¿Para qué me sirve esta actividad? 📚
Esta actividad te ayudará a establecer el procedimiento que debe seguir tu empresa cuando necesite utilizar información para análisis, estadísticas, pruebas, reportes u otras finalidades que no requieran identificar directamente a las personas.
Este documento es importante porque permite reducir la exposición de datos personales, aprovechar información útil para la operación de la empresa, siempre que se apliquen técnicas adecuadas y se analice el riesgo de reidentificación y cumplir con obligaciones legales aplicables.
¿Qué tengo que hacer? 🚀
💡Este documento debe reflejar las capacidades técnicas, responsables y herramientas reales de tu empresa.
Al trabajar en el template, te recomendamos primero leerlo en su totalidad para así comprender la información que deberás documentar posteriormente. Y para completarlo de forma adecuada, te recomendamos considerar lo siguiente:
Objetivo y alcance del procedimiento.
Verifica que el objetivo se enfoque en proteger los datos personales para reducir la posibilidad de identificar a sus titulares.
Asegúrate de que el alcance incluya únicamente los datos personales que la empresa realmente necesita utilizar sin identificar directamente a las personas. Considera usos como reportes estadísticos, análisis internos, pruebas de sistemas o generación de indicadores, cuando correspondan a tu operación.
Selección de los datos personales a anonimizar.
Asigna al responsable más adecuado y define si la selección de los datos que requieren medidas de anonimización necesitan la participación de Tecnología, Seguridad de la Información, Ciencia de Datos u otra área técnica.
Identifica no solo los datos directos, como nombres, documentos o correos electrónicos, sino también aquellos que, combinados, podrían permitir reconocer a una persona, como ubicación, edad exacta, cargo, fechas o información financiera.
Define los métodos que aplicará la empresa.
Mantén únicamente los métodos que tu empresa pueda aplicar y demostrar técnicamente.
Algunos ejemplos de técnicas son la generalización, supresión o enmascaramiento, aleatorización, adición de ruido, permutación, privacidad diferencial, hash y cifrado.
Para datos sensibles, revisa si deben combinarse distintas técnicas y aplicarse controles reforzados.
⚖️ Recomendación legal: No todas las técnicas producen anonimización por sí solas. Por ejemplo, el cifrado, el hash o el enmascaramiento pueden seguir permitiendo una vinculación con el titular si existe una clave, información adicional o una posibilidad razonable de reidentificación.
Evalúa el riesgo de reidentificación.
Define qué perfil o área evaluará, preferentemente junto con el Oficial de Protección de Datos o rol equivalente dentro de tu empresa, el riesgo residual de que los datos puedan vincularse nuevamente con una persona.
Considera si la información anonimizada puede cruzarse con otras bases internas, fuentes públicas, datos de terceros o registros disponibles en la organización.
Mantén la revisión periódica al menos una vez al año, y realiza una nueva evaluación cuando cambie la información o datos utilizados, la finalidad o el método aplicado.
Documenta el resultado de la evaluación y las medidas adicionales adoptadas cuando el riesgo no sea aceptable.
Monitorea y mejora el procedimiento.
Se debe revisar periódicamente la implementación del procedimiento y validar si existen nuevos métodos o herramientas que ayuden a prevenir o mitigar riesgos de reidentificación.
Si se modifica una técnica, herramienta o forma de utilizar los datos, actualiza el procedimiento, capacita a los responsables y comunica los cambios a las áreas involucradas.
Cuando se detecte una debilidad relevante, registra el caso en la gestión de riesgos o en el Plan de Tratamiento de Acciones Correctivas y de Mejora, según corresponda.
Completa el versionado del documento.
Al finalizar, completa la tabla de versionado indicando quién elaboró el procedimiento, quién lo aprobó, la fecha de aprobación y la clasificación de la información.
Nuestro template está estructurado para orientar la selección de datos, la aplicación de técnicas, la evaluación de riesgos de reidentificación y la mejora continua, pero recuerda que debe ajustarse a la realidad operativa y técnica de tu empresa.
💡Los pasos a seguir para terminar la actividad dentro de la plataforma son los siguientes:
Una vez que nuestro equipo haya aprobado la actividad, debes subir el documento final en versión PDF (no editable).
Posteriormente, debes subir la evidencia de su aprobación.
Recomendamos que esta evidencia sea a través de una minuta de sesión de comité (en ese caso, debes subir el documento en PDF de la minuta), o con una captura de pantalla de la respuesta explícita de quién o quiénes lo aprobaron.
Esto debe realizarse por algún medio de comunicación interno de la empresa, como Slack, Teams o el correo electrónico organizacional.
O también puedes utilizar la funcionalidad de aprobación que tiene la plataforma Hackmetrix.
Y por último, debes subir la evidencia de su comunicación.
Al igual que la aprobación, la comunicación del documento puede ser por cualquier medio formal interno de la empresa. Y para esto, debes subir una captura de pantalla donde se muestre que el documento fue comunicado a todos los colaboradores interesados.
O también puedes utilizar la funcionalidad de comunicación que tiene la plataforma Hackmetrix.
Recomendaciones ✅
Mantén separadas las bases originales y las versiones anonimizadas. El acceso a la información original debe limitarse a los perfiles que realmente lo necesiten.
Utiliza datos anonimizados, sintéticos o minimizados en ambientes de desarrollo y pruebas, evitando exponer bases reales a equipos que no requieren acceder a ellas.
Conserva evidencia de la selección de datos, las técnicas aplicadas y la evaluación de riesgos de reidentificación, especialmente cuando se trate de datos sensibles o se compartan resultados con terceros.
No uses la anonimización como sustituto automático de una solicitud de borrado. Antes de decidir, revisa si corresponde eliminar, restringir, conservar por obligación legal o aplicar una técnica adicional de protección.
¡Califica este artículo 👇, esto nos ayudará a mejorar nuestro contenido para ti! También puedes contactarnos por correo electrónico o a través de la plataforma, y te brindaremos la atención que necesites.