Pseudonimizarea, anonimizarea și GDPR

de când GDPR a recomandat aceste măsuri de securitate a datelor, aceste concepte obscure anterior au devenit subiecte fierbinți de discuție în rândul proprietarilor de afaceri. În cazul în care încă nu sunteți sigur care este diferența dintre cele două, iată câteva definiții:

pseudonimizare – o procedură de gestionare a datelor prin care câmpurile de informații de identificare personală dintr-o înregistrare de date a consumatorilor sunt înlocuite cu unul sau mai mulți identificatori artificiali sau pseudonime, care pot fi rechemate la o dată ulterioară pentru a re-identifica înregistrarea.

anonimizare – procesul de criptare sau eliminare a informațiilor de identificare personală din seturile de date, astfel încât persoanele pe care le descriu datele să rămână permanent anonime.

Diferența cheie între pseudonimizare și anonimizare

ambele metode implică mascarea datelor personale prin eliminarea sau criptarea datelor care fac posibilă conectarea informațiilor la o persoană, cum ar fi numele, adresa sau numărul cardului de credit.

cu toate acestea, diferența dintre cele două este că pseudonimizarea poate fi inversată. Folosind informații deținute separat, cum ar fi o cheie de criptare, se poate prelua informațiile identificabile atunci când este necesar pentru a lega datele înapoi la o persoană.

cu toate acestea, odată ce datele au fost anonimizate, acestea nu pot fi niciodată legate de un individ. Anonimizarea este permanentă.

GDPR și mascarea datelor

GDPR face numeroase și specifice mențiuni de mascare a datelor.

iată câteva exemple:

articolul 5-prelucrarea datelor

în articolul 5, GDPR prevede că datele cu caracter personal ar trebui păstrate numai atâta timp cât este necesar pentru furnizarea unui serviciu. Ulterior, acesta poate fi păstrat dacă datele nu mai permit identificarea persoanelor.

articolul 25-protecția datelor prin proiectare

în articolul 25, GDPR descrie cerința întreprinderilor de a lua toate măsurile rezonabile pentru a proteja datele consumatorilor, în mod implicit și prin proiectare. Se menționează în mod specific pseudonimizarea ca o modalitate de a realiza acest lucru.

considerentul GDPR 26

în considerentul 26, GDPR specifică faptul că anumite măsuri de protecție a datelor nu se vor aplica informațiilor anonime care nu mai pot identifica o persoană fizică.

articolul 32-securitatea prelucrării

Securitatea este un punct cheie al GDPR. Articolul 32 menționează în mod specific pseudonimizarea ca măsură adecvată de securitate pentru a proteja viața privată a consumatorilor.

articolul 34-informarea persoanelor vizate cu privire la o încălcare a datelor

conform articolului 34, o companie trebuie să informeze utilizatorii cu privire la o încălcare a datelor cu risc ridicat care îi afectează, cu excepția cazului în care măsurile de protecție organizaționale au făcut informațiile neinteligibile sau neidentificabile-cum ar fi prin pseudonimizare sau anonimizare.

avantajele mascării datelor

mascarea datelor nu este absolut necesară de GDPR. Cu toate acestea, este foarte recomandat. De fapt, regulamentul oferă stimulente pentru punerea în aplicare a tehnicilor de mascare a datelor.

Iată cum:

• îndeplinirea cerințelor de securitate: utilizând tehnici precum pseudonimizarea și anonimizarea, veți respecta cerința ca întreprinderile să implementeze toate măsurile posibile pentru a proteja datele consumatorilor. Dacă se întâmplă ca compania dvs. să fie investigată vreodată din orice motiv, mascarea datelor va oferi o garanție suplimentară dacă protocoalele dvs. de securitate a datelor intră în discuție.
• comunicarea încălcărilor de date: dacă datele dvs. au fost anonimizate, nu vi se va cere să informați utilizatorii (anonimizați) despre o încălcare a datelor care le afectează informațiile. Acest lucru se datorează faptului că nu va exista nici un fel datele încălcate pot fi legate înapoi la individ.
• respectarea drepturilor utilizatorilor: Odată ce datele au fost anonimizate permanent, nu veți mai fi așteptat să respectați drepturile și cerințele utilizatorului, cum ar fi dreptul consumatorului de a fi șters sau dreptul de a solicita o copie completă a datelor Utilizatorului.
• mutarea informațiilor personale peste frontierele internaționale: deși nu este clar ce nivel de pseudonimizare este necesar pentru a transfera date peste frontierele internaționale fără a urma un munte de politici și birocrație, mascarea datelor ar putea reduce numărul de cercuri prin care trebuie să treci pentru a transfera date către o altă țară.

Iată un grafic dintr-o carte albă Privacy Analytics despre acest subiect:

ce tehnică de mascare a datelor este mai bună?

când vine vorba de problema pseudonimizării versus anonimizare, compania trebuie să ia în considerare aplicațiile și utilizarea datelor cu caracter personal.

iată câteva situații în care poate doriți să utilizați anonimizarea în loc de pseudonimizare:

• dacă nu mai trebuie să comunicați sau să lucrați cu un consumator, dar doriți să arhivați activitatea, istoricul comenzilor sau orice alte detalii care nu au putut fi utilizate pentru a le identifica.
• pentru a efectua analize de date care nu au legătură cu serviciile pe care le furnizați consumatorului.
• dacă trebuie să puneți datele la dispoziția unui grup de persoane din afara celor care sunt desemnate să vă îndeplinească Serviciile, cum ar fi un grup larg de angajați sau consultanți.

pe de altă parte, pseudonimizarea datelor poate fi utilizată atunci când va trebui să re-identificați utilizatorii în viitor:

• pentru a păstra datele în siguranță în timpul îndeplinirii serviciilor, prin mascarea detaliilor de identificare pentru angajați sau alți gestionari de date care nu au nevoie de aceste detalii.
• pentru a menține protecția datelor în baza dvs. de date sau înregistrări, istoricul comenzilor și clienții inactivi cu care rămâneți în contact.
• pentru a transfera date peste frontierele internaționale.
• pentru a menține protecția datelor și confidențialitatea prin principiile de proiectare stabilite de GDPR.

în general, ambele metode prezintă avantaje în cadrul GDPR, dar este posibil să nu fie fezabile pentru anumite seturi de date sau aplicații. Faceți cercetări despre toate implicațiile înainte de a efectua orice măsuri de mascare a datelor.