RODO anonimizacja i pseudonimizacja.

RODO anonimizacja pseudonimizacja

Anonimizacja oraz pseudonimizacja – objaśnienia (RODO).

Opierając się na treści nowego unijnego rozporządzenia ogólnego o ochronie danych (RODO) oraz przyjętej w dniu 10 kwietnia 2014 r. opinii 05/2014 w sprawie technik anonimizacji, wskazujemy na różnice pomiędzy obydwoma pojęciami.

Podstawowa różnica polega na tym, że skutkiem anonimizacji jest nieodwracalne uniemożliwienie identyfikacji osoby. Natomiast przy zastosowaniu pseudonimizacji nadal istnieje prawdopodobieństwo pośredniego zidentyfikowania osoby fizycznej.

Anonimizacja.

Jak wskazano w ww. opinii, skuteczne rozwiązanie w zakresie anonimizacji uniemożliwia wszystkim stronom wyodrębnienie konkretnej osoby fizycznej ze zbioru danych. Uniemożliwia też, tworzenie powiązań między dwoma zapisami w zbiorze danych (lub między dwoma oddzielnymi zbiorami) i wnioskowanie jakichkolwiek informacji z tych danych. Przy stosowaniu anonimizacji samo usunięcie elementów umożliwiających bezpośrednią identyfikację nie wystarcza do zapewnienia aby zidentyfikowanie osoby (której dane dotyczą) nie było już możliwe. Często konieczne będzie podjęcie dodatkowych środków w celu zapobieżenia identyfikacji takiej osoby. Proces anonimizacji polega na tym, by nie istniała już możliwość wykorzystania danych do zidentyfikowania osoby fizycznej za pomocą „wszystkich sposobów, jakimi może posłużyć się” administrator danych lub osoba trzecia. Istotnym czynnikiem jest fakt, że przetwarzanie musi być nieodwracalne. Jeżeli anonimizacja została przeprowadzona w sposób skuteczny nie będziemy już przetwarzać danych osobowych, w rozumieniu ustawy czy RODO.

Jeżeli natomiast chodzi o pseudonimizację, to w istocie należy uznać ją za środek bezpieczeństwa. Nie jest to natomiast metoda anonimizacji.

Pseudonimizacja.

Pseudonimizacja polega na zastępowaniu jednego atrybutu (z reguły atrybutu nietypowego) w zapisie innym atrybutem. W związku z tym nadal istnieje prawdopodobieństwo pośredniego zidentyfikowania osoby fizycznej. Dlatego też stosowanie samej pseudonimizacji nie będzie skutkowało anonimowym zbiorem danych.

Przykładowe metody pseudonimizacji opisane w ww. opinii to np.:

  • szyfrowanie z kluczem tajnym:

W tym przypadku posiadacz klucza może z łatwością ponownie zidentyfikować każdą osobę, której dane dotyczą, poprzez odszyfrowanie zbioru danych.

  • funkcja skrótu:

Polega na skróceniu danych osobowych do określonych wartości np.:

– imię i nazwisko skracamy do inicjałów;

– numer i adres zamieszkania do pierwszych liter ulicy i miejscowości.

  • tokenizacja:

Technika ta jest zwykle stosowana w sektorze finansowym w celu zastąpienia numerów identyfikacyjnych kart wartościami, które ograniczają ich użyteczność dla osoby trzeciej. Tokenizacja polega na stosowaniu mechanizmów szyfrowania jednokierunkowego lub na przypisaniu za pomocą funkcji indeksu, sekwencji liczb lub losowo wygenerowanych liczb, które nie zostały w sposób matematyczny uzyskane z danych pierwotnych .

W kontekście stosowania RODO podkreśla się, że pseudonimizacja może być jedną z metod zabezpieczenia danych. Zmniejsza ryzyko dla osób, których dane dotyczą, oraz pomaga administratorom i podmiotom przetwarzającym wywiązać się z obowiązku ochrony danych.

Istotne jednak jest, że tylko takie przetworzenie danych osobowych, które trwale uniemożliwia identyfikację osoby fizycznej (anonimizacja) lub wręcz usunięcie/zniszczenie danych skutkuje tym, że nie przetwarzamy już danych osobowych. Czyli nie musimy mieć podstawy prawnej do ich przetwarzania.

Anonimizacja i pseudonimizacja w firmach/organizacjach.

W kontekście przetwarzania danych osobowych przez firmy/organizacje, pamiętać należy, że informacje stanowiące dane osobowe, do których przetwarzania nie ma podstaw prawnych (np.: o stanie zdrowia dłużników) nie będą danymi, tylko w przypadku gdy w sposób nieodwracalny nie będzie można zidentyfikować osoby fizycznej (tj. np. dłużnika). Technika polegająca np.: na fizycznym rozdzieleniu danych identyfikacyjnych dłużnika i dotyczących jego zadłużenia od danych dotyczących jego stanu zdrowia i powiązanie ich jedynie poprzez przypisanie określonego numeru będzie przykładem pseudonimizacji. Nie można w takim przypadku uznać, że firma/organizacja nie przetwarza danych o stanie zdrowia. Zidentyfikowanie osoby fizycznej nie jest bowiem trwale uniemożliwione.

Kartki świąteczne a ochrona danych osobowych

Zapewne zadajecie sobie pytanie jak to jest z kartkami świątecznymi, czy do swoich klientów możecie wysłać takowe, a jeżeli już to jakich obowiązków powinniśmy dopełnić. Tak naprawdę to pewne nikt się na tym, nie zastanawia i po prostu wysyła. Zapewne to słuszne bo wszystko, w tym i ochrona danych osobowych powinno mieć swoje granice. My jednak postaramy się i w ten szczególny dzień choć kilka słów na ten temat napisać.

Obowiązki ustawowe jakimi się zajmiemy w kontekście wysyłania kartek świątecznych to: podstawa prawna, obowiązek informacyjny, czy kwestia  rejestracji zbioru danych osobowych. W telegraficznym skrócie podstawą przetwarzania w tym celu danych osobowych naszych klientów, kontrahentów i ich pracowników w tym celu może być tylko i wyłącznie art. 23 ust. 1 pkt. 5 ustawy o ochronie danych osobowych – czyli usprawiedliwiony cel administratora danych. Myślę, że nie ma co tu więcej dodawać komentarza J Nie będziemy też dopełniać obowiązku informacyjnego z art. 24 lub 25 uodo. Wyobraźcie sobie Państwo sytuacje w której pod życzeniami wpisana będzie klauzula: „Administratorem Twoich dobrowolnie podanych danych osobowych…”. Choć jak ktoś z Państwa bardzo będzie chciał to w celach standaryzacyjnych i związanych ze zgodnością z zasadami przetwarzania danych osobowych takiego obowiązku informacyjnego może dopełnić. Warto również wspomnieć, że Generalny Inspektor Ochrony Danych Osobowych z powagą podszedł do tematu i w swojej publikacji „ABC  rejestracji zbiorów danych osobowych” na stronie 9 wskazuje, że przetwarzanie danych w zbiorze w związku z wysyłaniem kartek świątecznych nie jest zwolnione jest z obowiązku rejestracji. Cytując GIODO:

„Zgodnie z art. 43 ust. 1 pkt 8 ustawy z obowiązku rejestracji zbioru da­nych zwolnieni są administratorzy przetwarzający je wyłącznie w celu wystawienia faktury, rachunku lub prowadzenia sprawozdawczości fi­nansowej. Jeśli jednak zgromadzone w zbiorze dane służą dodatkowym celom, innym niż wskazane w tym przepisie, to administrator będzie musiał zbiór zarejestrować. Przykładem takiej sytuacji jest wykorzystywanie danych w celach finansowo-księgowych z jednoczesnym wyko­rzystywaniem ich do celów realizacji umowy, dochodzenia roszczeń, ce­lów marketingowych, utrzymywania kontaktu z klientem (np. wysyłania życzeń urodzinowych czy kartek świątecznych).”

Z tego mogłoby wynikać, że takowy zbiór podlega rejestracji. Ja jednak nie szedłbym zbyt daleko w tych rozważaniach i zwolnił zbiór z rejestracji na podstawie art. 43 ust. 1 pkt. 11 ustawy – czyli w związku z przetwarzaniem danych osobowych w drobnych bieżących sprawach życia codziennego.

Reasumując jeśli się Państwo trochę zaniepokoiliście to niesłusznie i możecie śmiało wysyłać kartki z życzeniami świątecznymi swoim klientom i kontrahentom, a my jako Redakcja Bloga chcielibyśmy Państwu życzyć wielu łask i radości z tegorocznych Świąt Bożego Narodzenia, Szczęśliwego Nowego Roku, wolnego od kontroli GIODO i samych zarejestrowanych zbiorów.

Redakcja Bloga

Okrągły rok za nami!

Drodzy Czytelnicy!

Jesteśmy już razem od roku. W dniu wczorajszym minął okrągły rok od naszego pierwszego wpisu. Do tej pory udało nam się przygotować ponad 30 artykułów, w których staraliśmy się podzielić praktycznymi informacjami na temat ochrony danych osobowych. Serwis został odwiedzony ponad 110 000 razy, co robi na nas duże wrażenie. Co nas niezmiernie cieszy, na dzień dzisiejszy mamy zarejestrowanych ponad 1200 subskrybentów bloga. Patrząc na liczby uważamy, że udało nam się stworzyć ciekawą przestrzeń do dzielenia się przemyśleniami na temat ochrony danych osobowych. Żeby nie było tak bardzo różowo, cały czas nie jesteśmy zadowoleni z poziomu interakcji z Wami drodzy Czytelnicy. Najciekawsze w ochronie danych osobowych wydaje się właśnie dyskusja i przedstawianie różnych poglądów. Wielokrotnie przekonywaliśmy się, że „świeże” spojrzenie na jakiś problem może pozwolić na lepsze zrozumienie danej instytucji.

Przed nami kolejny rok. Mamy nadzieję, że osób czytających regularnie bloga będzie przybywało. Czeka na nas wejście w życie rozporządzenia unijnego w sprawie ochrony danych osobowych więc możemy być pewni, że najbliższy czas na pewno będzie obfitował w tematy związane z ochroną danych osobowych, którymi warto będzie się zająć.