RODO anonimizacja i pseudonimizacja.

RODO anonimizacja pseudonimizacja

Anonimizacja oraz pseudonimizacja – objaśnienia (RODO).

Opierając się na treści nowego unijnego rozporządzenia ogólnego o ochronie danych (RODO) oraz przyjętej w dniu 10 kwietnia 2014 r. opinii 05/2014 w sprawie technik anonimizacji, wskazujemy na różnice pomiędzy obydwoma pojęciami.

Podstawowa różnica polega na tym, że skutkiem anonimizacji jest nieodwracalne uniemożliwienie identyfikacji osoby. Natomiast przy zastosowaniu pseudonimizacji nadal istnieje prawdopodobieństwo pośredniego zidentyfikowania osoby fizycznej.

Anonimizacja.

Jak wskazano w ww. opinii, skuteczne rozwiązanie w zakresie anonimizacji uniemożliwia wszystkim stronom wyodrębnienie konkretnej osoby fizycznej ze zbioru danych. Uniemożliwia też, tworzenie powiązań między dwoma zapisami w zbiorze danych (lub między dwoma oddzielnymi zbiorami) i wnioskowanie jakichkolwiek informacji z tych danych. Przy stosowaniu anonimizacji samo usunięcie elementów umożliwiających bezpośrednią identyfikację nie wystarcza do zapewnienia aby zidentyfikowanie osoby (której dane dotyczą) nie było już możliwe. Często konieczne będzie podjęcie dodatkowych środków w celu zapobieżenia identyfikacji takiej osoby. Proces anonimizacji polega na tym, by nie istniała już możliwość wykorzystania danych do zidentyfikowania osoby fizycznej za pomocą „wszystkich sposobów, jakimi może posłużyć się” administrator danych lub osoba trzecia. Istotnym czynnikiem jest fakt, że przetwarzanie musi być nieodwracalne. Jeżeli anonimizacja została przeprowadzona w sposób skuteczny nie będziemy już przetwarzać danych osobowych, w rozumieniu ustawy czy RODO.

Jeżeli natomiast chodzi o pseudonimizację, to w istocie należy uznać ją za środek bezpieczeństwa. Nie jest to natomiast metoda anonimizacji.

Pseudonimizacja.

Pseudonimizacja polega na zastępowaniu jednego atrybutu (z reguły atrybutu nietypowego) w zapisie innym atrybutem. W związku z tym nadal istnieje prawdopodobieństwo pośredniego zidentyfikowania osoby fizycznej. Dlatego też stosowanie samej pseudonimizacji nie będzie skutkowało anonimowym zbiorem danych.

Przykładowe metody pseudonimizacji opisane w ww. opinii to np.:

  • szyfrowanie z kluczem tajnym:

W tym przypadku posiadacz klucza może z łatwością ponownie zidentyfikować każdą osobę, której dane dotyczą, poprzez odszyfrowanie zbioru danych.

  • funkcja skrótu:

Polega na skróceniu danych osobowych do określonych wartości np.:

– imię i nazwisko skracamy do inicjałów;

– numer i adres zamieszkania do pierwszych liter ulicy i miejscowości.

  • tokenizacja:

Technika ta jest zwykle stosowana w sektorze finansowym w celu zastąpienia numerów identyfikacyjnych kart wartościami, które ograniczają ich użyteczność dla osoby trzeciej. Tokenizacja polega na stosowaniu mechanizmów szyfrowania jednokierunkowego lub na przypisaniu za pomocą funkcji indeksu, sekwencji liczb lub losowo wygenerowanych liczb, które nie zostały w sposób matematyczny uzyskane z danych pierwotnych .

W kontekście stosowania RODO podkreśla się, że pseudonimizacja może być jedną z metod zabezpieczenia danych. Zmniejsza ryzyko dla osób, których dane dotyczą, oraz pomaga administratorom i podmiotom przetwarzającym wywiązać się z obowiązku ochrony danych.

Istotne jednak jest, że tylko takie przetworzenie danych osobowych, które trwale uniemożliwia identyfikację osoby fizycznej (anonimizacja) lub wręcz usunięcie/zniszczenie danych skutkuje tym, że nie przetwarzamy już danych osobowych. Czyli nie musimy mieć podstawy prawnej do ich przetwarzania.

Anonimizacja i pseudonimizacja w firmach/organizacjach.

W kontekście przetwarzania danych osobowych przez firmy/organizacje, pamiętać należy, że informacje stanowiące dane osobowe, do których przetwarzania nie ma podstaw prawnych (np.: o stanie zdrowia dłużników) nie będą danymi, tylko w przypadku gdy w sposób nieodwracalny nie będzie można zidentyfikować osoby fizycznej (tj. np. dłużnika). Technika polegająca np.: na fizycznym rozdzieleniu danych identyfikacyjnych dłużnika i dotyczących jego zadłużenia od danych dotyczących jego stanu zdrowia i powiązanie ich jedynie poprzez przypisanie określonego numeru będzie przykładem pseudonimizacji. Nie można w takim przypadku uznać, że firma/organizacja nie przetwarza danych o stanie zdrowia. Zidentyfikowanie osoby fizycznej nie jest bowiem trwale uniemożliwione.

Projekt ustawy o ochronie danych osobowych Ministerstwa Cyfryzacji

o ochronie danych osobowych, rodo

Coraz mniej czasu do wejścia RODO… prace nad ustawą o ochronie danych osobowych trwają.

Państwa Unii Europejskiej muszą sprostać wyzwaniu dostosowania do krajowego porządku prawnego ogólnego rozporządzenia unijnego o ochronie danych osobowych (rozporządzenie 2016/679) zwanego RODO. Na stronie Ministerstwa Cyfryzacji został udostępniony projekt ustawy o ochronie danych osobowych, który ma zapewnić skuteczne stosowanie w polskim porządku prawnym RODO.

W projekcie znajdują się :

  • przepisy ogólne,
  • przepisy regulujące postępowanie w sprawie naruszenia przepisów o ochronie danych osobowych,
  • europejską współpracę administracyjną,
  • postępowanie kontrolne,
  • administracyjne kary pieniężne,
  • odpowiedzialność cywilną i kwestie związane z inspektorami ochrony danych.

Projektu ustawy, tak naprawdę jeszcze się będzie zmieniał ze względu na to, że nie wyczerpuje on wszystkich regulacji koniecznych do wprowadzenia do projektowanej ustawy. Sam projekt był przygotowywany po konsultacjach przeprowadzonych ze środowiskiem naukowym oraz z przedstawicielami przedsiębiorców i innymi zainteresowanymi. Ważniejsze jednak wydaję się to, że założeniem projektowanej regulacji jest również zapewnienie obywatelom możliwości skuteczniejszego egzekwowania prawa do ochrony ich danych osobowych między innymi poprzez przyśpieszenie postępowania w sprawach dotyczących ich naruszeń. „Decyzja o udostępnieniu projektu podyktowana została dużym zainteresowaniem społecznym wypracowywanymi zmianami prawnymi i chęcią zapewnienia procesowi tworzenia nowych przepisów pełnej transparentności.” Czyżby Ministerstwo Cyfryzacji czekało na najważniejsze opinie – obywateli, a wśród nich między innymi pracowników, klientów … , których te dane ustawa ma pomagać chronić?

wprowadzenie_do_projektu_ustawy_o_ochronie_danych_osobowych_28_marca_2017

Projekt ustawy o ochronie danych osobowych 2017 marca 28

Nowy projekt: rozporządzenie dot. e-prywatności

Wciąż nie milkną echa ogłoszenia ogólnego rozporządzenia o ochronie danych (2016/679) z dnia 27 kwietnia 2016 r. (RODO), które będzie stosowane już od 25 maja 2018 r., a Komisja Europejska proponuje wprowadzenie dodatkowych przepisów, które mają skuteczniej zapewniać prywatność w łączności elektronicznej. Ma temu służyć Rozporządzenie Parlamentu Europejskiego i Rady w sprawie poszanowania życia prywatnego oraz ochrony danych osobowych w łączności elektronicznej i uchylające dyrektywę 2002/58/WE (rozporządzenie dot. e-prywatności), którego projekt został opublikowany 10 stycznia 2017 r.

Po co nam nowe rozporządzenie?

Nowe rozporządzenie dot. e-prywatności ma stanowić uszczegółowienie i uzupełnienie przepisów RODO w zakresie przetwarzania danych osobowych w komunikacji elektronicznej. Przepisy nowego rozporządzenia mają zastąpić obowiązującą obecnie dyrektywę 2002/58/WE, która nie nadąża za rozwojem technologicznym i rzeczywistością rynkową i w konsekwencji nie zapewnia skutecznej ochrony prywatności i poufności w komunikacji elektronicznej. Projekt rozporządzenia ma zapewnić swobodny przepływ danych pochodzących z komunikacji elektronicznej, który nie może być zakazywany, czy ograniczany ze względów związanych z poszanowaniem życia prywatnego i ochroną danych osobowych.

Wszystkie formy komunikacji elektronicznej.

W przeciwieństwie do dyrektywy 2002/58/WE, która ma zastosowanie jedynie do tradycyjnych operatorów telekomunikacyjnych, rozporządzenie dot. e-prywatności ma objąć swoją regulacją  również dostawców nowych środków komunikacji, takich jak telefonia  internetowa (VoIP), komunikatory internetowe, poczta elektroniczna itp. Ponadto nowe przepisy będą stosowane do świadczenia usług łączności elektronicznej na rzecz użytkowników w Unii Europejskiej, niezależnie od tego z jakiego państwa jest dostawca tych usług. Nowymi regulacjami zostanie objęte komunikowanie się przez takie programy jak  np. WhatsApp, Skype, Facebook Messenger, Viber, iMessage. Należy zwrócić uwagę również na to, że nowe przepisy mają dotyczyć również kanałów komunikacyjnych, które są jedynie dodatkiem do innej, głównej usługi, takich jak np. komunikatory w grach wideo.

Treść łączności elektronicznej i metadane.

Rozporządzenie dot. e-prywatności wprowadza dwa rodzaje danych pochodzących z komunikacji elektronicznej, tj. treść łączności elektronicznej (tekst, głos, wideo, obrazy i dźwięk) oraz metadane pochodzące z łączności elektronicznej (np. dane dotyczące lokalizacji urządzenia, data, godzina i czas trwania oraz rodzaj łączności).

Poufność.

Projektowane przepisy wprowadzają zasadę poufności danych pochodzących z łączności elektronicznej, która przejawia się w zakazie jakiejkolwiek ingerencji w te dane innych osób niż użytkownik końcowy (zakaz podsłuchiwania, przechwytywania, nadzorowania itp.). Wyjątkami od tej reguły mają być m.in. sytuacje związane z zapewnieniem prawidłowej realizacji usługi i bezpieczeństwa takiej usługi, z koniecznością naliczenia opłat i dokonania rozliczeń, czy też sytuacje, w których użytkownik końcowy wyraził na to zgodę. Co ważne, zasada poufności będzie dotyczyła również przekazywania sobie danych pomiędzy urządzeniami, a więc regulacja ta obejmie również tzw. Internet rzeczy, czyli np. urządzenia gospodarstwa domowego, które mogą przetwarzać informacje dotyczące domowników takie jak styl życia, przyzwyczajenia, a nawet stan zdrowia.

Usuwanie danych.

Rozporządzenie ma wprowadzić również zasadę usuwania lub anonimizacji danych pochodzących z łączności elektronicznej po zrealizowaniu celu, dla którego były przetwarzane. W tym miejscu należy zwrócić uwagę na to, że zarówno obowiązek zachowania poufności danych jak ich usuwania czy anonimizacji wynika już z zasad wprowadzonych przez RODO („integralność i poufność”, „ograniczenie przechowywania”). W związku z tym pojawia się wątpliwość, na ile jest to niepotrzebne powielenie już istniejących zasad, a na ile ich praktyczne rozwinięcie?

Zgoda użytkownika końcowego.

Nowe rozporządzenie posługuje się definicją i warunkami wyrażania zgody na przetwarzanie danych określonymi przez RODO, przy czym wprowadza możliwość, by zgoda użytkownika końcowego mogła być wyrażona poprzez wykorzystanie ustawień technicznych oprogramowania umożliwiającego dostęp do Internetu, czyli w praktyce użytkownik będzie mógł ustawić taką zgodę w ustawieniach przeglądarki jako domyślną.

O ile to rozwiązanie wydaje się być ułatwieniem, to jako kuriozalny należy uznać pomysł, aby użytkownicy byli informowani o możliwości wycofania swojej zgody co 6 miesięcy, a w szczególności już, gdy ciągle korzystają z określonej usługi.

Rozporządzenie dot. e-prywatności a pliki cookies. Czy zbliża się koniec darmowych serwisów internetowych?

Oprogramowanie zapewniające wyszukiwanie i przedstawianie informacji w Internecie (przeglądarki internetowe) będzie musiało mieć opcję uniemożliwiania osobom trzecim przechowywania informacji na urządzeniach końcowych, a więc przechowywania plików cookie. Akceptacja albo odrzucenie trwałych plików cookie będą odbywały się za pomocą ustawień przeglądarki internetowej. Zatem znikną tak bardzo denerwujące wszystkich okienka informujące wykorzystywaniu cookies. Przy czym pliki cookie, które nie stanowią zagrożenia dla prywatności i mają jedynie ułatwiać użytkownikom korzystanie ze stron internetowych oraz takie, które służą do liczenia wejść na strony internetowe nie będą wymagały zgody użytkownika

Patrząc z jednej strony rozporządzenie dot. e-prywatności zwiększy poziom ochrony poufności komunikacji oraz ochrony danych osobowych użytkowników. Z drugiej zaś, proponowane przepisy mogą stanowić zagrożenie dla funkcjonujących obecnie w Internecie rozwiązań biznesowych, które oparte są na finansowaniu pochodzącym ze sprofilowanych reklam. Nie trudno się domyślić, że większość użytkowników zaznaczy w przeglądarce opcję niewyrażającą zgody na wykorzystanie cookies. Natomiast o tym jak ważne są takie reklamy mogą przekonać się coraz częściej użytkownicy Internetu, którzy instalują w swoich przeglądarkach oprogramowanie typu „adblock” służące do blokowania wyświetlanych reklam. Niektórzy bowiem wydawcy serwisów internetowych zdecydowali się blokować dostęp do treści swoich serwisów osobom korzystającym z „adblocków”. Projektowane zmiany mogą znacznie ograniczyć grono odbiorców „targetowanych” reklam. Tym samym wydawcy internetowi, pozbawieni źródła finansowania mogą sięgnąć do kieszeni Internautów wprowadzając opłaty za korzystanie z serwisów.

Marketing bezpośredni za pomocą łączności elektronicznej.

Określone w projektowanych przepisach prawo do wysyłania drogą elektroniczną komunikatów w celu marketingu bezpośredniego użytkownikom końcowym będącym osobami fizycznymi za ich zgodą nie jest niczym nowym.

Jednakże przedsiębiorcy powinni być zadowoleni z możliwości kierowania takiego marketingu do osób, które były już ich klientami bez ich zgody, ale pod następującymi warunkami:

  • wiadomości będą kierowane na adres poczty elektronicznej otrzymany wcześnie od klienta,
  • komunikaty będą dotyczyły marketingu bezpośredniego ich własnych produktów i usług podobnych do tych, które świadczyli klientowi,
  • klient będzie miał możliwość wyrażenia swojego sprzeciwu bezpłatnie i w łatwy sposób za każdym razem, gdy wysyłana będzie do niego wiadomość.

Przypomnijmy, że obecnie obowiązujące przepisy ustawy o świadczeniu usług drogą elektroniczną nie zezwalają na prowadzenie działań marketingowych droga elektroniczną bez zgody ich odbiorcy.

Prawo do kontroli połączeń telefonicznych.

Nowe rozporządzenie nakazuje również dostawcom usług telekomunikacyjnych umożliwienie użytkownikom blokowania identyfikacji numerów telefonicznych, a także prawo do odrzucania rozmów przychodzących z niezidentyfikowanych numerów lub niepożądanych połączeń. Ponadto firmy zajmujące się marketingiem bezpośrednim będą musiały stosować odpowiedni prefiks wskazujący, że przychodzące połączenie ma charakter marketingowy.

Nadzór nad przestrzeganiem przepisów rozporządzenia o e-prywatności.

Za monitorowanie stosowania nowego rozporządzenia będzie odpowiedzialny, tak jak ma to miejsce w przypadku RODO, niezależny organ nadzorczy, czyli krajowy urząd ochrony danych osobowych. Natomiast samo naruszenie zasad poufności komunikacji zagrożone będzie wysokimi karami finansowymi nakładanymi zgodnie z zasadami określonymi w RODO. I tak jak w RODO kary te mogą sięgać nawet 20 milionów euro lub 4% rocznego światowego obrotu.

Poniżej zamieszczamy tekst projektu:

Nowy projekt: rozporządzenie dot. e-prywatności