Pseudonimizacja, anonimizacja i RODO

odkąd RODO zaleciło te środki bezpieczeństwa danych, te wcześniej niejasne pojęcia stały się gorącymi tematami dyskusji wśród właścicieli firm. Jeśli nadal nie jesteś pewien, jaka jest różnica między tymi dwoma, oto kilka definicji:

Pseudonimizacja-procedura zarządzania danymi, dzięki której pola danych osobowych w rejestrze danych konsumentów są zastępowane przez jeden lub więcej sztucznych identyfikatorów lub pseudonimów, które mogą być przywołane w późniejszym terminie w celu ponownej identyfikacji rekordu.

anonimizacja-proces szyfrowania lub usuwania danych osobowych ze zbiorów danych tak, aby osoby, których dane opisują, pozostały na stałe anonimowe.

kluczowa różnica między Pseudonimizacją a Anonimizacją

obie metody obejmują maskowanie danych osobowych poprzez usunięcie lub szyfrowanie danych, które umożliwiają powiązanie informacji z osobą, takich jak imię i nazwisko, adres lub numer karty kredytowej.

jednak różnica między nimi polega na tym, że pseudonimizację można odwrócić. Korzystając z oddzielnie przechowywanych informacji, takich jak klucz szyfrowania, można uzyskać informacje umożliwiające identyfikację, gdy jest to potrzebne do powiązania danych z osobą.

jednak po zanonimizowaniu danych nigdy nie można ich powiązać z daną osobą. Anonimizacja jest trwała.

RODO i maskowanie danych

RODO zawiera liczne i szczegółowe wzmianki o maskowaniu danych.

oto kilka przykładów:

Artykuł 5-przetwarzanie danych

5 RODO stanowi, że dane osobowe powinny być przechowywane tylko tak długo, jak jest to konieczne do świadczenia usługi. Następnie może zostać zachowana, jeśli dane nie pozwalają już na identyfikację osób.

Artykuł 25 – Ochrona danych w fazie projektowania

w art. 25 RODO opisuje wymóg, aby firmy podejmowały wszelkie uzasadnione środki w celu domyślnej i projektowej ochrony danych konsumentów. W szczególności wymienia pseudonimizację jako sposób na osiągnięcie tego celu.

podstawowe informacje o RODO 26

w motywie 26 RODO określono, że niektóre środki ochrony danych nie będą miały zastosowania do anonimowych informacji, które nie mogą już zidentyfikować osoby fizycznej.

Artykuł 32-bezpieczeństwo przetwarzania

bezpieczeństwo jest kluczowym punktem RODO. Artykuł 32 wyraźnie wymienia pseudonimizację jako odpowiedni środek bezpieczeństwa w celu ochrony prywatności konsumentów.

Artykuł 34-informowanie osób, których dane dotyczą, o naruszeniu danych

zgodnie z artykułem 34 firma musi poinformować użytkowników O WYSOKIM RYZYKU naruszenia danych, które ich dotyczy, chyba że organizacyjne środki ochrony sprawiły, że informacje stały się niezrozumiałe lub niemożliwe do zidentyfikowania – na przykład poprzez pseudonimizację lub anonimizację.

zalety maskowania danych

maskowanie danych nie jest absolutnie wymagane przez RODO. Jednak jest to wysoce zalecane. W rzeczywistości rozporządzenie oferuje zachęty do wdrażania technik maskowania danych.

oto jak:

• spełnianie wymogów bezpieczeństwa: korzystając z takich technik, jak pseudonimizacja i anonimizacja, spełniasz wymóg, zgodnie z którym firmy wdrażają wszelkie możliwe środki ochrony danych konsumentów. Jeśli zdarzy się, że Twoja firma zostanie zbadana z jakiegokolwiek powodu, maskowanie danych zapewni dodatkowe zabezpieczenie, jeśli Twoje protokoły bezpieczeństwa danych zostaną zakwestionowane.
• komunikowanie naruszeń danych: jeśli Twoje dane zostały zanonimizowane, nie będziesz musiał informować (zanonimizowanych) użytkowników o naruszeniu danych, które ma wpływ na ich informacje. Dzieje się tak dlatego, że nie będzie możliwości powiązania naruszonych danych z daną osobą.
• przestrzeganie praw użytkownika: Po trwałym zanonimizowaniu danych nie należy już oczekiwać przestrzegania praw i żądań użytkownika, takich jak prawo Konsumenta do usunięcia lub prawo do żądania pełnej kopii danych użytkownika.
• przenoszenie danych osobowych przez granice międzynarodowe: chociaż nie jest jasne, jaki poziom pseudonimizacji jest wymagany do przesyłania danych przez granice międzynarodowe bez przestrzegania góry polityk i biurokracji, maskowanie danych może zmniejszyć liczbę przeszkód, przez które trzeba przejść, aby przesłać dane do innego kraju.

oto Wykres z białej księgi poświęconej analizie prywatności na ten temat:

która technika maskowania danych jest lepsza?

jeśli chodzi o kwestię pseudonimizacji a anonimizacji, firma musi wziąć pod uwagę swoje aplikacje i wykorzystanie danych osobowych.

oto kilka sytuacji, w których możesz chcieć użyć anonimizacji zamiast pseudonimizacji:

• jeśli nie musisz już komunikować się lub pracować z konsumentem, ale chcesz zarchiwizować jego aktywność, historię zamówień lub inne szczegóły, których nie można było wykorzystać do ich identyfikacji.
• do przeprowadzania analiz danych, które nie są związane z usługami świadczonymi przez użytkownika konsumentowi.
• jeśli potrzebujesz udostępnić dane grupie osób spoza tych, które są wyznaczone do realizacji Twoich usług, takich jak szeroka grupa pracowników lub konsultantów.

z drugiej strony pseudonimizacja danych może być używana, gdy będziesz musiał ponownie zidentyfikować użytkowników w przyszłości:

• aby zapewnić bezpieczeństwo danych podczas realizacji usług, poprzez maskowanie danych identyfikacyjnych pracowników lub innych osób obsługujących dane, które nie potrzebują tych danych.
• aby zachować ochronę danych w bazie danych lub rejestrach, historii zamówień i nieaktywnych klientów, z którymi pozostajesz w kontakcie.
• aby przesyłać dane ponad granicami międzynarodowymi.
• w celu zachowania zasad ochrony danych i prywatności przez projektowanie określonych w RODO.

Ogólnie rzecz biorąc, obie te metody są korzystne w ramach RODO, ale mogą nie być wykonalne dla niektórych zestawów danych lub aplikacji. Wykonaj badania na temat wszystkich konsekwencji przed wykonaniem jakichkolwiek środków maskowania danych.