LexDigital

Co to jest anonimizacja i pseudonimizacja?

Wśród wielu pojęć pojawiających się na gruncie RODO zaciekawienie może budzić powtarzające się w kilku miejscach słowo „pseudonimizacja”. Słowo to nie występowało do tej pory w polskich przepisach, w których jak już, to była mowa o „anonimizacji”. Pomimo tego, że oba te pojęcia dotyczą ochrony danych osobowych, znacząco się od siebie różnią. Jaki jest ich cel i zastosowanie?

Co to jest anonimizacja i pseudonimizacja?

Ochrona danych osobowych

Z RODO wyraźnie wynika, że zasady ochrony danych powinny dotyczyć wszelkich informacji o zidentyfikowanych lub możliwych do zidentyfikowania osobach fizycznych. Aby ustalić, czy dana osoba fizyczna jest możliwa do zidentyfikowania, powinniśmy brać pod uwagę wszelkie rozsądnie prawdopodobne sposoby, które mogą zostać wykorzystane przez administratora w celu bezpośredniego lub pośredniego zidentyfikowania osoby fizycznej. W związku z tym, jeśli posiadamy przykładowo imię i nazwisko „Jan Kowalski”, to zdając sobie sprawę z tego, jak wiele osób o tych danych mieszka w Polsce, nie możemy założyć, że te dane dotyczą możliwej do zidentyfikowania osoby fizycznej. Jeśli jednak do zbioru tych danych dodamy jeszcze adres zamieszkania albo numer telefonu, może okazać się, że przetwarzamy dane zidentyfikowanej osoby fizycznej, którym musimy zapewnić należyte bezpieczeństwo.

Anonimizacja danych osobowych

Przepisy RODO nie zawierają definicji „anonimizacji danych osobowych”. Pojęcie to możemy jednak spotkać np. na gruncie ustawy o świadczeniu usług drogą elektroniczną i oznacza ono nieodwracalne uniemożliwienie zidentyfikowania określonej osoby. Inaczej mówiąc, anonimizacja oznacza, że w efekcie naszych działań nie jest możliwe ustalenie, jakiej osoby fizycznej dotyczy dany dokument, zestawienie, czy informacja. Powszechnie znanym sposobem anonimizacji danych występujących na papierze było zakreślanie danych czarnym markerem (a czasem jeszcze dodatkowe kserowanie pozakreślanej strony, w celu uniemożliwienia „przebijania” tekstu spod zamazanego fragmentu). Z takimi działaniami można było się spotkać przykładowo w prokuraturach. Po dokonaniu anonimizacji, administrator nie posiada w zasadzie żadnych technicznych możliwości przywrócenia tekstu do stanu oryginalnego i ponownego ujawnienia usuniętych danych.

Z uwagi na to, że po dokonaniu anonimizacji nie jest możliwe zidentyfikowanie, jakiej osoby fizycznej dotyczy informacja, dokumenty takie nie podlegają zasadom ochrony danych. Inaczej mówiąc, nie stosuje się w takim przypadku przepisów RODO. Taki sam wniosek możemy wyciągnąć w stosunku do przetwarzania informacji anonimowych, w tym do celów statystycznych lub naukowych.

Pseudonimizacja

Drugie ze wskazanych pojęć, tj. „pseudonimizacja” oznacza na gruncie RODO przetworzenie danych osobowych w taki sposób, by nie można ich było już przypisać konkretnej osobie, której dane dotyczą, bez użycia dodatkowych informacji. Równoległym warunkiem jest, by takie dodatkowe informacje były przechowywane osobno i zostały objęte środkami technicznymi i organizacyjnymi uniemożliwiającymi ich przypisanie zidentyfikowanej lub możliwej do zidentyfikowania osobie fizycznej. Pseuonimizacja może więc polegać na zamianie posiadanych danych (np. imienia i nazwiska) na ciąg liter albo cyfr, które można rozszyfrować wyłącznie na podstawie przechowywanych oddzielnie informacji (klucza). Takie działanie z pewnością ogranicza ryzyko naruszenia ochrony danych i zwiększa bezpieczeństwo danych. Ponadto, w przeciwieństwie do anonimizacji, pseudonimizacja jest procesem całkowicie odwracalnym i dlatego też dane, które zostały w taki sposób zabezpieczone, w dalszym ciągu muszą być chronione zgodnie z wymogami RODO.

Techniki pseudonimizacji

Warto odnotować, że w dniu 10 kwietnia 2014 r. Grupa Robocza ds. ochrony osób fizycznych w zakresie przetwarzania danych osobowych przyjęła opinię 05/2014 w sprawie technik anonimizacji, w której do najczęściej stosowanych technik pseudonimizacji przyporządkowała:

  • szyfrowanie z kluczem tajnym: w tym przypadku dane osobowe znajdują się w zbiorze danych w zaszyfrowanej formie. Możliwość ich rozszyfrowania posiada wyłącznie osoba, która zna klucz. Rozszyfrowanie pozwoli na zidentyfikowanie osoby, której dane dotyczą.
  • funkcję skrótu: zwana także funkcją hashującą. Jest to funkcja, która przyporządkowuje dowolnie dużej liczbie (wiadomości) krótką.
  • funkcję skrótu z kluczem, w przypadku której klucz jest przechowywany: oznacza określoną funkcję skrótu, która wykorzystuje klucz tajny jako dodatkowy wkład.
  • szyfrowanie deterministyczne lub funkcja skrótu z kluczem, w przypadku której klucz jest usuwany: technika ta może być utożsamiona z wybieraniem losowego numeru jako pseudonimu dla każdego atrybutu w bazie danych, a następnie z usuwaniem tabeli korelacji.
  • tokenizację: technika ta jest zazwyczaj stosowana w sektorze finansowym w celu zastąpienia numerów identyfikacyjnych kart wartościami, które ograniczają użyteczność dla atakującego. Opiera się ona na wymienionych wyżej technikach i zwykle polega na stosowaniu mechanizmów szyfrowania jednokierunkowego lub na przypisaniu, za pomocą funkcji indeksu, sekwencji liczb lub losowo wygenerowanych liczb, które nie zostały w sposób matematyczny uzyskane z danych pierwotnych.

Jak chronić dane osobowe?

Ochrona praw i wolności osób fizycznych w związku z przetwarzaniem danych osobowych wymaga wdrożenia odpowiednich środków technicznych i organizacyjnych. W przepisach RODO została zawarta podpowiedź, o jakie środki chodzi. I tak będzie to przykładowo minimalizacja przetwarzania danych osobowych, jak najszybsza pseudonimizacja danych osobowych albo umożliwienie osobie, której dane dotyczą, monitorowania przetwarzania danych.

Wybór i wdrożenie odpowiednich środków powinien nastąpić w wyniku analizy dokonanej przez administratora danych. Pod uwagę należy wziąć stan wiedzy technicznej, koszt wdrażania oraz charakter, zakres, kontekst i cele przetwarzania oraz ryzyko naruszenia praw lub wolności osób fizycznych o różnym prawdopodobieństwie wystąpienia i wadze zagrożenia wynikające z przetwarzania. Naruszenie tej regulacji wiązać może się z ryzykiem nałożenia na administratora kary pieniężnej. Zgodnie z RODO, jej wysokość może wynosić maksymalnie 10 000 000 euro, a w przypadku przedsiębiorstwa – do 2% jego całkowitego rocznego światowego obrotu z poprzedniego roku obrotowego. Jeżeli 2% tego obrotu przewyższy kwotę 10 000 000 euro, górną granicę stanowi wyższa z kwot. Jeżeli administrator lub podmiot przetwarzający naruszy umyślnie lub nieumyślnie w ramach tych samych lub powiązanych operacji przetwarzania kilka przepisów RODO, całkowita wysokość administracyjnej kary pieniężnej nie może przekroczyć wysokości kary za najpoważniejsze naruszenie.

Warto również podkreślić, że decydując, czy nałożyć administracyjną karę pieniężną, oraz ustalając jej wysokość, zwraca się w każdym indywidualnym przypadku należytą uwagę między innymi na stopień odpowiedzialności administratora lub podmiotu przetwarzającego z uwzględnieniem środków technicznych i organizacyjnych wdrożonych przez nich na mocy wyżej przytoczonych regulacji.

Anonimizacja czy pseudonimizacja

W konkluzji należy wskazać, że pomimo pozornego podobieństwa omawianych pojęć, diametralnie się od siebie różnią. Każdorazowo to administrator danych jest uprawniony i zobowiązany do wyboru takiego środka ochrony danych, który będzie zapewniał im należytą ochronę, przy uwzględnieniu szeregu innych czynników. W rezultacie anonimizacja staje się być dobrym rozwiązaniem tylko wtedy, gdy administrator chciałby zapewnić całkowite i nieodwracalne wyłączenie dostępu do danych. Z kolei w praktyce bieżącej ochrony przetwarzanych danych najlepszym rozwiązaniem zdaje się być pseudonimizacja – jednakże RODO dopuszcza równolegle także inne środki ochrony danych.


Sprawdź również:


Polecane

TSUE zablokował Privacy Shield - zmiany w transferze danych do USA

TSUE zablokował Privacy Shield - zmiany w transferze danych do USA

TSUE zablokował „Privacy Shield” („Tarczę prywatności”). Powodem jest zbyt łatwy dostęp amerykańskich służb tj. amerykańskiej Agencji Bezpieczeństwa Narodowego do danych Europejczyków. Co więcej, odbywa się to bez kontroli sądowej, a obywatele UE nie mają w praktycznie żadnej możliwości podważenia decyzji o wglądzie do informacji na ich temat.

Popularne

Wdrożenie – dostosowanie organizacji do określonych wytycznych

Wdrożenie – dostosowanie organizacji do określonych wytycznych

Wdrożenie zasad to jeden z najważniejszych, ale i najtrudniejszych etapów koniecznych do przeprowadzenia na drodze do uzyskania zgodności z wybranymi standardami czy przepisami prawa. Ustanowione zasady musząbyćdostosowane do specyfiki organizacji, a ich wprowadzanie powinno być odpowiednio zaplanowane i musi uwzględniać wiele aspektów począwszy od ustalenia niezbędnych zasobów, a kończąc na zbudowaniu świadomości pracowników.

Konsultacje i wsparcie merytoryczne zespołu specjalistów

Konsultacje i wsparcie merytoryczne zespołu specjalistów

Każdywdrożony system jest żywy i ewoluuje wraz z rozwojem przedsiębiorstwa, wprowadzaniem kolejnych zmian w procesach czy wykorzystywanych narzędziach. Zmianom ulegająrównież wytyczne w stosunku do których wprowadzane były zmiany. Bardzo często pewne sytuacje osobom na co dzień nie zajmującymsiętematyką ochrony danych czy szeroko rozumianego bezpieczeństwa informacji sprawiają trudności, w szczególności,że wiele przepisów jest bardzo ogólnych, trudnych

Chcesz skorzystać z naszej oferty?Nie czekaj!

Wspieramy przedsiębiorców

Skontaktuj się osobiście z doradcą LexDigital - odpowiemy na nurtujące Cię pytania, zaplanujemy spotkanie, przygotujemy spersonalizowaną ofertę dopasowaną do potrzeb Twojej organizacji.

Zapraszamy do kontaktu

Informujemy, że Państwa zgoda może zostać cofnięta w dowolnym momencie przez wysłanie wiadomości e-mail na adres naszego Inspektora Ochrony Danych iod@lexdigital.pl spod adresu, którego zgoda dotyczy.

Administratorem Państwa danych osobowych jest LexDigital Sp. z o.o. z siedzibą w Poznaniu (60-363), przy ul. Grodziska 8. Wszystkie pytania i wątpliwości prosimy kierować do naszego Inspektora Ochrony Danych na adres iod@lexdigital.pl

Państwa dane przetwarzane są w celu odpowiedzi na wiadomość wysłaną za pomocą formularza kontaktowego, podjęcia na Państwa wniosek określonych działań przed zawarciem umowy lub wysłania Państwu treści marketingowych. Przysługuje Państwu prawo dostępu do danych, ich sprostowania, usunięcia, ograniczenia przetwarzania, wniesienia sprzeciwu i cofnięcia w każdym momencie udzielonej zgody bez wpływu na zgodność z prawem przetwarzania danych, którego dokonano na podstawie zgody przed jej wycofaniem. Masz również prawo wniesienia skargi do Prezesa Urzędu Ochrony Danych Osobowych.

Więcej informacji na temat przetwarzania danych osobowych znajdziecie Państwo w naszej Polityce prywatności.

Biofarm Fibar Group Apart Wykop.pl PhytoPharm Veolia Cuf-podatki Netguru GetHero Tesgas GPD Agency Golden Submarine Pixers Pearson UEP

Strona korzysta z plików cookies w celu realizacji usług i zgodnie z Polityką Plików Cookies.

Możesz określić warunki przechowywania lub dostępu do plików cookies w Twojej przeglądarce.