¿Un conjunto de datos seudonimizados es siempre un conjunto de datos personales, o puede llegar a tener la consideración de datos anónimos? Esta distinción tiene enormes consecuencias prácticas, en particular en el ámbito de la investigación clínica. Si los datos son anónimos, el Reglamento General de Protección de Datos (RGPD) no resulta de aplicación. Si los datos son seudonimizados, el RGPD sí será, en principio, de aplicación.
El Tribunal de Justicia de la Unión Europea (TJUE) viene insistiendo en que la identificabilidad no puede analizarse en abstracto. Para valorar si una persona puede ser reidentificada, deben tenerse en cuenta los medios que razonablemente puedan utilizarse, atendiendo a factores como el coste, el tiempo necesario para llevar a cabo la reidentificación, la tecnología disponible, así como las circunstancias concretas del tratamiento de los datos. Ahora bien, el TJUE también ha precisado, en línea con la conocida como doctrina Scania, que esta valoración puede depender de la posición de quien recibe o trata los datos. Un mismo conjunto de datos puede seguir teniendo la consideración de datos personales para quien dispone de medios razonables para identificar a las personas, pero no serlo para un destinatario que, en su contexto concreto, no puede atribuir esos datos a una persona.
Este asunto ha sido abordado recientemente por la autoridad francesa de protección de datos (CNIL), en un procedimiento sobre el tratamiento, con fines de investigación, de datos de salud de pacientes integrados en dos bases de datos construidas a partir de información procedente de oficinas de farmacia y de médicos. Una de las cuestiones discutidas era si, tras las medidas de seudonimización aplicadas, los datos debían seguir considerándose datos personales. La CNIL concluye que sí, porque la entidad que los recopilaba no era un mero destinatario de datos seudonimizados, sino quien había construido las bases de datos de salud con información muy detallada y vinculada a identificadores únicos.
Por eso, en el ámbito de los estudios clínicos, el análisis de la reidentificación requiere de una especial prudencia. Los datos de salud suelen ser ricos, longitudinales y muy singulares. La edad, el sexo, el peso, la patología, la prescripción y dispensación de medicamentos o la zona donde vive una persona pueden parecer elementos no identificativos si se observan de forma aislada. Pero, cuando se combinan y se vinculan a un identificador que permite seguir la trayectoria de una persona, las posibilidades de reidentificación aumentan significativamente.
La conclusión no es que la seudonimización carezca de valor. Al contrario, sigue siendo una medida apropiada y, en muchos casos, necesaria. La reflexión en este caso es que la seudonimización no puede confundirse con la anonimización ni invocarse para situar automáticamente cualquier tratamiento de datos fuera del RGPD. El aviso a navegantes es que, al tratar datos de salud, cuanto más completo, estructurado y longitudinal sea el conjunto de datos, mayor será la probabilidad de reidentificación y, por tanto, más exigentes deberán ser las medidas técnicas implementadas.
