Irreversibilidad de la anonimización: definición
La irreversibilidad de la anonimización es la propiedad de un proceso que impide volver a identificar a una persona a partir del resultado anonimizado, utilizando medios que sea razonablemente probable que estén disponibles. En el tratamiento de imágenes y vídeos, se refiere a si los rostros difuminados, las matrículas ocultas y los metadatos relacionados aún pueden vincularse con una persona identificable.
En virtud del Reglamento General de Protección de Datos (RGPD) de la Unión Europea (UE), los datos solo son anónimos si la persona ya no es identificable. El considerando 26 exige evaluar todos los medios que sea razonablemente probable que se utilicen para identificar a una persona, incluida la tecnología disponible, el coste, el tiempo y los avances tecnológicos. Si sigue siendo razonablemente probable volver a identificar a una persona, las grabaciones continúan siendo datos personales y el RGPD sigue siendo aplicable.
Por tanto, la irreversibilidad no equivale a aplicar un efecto de difuminado visible. Un rostro puede estar visualmente oculto y, aun así, el vídeo permitir la identificación mediante la ropa, la ubicación, las características del vehículo, los patrones de movimiento, el audio, las marcas de tiempo, los identificadores de cámara o el acceso a un archivo original sin difuminar.
Por qué la irreversibilidad determina el estatus de los datos de imágenes y vídeo
El RGPD distingue entre anonimización y seudonimización. Los datos seudonimizados pueden volver a vincularse con una persona mediante información adicional. Los datos anónimos no pueden vincularse razonablemente con una persona. Esta distinción determina si las grabaciones están reguladas como datos personales.
Resultado del tratamiento | ¿Puede volver a identificarse razonablemente a una persona? | Estatus habitual según el RGPD
|
|---|---|---|
Vídeo original con una copia de visualización difuminada | Sí, si la organización conserva el archivo original | Datos personales |
Vídeo con originales cifrados y una clave de descifrado independiente | Sí, para quien tenga acceso a la clave | Datos personales, a menudo seudonimizados |
Vídeo difuminado de forma destructiva, sin originales accesibles, identificadores ni datos de vinculación prácticos | Posiblemente no, sujeto a una evaluación contextual | Puede constituir datos anónimos |
Grabaciones con rostros difuminados, pero que conservan datos únicos de ubicación y hora | Posiblemente, en función de la información externa disponible | Normalmente requiere una evaluación adicional |
Un responsable del tratamiento no puede acreditar la anonimización basándose únicamente en las propiedades matemáticas o visuales de un filtro de difuminado. La evaluación debe incluir todo el entorno de tratamiento. Esto abarca quién conserva las grabaciones originales, quién puede acceder a las coordenadas de las máscaras, si un vídeo puede vincularse con otra fuente de cámara y si los datos públicos o internos podrían identificar a una persona.
Irreversibilidad al difuminar rostros y matrículas
Difuminar rostros y matrículas se utiliza habitualmente para reducir la posibilidad de identificación en grabaciones. Su eficacia depende de la calidad de la detección, la cobertura de las máscaras, la consistencia temporal y la eliminación o protección del material de origen original.
Para la anonimización de vídeo, una revisión de privacidad debe evaluar las siguientes condiciones técnicas:
- Cobertura de detección: los rostros y las matrículas deben detectarse en todos los fotogramas relevantes, incluidas las vistas parciales, de perfil, con desenfoque de movimiento, oclusiones y cambios de iluminación.
- Persistencia de la máscara: la máscara de difuminado debe mantenerse alineada con el rostro o la matrícula durante todo el movimiento. Una máscara que se desplace, aunque sea brevemente, puede revelar información identificativa.
- Intensidad del difuminado y área de la máscara: la máscara debe ocultar suficientes detalles visuales. El pixelado, los efectos de mosaico y el difuminado gaussiano pueden presentar distintos riesgos de información residual.
- Gestión del archivo original: conservar una copia sin difuminar hace que el proceso sea reversible para quienes tengan acceso a esa copia.
- Minimización de metadatos: las marcas de tiempo, la geolocalización precisa, los nombres de cámaras, los identificadores de vehículos y el audio pueden permitir la identificación indirecta.
- Vinculación con datos externos: una persona difuminada puede seguir siendo identificable si las grabaciones se combinan con registros de control de acceso, horarios, publicaciones en redes sociales u otro ángulo de cámara.
Gallio PRO detecta y difumina automáticamente rostros y matrículas en archivos de imagen y vídeo. No realiza anonimización en tiempo real ni anonimización de transmisiones de vídeo. Tampoco detecta automáticamente logotipos, tatuajes, identificadores con nombre, documentos o contenido mostrado en monitores. Estos elementos pueden requerir el uso de máscaras manuales en el editor manual integrado cuando generan un riesgo de identificación.
Métricas clave para evaluar la calidad de la anonimización
La irreversibilidad es una conclusión jurídica y contextual, pero las métricas técnicas aportan evidencias para dicha conclusión. Las métricas de detección deben medirse en grabaciones representativas, incluidos los ángulos de cámara, las condiciones de iluminación, los ajustes de compresión y los patrones de movimiento utilizados en el entorno real de tratamiento.
Métrica | Fórmula o medición | Por qué es importante
|
|---|---|---|
Exhaustividad | TP / (TP + FN) | Mide la proporción de rostros o matrículas detectados correctamente. |
Tasa de falsos negativos | FN / (TP + FN) | Mide la proporción de objetos relevantes que quedan sin ocultar. |
Precisión | TP / (TP + FP) | Mide si las máscaras aplicadas corresponden a rostros o matrículas reales. |
Cobertura de seguimiento | Fotogramas con máscara / fotogramas en los que el objeto es visible | Mide si la protección se mantiene durante una secuencia de vídeo. |
Pruebas de identificabilidad residual | Intentos controlados de identificar a las personas a partir del resultado tratado | Evalúa los riesgos generados por el contexto, los metadatos y las fuentes de datos externas. |
No existe un radio mínimo de difuminado, un tamaño de bloque de píxeles ni un único umbral de exhaustividad aprobado por el RGPD que convierta automáticamente un vídeo en anónimo. Un ajuste técnico puede reducir el reconocimiento directo y, al mismo tiempo, permitir la identificación indirecta. La prueba adecuada consiste en determinar si la identificación sigue siendo razonablemente probable en el contexto específico de tratamiento.
Limitaciones y controles prácticos
La anonimización debe diseñarse como un proceso, no como un filtro único. Un flujo de trabajo defendible combina detección automática, revisión manual de calidad cuando el riesgo lo justifique, gestión segura de los archivos de origen y pruebas documentadas.
- Defina la divulgación prevista y los destinatarios probables de las grabaciones tratadas.
- Identifique los identificadores directos, incluidos los rostros y las matrículas.
- Identifique los identificadores indirectos, como el audio, la ubicación, los uniformes, las señalizaciones de vehículos y el contexto del evento.
- Aplique el difuminado de rostros y matrículas en todos los fotogramas relevantes.
- Revise las detecciones omitidas, las máscaras parciales y los detalles identificativos específicos de cada escena.
- Restrinja, elimine o proteja por separado las grabaciones originales sin difuminar.
- Documente el modelo de amenazas, el método de prueba, los riesgos residuales y las decisiones de conservación.
Normas y referencias
El RGPD no prescribe un único método técnico de anonimización. Exige una evaluación contextual de la identificabilidad. Las siguientes fuentes proporcionan el marco jurídico principal y terminología técnica ampliamente utilizada.
Fuente | Relevancia
|
|---|---|
Define los datos personales y establece el criterio de la UE para determinar si es razonablemente probable identificar a una persona. | |
Grupo de Trabajo del Artículo 29, Dictamen 05/2014 sobre técnicas de anonimización, 2014 | Explica la individualización, la vinculabilidad y la inferencia como riesgos clave de la anonimización. |
Proporciona terminología y conceptos de clasificación para las técnicas de desidentificación de datos que mejoran la privacidad. | |
Instituto Nacional de Estándares y Tecnología, NISTIR 8053, 2015 | Describe conceptos de desidentificación, evaluación de riesgos y los límites de los métodos de transformación de datos. |
Equivalente en Estados Unidos
Estados Unidos no cuenta con un equivalente federal general al criterio del RGPD para los datos anónimos de imágenes y vídeo. Las normas relevantes son sectoriales y específicas de cada estado. Por ejemplo, la Ley de Portabilidad y Responsabilidad del Seguro de Salud (HIPAA) establece normas de desidentificación para la información sanitaria protegida en 45 CFR 164.514, mientras que la Ley de Privacidad del Consumidor de California (CCPA), modificada por la Ley de Derechos de Privacidad de California (CPRA), define la información desidentificada en la sección 1798.140(m) del Código Civil de California.
Ninguno de estos marcos establece una regla universal según la cual los efectos de difuminado, por sí solos, conviertan las grabaciones en anónimas. Las organizaciones deben evaluar si las grabaciones pueden seguir vinculándose razonablemente con una persona conforme a la legislación aplicable, las condiciones contractuales, una orden judicial, una norma sobre registros públicos o una política interna de privacidad.