia.
• Fecha exacta → mes o trimestre.
• Hora de ingreso → franja horaria.
• Municipio → área sanitaria.
• Diagnóstico específico → categoría clínica más amplia.

La generalización debe conservar la utilidad del estudio. Si se agrupa demasiado la edad, un análisis epidemiológico puede perder capacidad de estratificación. Si se eliminan las fechas, un estudio de estacionalidad puede dejar de ser válido.

No existe una configuración correcta independiente del propósito. El nivel de detalle se fija mediante una negociación técnica entre riesgo y utilidad.

Supresión

La supresión elimina un valor, una columna o un registro que no puede hacerse suficientemente seguro mediante generalización.

Puede aplicarse de forma puntual:

• Ocultar un municipio con muy pocos casos.
• Sustituir una fecha atípica por un valor ausente.
• Retirar un diagnóstico extremadamente raro.
• Excluir un registro cuya combinación siga siendo única.
• Eliminar texto libre cuando no puede limpiarse con fiabilidad.

La supresión completa reduce información. La supresión selectiva puede conservar más valor, pero exige reglas reproducibles y auditoría. Si cada analista decide manualmente qué fila borrar, el proceso pierde consistencia.

Limitaciones de la k-anonimidad

La k-anonimidad protege frente a ciertos patrones de singularización. No resuelve por sí sola la inferencia ni garantiza protección frente a todos los cruces externos.

Dos límites son especialmente relevantes:

• Un grupo puede tener K registros, pero todos compartir el mismo diagnóstico sensible. El paciente no queda identificado, pero la información se deduce.
• Un atributo raro puede aparecer en todos los registros de un grupo pequeño y permitir una conclusión clínica.

Por eso se incorporan análisis complementarios, como la diversidad de valores sensibles dentro de cada grupo o la distancia entre la distribución global y la distribución del grupo. La técnica concreta debe documentarse según el tipo de dataset, el riesgo y la finalidad.

Paso 4: tratar los textos libres, las imágenes y los metadatos

Los campos estructurados permiten definir reglas. Los textos libres presentan un riesgo distinto. Un informe médico puede contener nombres, teléfonos, lugares de trabajo, referencias familiares, fechas exactas o descripciones de acontecimientos reconocibles.

La búsqueda simple de nombres no es suficiente. El texto puede identificar mediante una combinación de contexto:

• Nombre de una empresa.
• Accidente ocurrido en una fecha concreta.
• Mención de un municipio pequeño.
• Relación familiar.
• Profesión poco frecuente.
• Referencia a un procedimiento realizado en un único centro.

El sistema de depuración debe trabajar con diccionarios, patrones, revisión contextual y muestreo humano. La automatización reduce el volumen de revisión. No elimina la necesidad de control de calidad.

Las imágenes clínicas requieren una revisión adicional. La información identificativa puede estar:

• En etiquetas visibles dentro de la imagen.
• En cabeceras DICOM.
• En nombres de archivo.
• En marcas de agua.
• En anotaciones del equipo.
• En metadatos de adquisición.
• En imágenes faciales o reconstrucciones tridimensionales.

Eliminar la cabecera DICOM no anonimiza necesariamente el contenido visual. Una reconstrucción facial puede seguir siendo identificable. La política debe separar la anonimización de metadatos de la transformación del objeto clínico.

Los metadatos también deben entrar en el inventario:

• Usuario que exportó el fichero.
• Fecha de creación.
• Sistema de origen.
• Identificador de estudio.
• Coordenadas.
• Zona horaria.
• Nombre del dispositivo.
• Ruta de almacenamiento.
• Historial de modificaciones.

En una arquitectura de sistemas de información hospitalaria, estos campos suelen viajar junto al dato clínico sin aparecer en la tabla que ve el investigador. El control debe abarcar la exportación completa.

Paso 5: diseñar el flujo de integración con los sistemas hospitalarios

La anonimización de datos clínicos para investigación debe integrarse en la arquitectura existente. Un proceso manual basado en descargar hojas de cálculo crea duplicados, aumenta la latencia operativa y reduce la trazabilidad.

El flujo recomendado separa funciones:

1. Extracción controlada. El sistema obtiene solo las variables aprobadas desde la historia clínica electrónica, el laboratorio, radiología o farmacia.

2. Zona de preparación. Los datos se almacenan en un entorno restringido. No se trabaja sobre la base de producción.

3. Normalización. Se corrigen formatos, unidades, fechas y códigos. La normalización evita que una misma categoría aparezca con varias representaciones.

4. Eliminación de identificadores directos. Se retiran nombres, documentos, teléfonos, direcciones y números internos.

5. Transformación de cuasiidentificadores. Se aplican generalización, supresión, agregación u otras técnicas justificadas.

6. Limpieza de texto e imágenes. Se procesan notas clínicas, cabeceras, archivos adjuntos y metadatos.

7. Evaluación de riesgo. Se calculan singularización, vinculabilidad e inferencia.

8. Validación de utilidad. Se comprueba que el dataset mantiene las variables necesarias para el protocolo.

9. Aprobación y publicación interna. El acceso se concede a la versión transformada, no al repositorio de preparación.

10. Retirada y revisión. Se controla la caducidad del dataset, sus copias y sus nuevas versiones.

La interoperabilidad médica añade puntos de fuga. Los datos pueden pasar por motores de integración, colas de mensajería, almacenes intermedios, herramientas de inteligencia empresarial y plataformas de análisis. Cada copia necesita propietario, permiso y registro.

Separar anonimización y control de acceso

La seguridad de acceso no sustituye a la anonimización. Un repositorio con autenticación multifactor, cifrado y registro de actividad sigue conteniendo datos personales si la reidentificación es posible.

Ambas capas cumplen funciones diferentes:

• La anonimización reduce la identificabilidad del contenido.
• El control de acceso limita quién puede utilizarlo.
• El cifrado protege los datos durante el almacenamiento y la transmisión.
• La auditoría registra las operaciones.
• La segmentación evita que un fallo exponga todo el entorno.

La arquitectura debe aplicar el principio de mínimo privilegio. El investigador no necesita permisos de escritura sobre el repositorio original. El administrador de la plataforma no necesita acceso al contenido clínico si su función puede realizarse con datos técnicos. El equipo que conserva una clave de seudonimización debe estar separado del equipo analítico.

Técnicas adicionales: agregación, perturbación y privacidad diferencial

La agregación sustituye registros individuales por estadísticas de grupo. Es adecuada para cuadros de mando, informes de actividad y análisis de distribución. Reduce el detalle, pero puede dejar de servir para modelos que necesitan observaciones individuales.

La perturbación modifica valores mediante ruido, redondeo, intercambio o alteración controlada. Su aplicación debe documentarse porque puede afectar a las relaciones entre variables. Si se perturban edad, fecha y duración de estancia de forma independiente, el dataset puede generar combinaciones clínicas incoherentes.

La privacidad diferencial utiliza mecanismos matemáticos para limitar cuánto cambia el resultado de una consulta cuando se añade o se elimina un individuo. Puede ser útil para consultas estadísticas, pero exige definir el presupuesto de privacidad, el conjunto de consultas permitidas y la composición de múltiples salidas.

En datos clínicos complejos, especialmente genómicos o longitudinales, no debe presentarse un valor de privacidad como solución universal. La configuración depende del protocolo, del tamaño del dataset, del número de consultas y del riesgo de cruce. La evaluación debe ser específica.

Cómo elegir la técnica

La técnica debe elegirse después de definir el análisis. Aplicar una transformación por disponibilidad de una herramienta produce datasets difíciles de interpretar y fáciles de sobrevalorar.

El coste operativo de una mala anonimización

La protección de datos médicos en investigación no es solo una exigencia jurídica. También es una medida de continuidad operativa.

El coste medio de una brecha de datos en el sector sanitario alcanzó 10,93 millones de dólares por incidente en 2023, según el informe de IBM citado en los análisis sectoriales. La cifra no representa el coste de cada hospital ni predice un incidente concreto. Sí muestra la escala económica de un fallo en entornos sanitarios.

El impacto incluye:

• Investigación forense.
• Notificación y gestión de afectados.
• Interrupción de proyectos.
• Revisión de permisos.
• Sustitución de credenciales.
• Contención de sistemas.
• Pérdida de confianza institucional.
• Retrasos en ensayos y publicaciones.
• Reprocesamiento de datasets.
• Costes de cumplimiento y asesoramiento.

La optimización no consiste en eliminar controles para acelerar la entrega. Consiste en automatizar tareas repetibles y reservar la revisión experta para los casos de mayor riesgo.

Un pipeline eficiente puede incorporar:

• Reglas versionadas de transformación.
• Pruebas automáticas de identificadores directos.
• Detección de combinaciones únicas.
• Registro de cada exportación.
• Validación de esquemas.
• Controles de calidad sobre valores ausentes.
• Comparación entre dataset original y transformado.
• Revisión de muestras de texto.
• Caducidad automática de enlaces y copias.
• Alertas ante cambios en la estructura de origen.

La latencia también importa. Si el proceso de anonimización tarda días y depende de intervención manual, los usuarios buscarán atajos. Esa conducta genera exportaciones no controladas. La seguridad debe ser compatible con el flujo real de trabajo.

Protocolos de la AEPD y documentación mínima

La Agencia Española de Protección de Datos publicó el 2 de noviembre de 2022 la traducción de una guía básica de anonimización elaborada originalmente por la autoridad de protección de datos de Singapur. La publicación se acompañó de una herramienta en hoja de cálculo cifrada.

El valor de este tipo de material no está en proporcionar un botón de anonimización. Está en ordenar la evaluación. La organización debe poder explicar qué datos recibió, qué transformaciones aplicó, qué riesgos consideró y por qué el resultado es adecuado para la finalidad prevista.

El expediente técnico debería conservar:

• Finalidad del tratamiento.
• Descripción del colectivo afectado.
• Fuentes de datos utilizadas.
• Inventario de identificadores y cuasiidentificadores.
• Variables eliminadas y motivo.
• Transformaciones aplicadas.
• Parámetros de generalización.
• Criterio utilizado para definir K.
• Análisis de singularización.
• Análisis de vinculabilidad.
• Análisis de inferencia.
• Escenarios de ataque considerados.
• Fuentes externas plausibles.
• Pruebas de utilidad del dataset.
• Revisión de textos, imágenes y metadatos.
• Responsables de aprobación.
• Fecha de generación y versión.
• Política de conservación y eliminación.

La documentación debe ser reproducible. Si otro técnico no puede reconstruir el resultado a partir de las reglas registradas, el proceso depende de conocimiento informal. Eso dificulta la auditoría y aumenta la tasa de error.

La guía conceptual de la AEPD también diferencia claramente anonimización y seudonimización. La segunda mantiene los datos bajo el RGPD porque existe información adicional capaz de vincular el código con la persona. Esa distinción debe aparecer en el registro de actividades, en los contratos y en la arquitectura de acceso.

Errores típicos en proyectos de investigación clínica

Eliminar solo nombre y DNI

Es el error más frecuente. Los datos restantes pueden identificar por combinación. La solución es analizar cuasiidentificadores y fuentes externas, no añadir otra capa de ocultación al nombre.

Guardar la tabla de correspondencia junto al dataset

Si existe una clave que revierte el proceso, el sistema es seudonimizado. La clave debe mantenerse separada, con control de acceso, finalidad definida y trazabilidad. Si el objetivo es anonimizar, no debe existir una vía operativa de recuperación de identidad.

Conservar fechas exactas sin justificación

Las fechas permiten vincular registros y localizar acontecimientos. La granularidad temporal debe responder a una necesidad analítica concreta. Cuando no sea imprescindible, puede utilizarse mes, trimestre o intervalo.

Publicar grupos pequeños

Una tabla agregada puede revelar información sobre un colectivo reducido. Deben definirse reglas para ocultar, agrupar o revisar celdas con pocos casos. La regla no puede limitarse a una única publicación: hay que considerar la combinación con tablas anteriores.

Ignorar el texto libre

Los informes narrativos contienen más contexto que las columnas estructuradas. El borrado automático de nombres no detecta todos los patrones identificativos. La revisión debe incluir muestreo y control de falsos negativos.

Confundir cifrado con anonimización

Un fichero cifrado sigue siendo identificable cuando se dispone de la clave. El cifrado es una medida de seguridad. No cambia por sí solo la naturaleza del dato.

Medir solo la utilidad

Un modelo con mayor precisión no justifica conservar variables que elevan de forma innecesaria el riesgo. La evaluación debe equilibrar utilidad, privacidad, interoperabilidad y coste de operación.

No revisar las versiones

El riesgo cambia cuando se combinan varias entregas. La gestión de versiones forma parte del proceso. Deben controlarse copias temporales, exportaciones locales y resultados derivados.

Secuencia operativa recomendada

Para un hospital o centro de investigación, el procedimiento puede organizarse en cinco fases:

1. Definición. Se concreta la finalidad, la población, las variables necesarias y el nivel de detalle requerido.

2. Inventario. Se localizan identificadores directos, cuasiidentificadores, textos, imágenes, metadatos y posibles fuentes de cruce.

3. Transformación. Se eliminan identificadores, se generalizan atributos, se suprimen excepciones y se agregan resultados cuando proceda.

4. Evaluación. Se prueban singularización, vinculabilidad e inferencia. Se calcula la distribución de grupos y se revisan los casos atípicos.

5. Gobierno. Se documenta la versión, se asignan permisos, se controla la conservación y se repite la evaluación cuando cambia el dataset.

La salida debe tener dos resultados separados. El primero es el dataset transformado. El segundo es el expediente que demuestra cómo se ha obtenido. Sin el segundo, la organización no puede justificar la tasa de error del proceso ni explicar sus decisiones.

Veredicto técnico

La anonimización de datos clínicos para investigación es un proceso de ingeniería de datos, evaluación de riesgo y gobierno sanitario. No es una operación cosmética sobre una columna de nombres.

La secuencia correcta es:

• Definir la finalidad.
• Minimizar las variables.
• Separar anonimización y seudonimización.
• Analizar singularización, vinculabilidad e inferencia.
• Aplicar k-anonimidad u otras técnicas con parámetros justificados.
• Revisar textos, imágenes y metadatos.
• Integrar el proceso en los sistemas hospitalarios.
• Medir la utilidad sin ignorar la exposición.
• Documentar cada versión.

El criterio final no es que el fichero parezca anónimo. Es que la identificación no resulte razonablemente posible con los medios, datos auxiliares y recursos previsibles del escenario evaluado. Si el proceso conserva una clave, permite cruces triviales o deja grupos singulares, el resultado debe tratarse como seudonimizado o como datos personales. La infraestructura debe reflejar esa realidad.