Control de divulgación estadística

1 · Publicar sin delatar

Una oficina de estadística promete dos cosas a la vez: publicar todo lo que pueda y no revelar nada sobre nadie. En la Argentina la segunda es ley: el secreto estadístico de la Ley 17.622 obliga a que lo que se recoge con fines estadísticos se publique de modo que ninguna persona, hogar o empresa pueda ser identificada (ver ética y consentimiento).

El control de divulgación estadística es el conjunto de técnicas para cumplir las dos promesas a la vez. Parte de una idea incómoda: sacar el nombre no alcanza. Una persona se reconoce por la combinación de rasgos comunes, como la edad, el barrio o la profesión, aunque ninguno de ellos la identifique por sí solo.

Hay dos riesgos distintos:

• Divulgación de identidad: alguien reconoce qué registro corresponde a una persona. Por ejemplo, que la mujer de 87 años, viuda y con título universitario de la base es su vecina.
• Divulgación de atributo: alguien aprende algo nuevo de una persona, aunque no encuentre su registro. Si una tabla muestra que todos los patrones con primaria incompleta de una ciudad declararon ingresos por debajo de cierto monto, se sabe eso de cada uno de ellos.

2 · Microdatos: cuasi-identificadores y unicidad

Las variables que, combinadas, permiten reconocer a alguien se llaman cuasi-identificadores. Son las que un tercero puede conocer por otra vía: la edad y el sexo de un vecino, su estado civil, su nivel educativo, dónde nació. No incluyen lo que se quiere proteger, como el ingreso o la condición de actividad, que es lo que se aprendería al reconocer el registro.

La medida más simple del riesgo es cuántos registros son únicos en la combinación de cuasi-identificadores. Si una persona es la única de su grupo, quien sepa esos datos de ella encuentra su registro sin dudar.

En la base de personas de la EPH del primer trimestre de 2026 (43.739 personas):

Variables que se cruzan	Edad exacta	Quinquenios	Quinquenios y región
Aglomerado, sexo y edad	1,0 %	0 %	0 %
+ estado civil	11,1 %	1,2 %	0,1 %
+ nivel educativo	38,0 %	12,1 %	1,8 %
+ lugar de nacimiento	48,6 %	24,2 %	7,8 %
+ parentesco	59,6 %	36,3 %	15,4 %

Porcentaje de personas que son las únicas de la muestra con esa combinación. Las dos primeras columnas usan el aglomerado; la tercera, la región. El parentesco es la relación con el jefe del hogar.

Con aglomerado, sexo, edad, estado civil y nivel educativo, el 38 % de las personas es única. Entre los ocupados, si se agrega el código de ocupación, son únicos el 96 %.

Con los hogares pasa algo peor. La composición del hogar (el sexo y la edad de cada miembro), dentro de su aglomerado, deja únicos al 84 % de los 15.447 hogares. Entre los de dos personas, el 93 %; desde tres personas en adelante, prácticamente todos. Quien conozca a una familia y sepa que fue encuestada la encuentra en la base, y con ella su ingreso.

Único en la muestra no es único en la población

La EPH tiene una protección de origen: es una muestra. Cada persona encuestada representa a entre 23 y 8.983 personas de la población, con una mediana de 340. Que alguien sea único en la muestra no quiere decir que lo sea en la población: puede haber cientos de personas con la misma combinación que no salieron sorteadas. Quien busca a un conocido no sabe si su registro es ese o si esa persona ni siquiera está en la base.

Esa protección se cae en un caso: cuando el atacante sabe que la persona respondió. Es el vecino que vio al encuestador entrar a la casa de al lado. Por eso el riesgo de un hogar con composición única es real, aunque el de una persona suelta sea bajo. Y por eso un censo o un registro administrativo completo, donde todos están, necesita mucha más protección que una muestra.

Cómo se reduce

Las técnicas para microdatos se dividen en dos familias:

• No perturbativas: publican menos detalle, pero lo que publican es verdad.
  • Recodificación global: agrupar categorías, como la edad en quinquenios, el aglomerado en región o la ocupación en grandes grupos. Es lo que muestran las columnas de la tabla.
  • Acotamiento (top-coding): publicar «90 años o más» o «ingresos de más de X» en lugar del valor exacto, porque los extremos son los más fáciles de reconocer.
  • Supresión local: borrar el valor de una variable solo en los registros que siguen siendo únicos después de recodificar.
• Perturbativas: cambian los datos un poco, de manera controlada, para que ningún registro sea seguro.
  • Intercambio (swapping): permutar la ubicación entre hogares parecidos.
  • PRAM: cambiar al azar algunas categorías con probabilidades conocidas.
  • Microagregación: reemplazar valores numéricos por el promedio de grupos de al menos k registros parecidos.
  • Ruido: sumar un error aleatorio a las variables continuas.

Un criterio habitual de llegada es el k-anonimato: cada combinación de cuasi-identificadores tiene que aparecer al menos $k$ veces, con $k$ de 3 o 5. La versión pública de la EPH aplica una forma de recodificación global fuerte: no trae localidad, radio ni domicilio, solo el aglomerado, que es lo que hace que los porcentajes de la primera columna no sean peores.

3 · Tablas: la supresión de celdas

Una tabla también puede revelar. Si un tabulado de un registro completo muestra una celda con 1, describe a una persona; si muestra una con 2, cada una de las dos sabe todo de la otra.

Para ver cómo se protege una tabla se usan los conteos de la muestra de la EPH en Gran Catamarca: 631 ocupados, por nivel educativo y categoría ocupacional. La EPH es pública, así que estos números no revelan nada; se los trata como si fueran un tabulado de un registro completo, donde un 1 sería una persona real.

Nivel educativo	Patrón	Cuenta propia	Asalariado	Total
Primario incompleto	1	2	7	10
Primario completo	9	10	38	57
Secundario incompleto	5	24	45	74
Secundario completo	11	49	166	226
Superior incompleto	9	15	63	87
Superior completo	12	19	146	177
Total	47	119	465	631

Supresión primaria

La regla de umbral dice que no se publica ninguna celda con menos de 3 casos. Hay dos: el patrón y los dos cuentapropistas con primaria incompleta. Se reemplazan por una X.

Pero los totales siguen publicados, y con ellos la celda se recupera con una resta. El total de patrones es 47 y los otros cinco suman 46, así que la celda oculta vale exactamente 1. Lo mismo con la de cuenta propia. La supresión primaria sola no protege nada.

Supresión secundaria

Hay que ocultar más celdas, elegidas para que ninguna fila ni columna quede con una sola X. El procedimiento más simple agrega, en cada línea con una sola celda oculta, la más chica de las que quedan a la vista, y repite hasta que no quede ninguna así. Con esta tabla hacen falta cuatro celdas más:

Nivel educativo	Patrón	Cuenta propia	Asalariado	Total
Primario incompleto	X	X	7	10
Primario completo	X	X	38	57
Secundario incompleto	X	X	45	74
Secundario completo	11	49	166	226
Superior incompleto	9	15	63	87
Superior completo	12	19	146	177
Total	47	119	465	631

La auditoría

¿Alcanza? Para saberlo se hace de atacante. Con los totales y las celdas a la vista, se plantea un problema de programación lineal para cada X: cuál es el menor y el mayor valor posible que es compatible con todo lo publicado, sabiendo que los conteos no pueden ser negativos.

Celda oculta	Valor real	Intervalo posible
Primario incompleto, patrón	1	0 a 3
Primario incompleto, cuenta propia	2	0 a 3
Primario completo, patrón	9	0 a 15
Primario completo, cuenta propia	10	4 a 19
Secundario incompleto, patrón	5	0 a 15
Secundario incompleto, cuenta propia	24	14 a 29

Las dos celdas sensibles quedaron entre 0 y 3: el atacante no sabe si hay cero, uno, dos o tres patrones con primaria incompleta. Con solo la supresión primaria, la misma auditoría da intervalos de 1 a 1 y de 2 a 2.

Tablas de magnitudes

En las tablas de montos (facturación, salarios, producción), el riesgo no viene de que haya pocos casos, sino de que uno domine. Si en un departamento hay diez empresas de una rama pero una factura el 90 %, el total de la celda es casi el dato de esa empresa, y cualquiera de las otras nueve puede restar lo suyo y conocerlo. La regla de dominancia $(n, k)$ suprime la celda si las $n$ unidades más grandes suman más del $k$ % del total.

Las dos reglas aparecen en los datos públicos. En los puestos y salarios por departamento del CEP XXI, la celda que no se publica trae un −99: hay tan pocas empresas en esa rama y ese departamento que el dato identificaría a una.

4 · Perturbar en lugar de ocultar

La alternativa a suprimir es publicar todas las celdas, pero un poco alteradas.

Redondeo aleatorio. Cada conteo se redondea a un múltiplo de 5, para arriba o para abajo, con probabilidades que hacen que en promedio dé el valor verdadero. Un 1 puede publicarse como 0 o como 5, y nadie sabe cuál era. En la tabla de Gran Catamarca, el error medio por celda es de 1,5. El costo es que las filas dejan de sumar: si las celdas y el total se redondean por separado, en el 99 % de las versiones de la tabla alguna fila no suma su total.

Ruido con privacidad diferencial. Se suma a cada celda un número al azar de una distribución de Laplace con escala $1/\varepsilon$. El parámetro $\varepsilon$, el presupuesto de privacidad, fija cuánto puede cambiar lo publicado por la presencia o ausencia de una sola persona: cuanto más chico, más ruido y más protección. Con $\varepsilon = 1$ el error medio por celda es de 1 caso, pero se acumula: el total de la tabla, sumando las 18 celdas con ruido, se desvía en promedio 4,7.

5 · Lo que esto significa para quien usa los datos

Casi nadie que trabaja con datos públicos diseña el control de divulgación, pero todos tropiezan con él. Las marcas más comunes en las fuentes argentinas:

• Celdas marcadas con un código. El −99 de los puestos y salarios por departamento no es un número: sumarlo achica el total a menos de un cuarto del real.
• Categorías de descarte. En el relevamiento anual educativo, el departamento «Enmascarado» junta los casos con conteos bajos: sumar por departamento sin él no da el total.
• Detalle que no está. En el censo 2022, las variables con pocos casos vienen agrupadas o no vienen a nivel de radio; en la EPH, no hay geografía por debajo del aglomerado.
• Totales que no cierran. Con redondeo o ruido, la suma de las partes no da el total publicado, y no es un error de carga.

Lo que falta por secreto estadístico no es cero: es desconocido. Tratarlo como cero, o sacarlo sin decirlo, es un error de análisis.

6 · Errores frecuentes

• Creer que anonimizar es borrar el nombre. El 60 % de las personas de la EPH es reconocible por cinco datos comunes, sin nombre ni documento.
• Suprimir solo las celdas chicas. Con los totales publicados, se recuperan con una resta. La supresión secundaria y la auditoría son parte del método, no un agregado.
• Proteger cada tabla por separado. Dos tablas que comparten un total permiten restar una de otra (ataque por diferencia): la de un departamento y la de la provincia sin ese departamento revelan lo mismo que la tabla que no se publicó.
• Publicar en una tesis o un informe tablas de microdatos sin revisar las celdas. Una tabla de frecuencias de la EPH por aglomerado, edad y ocupación tiene celdas con una sola persona. Los conteos sin expandir de celdas chicas no deberían publicarse.
• Tratar los datos secretados como ceros. Achica totales y sesga promedios. Hay que excluirlos y decir cuántos son, o imputarlos explícitamente.

7 · Software

En R, el paquete sdcMicro mide el riesgo de microdatos y aplica las técnicas de la sección 2, y sdcTable resuelve la supresión secundaria en tablas:

library(sdcMicro)
sdc <- createSdcObj(eph, keyVars = c("AGLOMERADO", "CH04", "CH06", "CH07", "NIVEL_ED"),
                    weightVar = "PONDERA")
print(sdc, "kAnon")                          # registros que violan 2-, 3- y 5-anonimato
sdc <- globalRecode(sdc, column = "CH06", breaks = c(-Inf, seq(4, 79, 5), Inf))
sdc <- localSuppression(sdc, k = 3)          # borra lo mínimo para llegar a 3-anonimato

Eurostat distribuye τ-ARGUS (tablas) y μ-ARGUS (microdatos), que usan muchas oficinas de estadística. En Python, el conteo de únicos es un groupby:

k = eph.groupby(["AGLOMERADO", "CH04", "CH06", "CH07", "NIVEL_ED"])["PONDERA"].transform("size")
(k == 1).mean()                              # proporción de registros únicos

Los cálculos de esta entrada, con la auditoría por programación lineal, están en datos/eph/preparar-divulgacion-m17.py.

@misc{estadistica_ar_control_de_divulgacion_estadistica,
  author       = {Montivero, Jorge Luis},
  title        = {{Control de divulgación estadística}},
  year         = {2026},
  howpublished = {\url{https://estadistica.ar/conceptos/control-de-divulgacion-estadistica}},
  note         = {estadistica.ar. Consultado el \today},
  urldate      = {2026-10-31}
}