Pseudonymisering, Anonymisering og GDPR

Helt siden GDPR anbefalte disse datasikkerhetstiltakene, har disse tidligere obskure konseptene blitt hete tema for diskusjon blant bedriftseiere. Hvis du fortsatt ikke er sikker på hva forskjellen er mellom de to, er det noen definisjoner:

Pseudonymisering – En datahåndteringsprosedyre der personlig identifiserbare informasjonsfelt i en forbrukerdataregistrering erstattes av en eller flere kunstige identifikatorer eller pseudonymer, som kan tilbakekalles på et senere tidspunkt for å identifisere posten på nytt.

Anonymisering – prosessen med å enten kryptere eller fjerne personlig identifiserbar informasjon fra datasett, slik at personene som dataene beskriver, forblir permanent anonyme.

Hovedforskjell Mellom Pseudonymisering Og Anonymisering

begge metodene innebærer maskering av personopplysninger ved å fjerne eller kryptere dataene som gjør det mulig å koble informasjonen til en person, for eksempel navn, adresse eller kredittkortnummer.

forskjellen mellom de to er imidlertid at pseudonymisering kan reverseres. Ved å bruke separat lagret informasjon, for eksempel en krypteringsnøkkel, kan man hente den identifiserbare informasjonen når det er nødvendig for å koble dataene tilbake til en person.

når data er anonymisert, kan det imidlertid aldri knyttes tilbake til en person. Anonymisering er permanent.

GDPR Og Datamaskering

GDPR nevner mange og spesifikke datamaskering.

her er noen eksempler:

Artikkel 5 – Databehandling

I ARTIKKEL 5 sier GDPR at personopplysninger kun skal oppbevares så lenge det er nødvendig for å yte en tjeneste. Deretter kan det beholdes hvis dataene ikke lenger tillater identifisering av enkeltpersoner.

Artikkel 25 – Databeskyttelse ved Design

I ARTIKKEL 25 beskriver GDPR kravet om at bedrifter skal ta alle rimelige tiltak for å beskytte forbrukerdata, som standard og ved design. Det nevner spesielt pseudonymisering som en måte å oppnå dette på.

Gdpr Recital 26

I Betraktning 26 spesifiserer GDPR at visse databeskyttelsesforanstaltninger ikke vil gjelde for anonym informasjon som ikke lenger kan identifisere en fysisk person.

Artikkel 32 – Sikkerhet Ved Behandling

Sikkerhet Er et viktig PUNKT I GDPR. Artikkel 32 nevner spesielt pseudonymisering som et passende tiltak for sikkerhet for å beskytte personvernet til forbrukerne.

Artikkel 34-Informere De Registrerte om Et Datainnbrudd

I Henhold Til Artikkel 34 skal et selskap informere brukere om et datainnbrudd med høy risiko som påvirker dem, med mindre organisatoriske beskyttelsestiltak har gjort informasjonen uforståelig eller uidentifiserbar – for eksempel gjennom pseudonymisering eller anonymisering.

Fordeler Med Datamaskering

datamaskering er ikke helt påkrevd AV GDPR. Det er imidlertid sterkt anbefalt. Faktisk gir forskriften insentiver for implementering av datamaskeringsteknikker.

Her er hvordan:

• Ved å bruke teknikker som pseudonymisering og anonymisering, vil du overholde kravet om at bedrifter implementerer alle mulige tiltak for å beskytte forbrukerdata. Hvis det skjer at firmaet ditt blir undersøkt av en eller annen grunn, vil datamaskering gi en ekstra beskyttelse hvis datasikkerhetsprotokollene dine kommer i tvil.
• Kommunisere databrudd: Hvis dataene dine er anonymisert, vil du ikke bli pålagt å informere (anonymiserte) brukere om et databrudd som påvirker deres informasjon. Dette er fordi det ikke vil være noen måte brutt data kan kobles tilbake til enkelt.
• Overholde brukerrettigheter: Når data har blitt anonymisert permanent, forventes det ikke lenger at du overholder brukerrettigheter og krav, for eksempel forbrukerens rett til å bli slettet eller retten til å be om en fullstendig kopi av brukerdata.
• Flytting av personlig informasjon over internasjonale grenser: selv om det er uklart hvilket nivå av pseudonymisering som kreves for å overføre data over internasjonale grenser uten å følge et fjell av retningslinjer og byråkrati, kan datamaskering redusere antall hoops man må hoppe gjennom for å overføre data til et annet land.

her er en graf fra En Hvitbok For Personvernanalyse om emnet:

Hvilken Datamaskeringsteknikk er Bedre?

når det gjelder spørsmålet om pseudonymisering versus anonymisering, må virksomheten vurdere sine applikasjoner og bruk av personopplysninger.

her er noen situasjoner der du kanskje vil bruke anonymisering i stedet for pseudonymisering:

• hvis du ikke lenger trenger å kommunisere eller jobbe med en forbruker, men ønsker å arkivere sin aktivitet, ordrehistorikk eller andre detaljer som ikke kan brukes til å identifisere dem.
• for å utføre dataanalyser som ikke er relatert til tjenestene du leverer forbrukeren.
• Hvis du trenger å gjøre data tilgjengelig for en gruppe mennesker utenfor de som er utpekt til å oppfylle tjenestene dine, for eksempel en bred gruppe ansatte eller konsulenter.

på den annen side kan data pseudonymisering brukes når du må identifisere brukere i fremtiden:

• for å holde data sikre under utførelsen av tjenester, ved å maskere identifiserende detaljer til ansatte eller andre databehandlere som ikke trenger disse detaljene.
• for å opprettholde databeskyttelse i databasen eller postene dine, ordrehistorikk og inaktive kunder som du forblir i kontakt med.
• for å overføre data over internasjonale grenser.
• for å opprettholde databeskyttelse og Personvern etter Designprinsipper fastsatt AV GDPR.

Samlet sett gir begge disse metodene fordeler under GDPR, men kan ikke være mulige for visse datasett eller applikasjoner. Gjør din forskning om alle implikasjonene før du utfører noen data maskering tiltak.