Co to jest anonimizacja i pseudonimizacja?

Wśród wielu pojęć pojawiających się na gruncie RODO zaciekawienie może budzić powtarzające się w kilku miejscach słowo „pseudonimizacja”. Słowo to nie występowało do tej pory w polskich przepisach, w których jak już, to była mowa o „anonimizacji”. Pomimo tego, że oba te pojęcia dotyczą ochrony danych osobowych, znacząco się od siebie różnią. Jaki jest ich cel i zastosowanie?

Ochrona danych osobowych

Z RODO wyraźnie wynika, że zasady ochrony danych powinny dotyczyć wszelkich informacji o zidentyfikowanych lub możliwych do zidentyfikowania osobach fizycznych. Aby ustalić, czy dana osoba fizyczna jest możliwa do zidentyfikowania, powinniśmy brać pod uwagę wszelkie rozsądnie prawdopodobne sposoby, które mogą zostać wykorzystane przez administratora w celu bezpośredniego lub pośredniego zidentyfikowania osoby fizycznej. W związku z tym, jeśli posiadamy przykładowo imię i nazwisko „Jan Kowalski”, to zdając sobie sprawę z tego, jak wiele osób o tych danych mieszka w Polsce, nie możemy założyć, że te dane dotyczą możliwej do zidentyfikowania osoby fizycznej. Jeśli jednak do zbioru tych danych dodamy jeszcze adres zamieszkania albo numer telefonu, może okazać się, że przetwarzamy dane zidentyfikowanej osoby fizycznej, którym musimy zapewnić należyte bezpieczeństwo.

Anonimizacja danych osobowych

Przepisy RODO nie zawierają definicji „anonimizacji danych osobowych”. Pojęcie to możemy jednak spotkać np. na gruncie ustawy o świadczeniu usług drogą elektroniczną i oznacza ono nieodwracalne uniemożliwienie zidentyfikowania określonej osoby. Inaczej mówiąc, anonimizacja oznacza, że w efekcie naszych działań nie jest możliwe ustalenie, jakiej osoby fizycznej dotyczy dany dokument, zestawienie, czy informacja. Powszechnie znanym sposobem anonimizacji danych występujących na papierze było zakreślanie danych czarnym markerem (a czasem jeszcze dodatkowe kserowanie pozakreślanej strony, w celu uniemożliwienia „przebijania” tekstu spod zamazanego fragmentu). Z takimi sposobami anonimizacji dokumentów można było się spotkać przykładowo w prokuraturach. Po dokonaniu anonimizacji, administrator nie posiada w zasadzie żadnych technicznych możliwości przywrócenia tekstu do stanu oryginalnego i ponownego ujawnienia usuniętych danych.

Z uwagi na to, że po dokonaniu anonimizacji nie jest możliwe zidentyfikowanie, jakiej osoby fizycznej dotyczy informacja, dokumenty anonimizowane nie podlegają zasadom ochrony danych. Inaczej mówiąc, nie stosuje się w takim przypadku przepisów RODO. Taki sam wniosek możemy wyciągnąć w stosunku do przetwarzania informacji anonimowych, w tym do celów statystycznych lub naukowych.

anonimizacja, psudonimizacja, ochrona danych osobowych

Pseudonimizacja

Drugie ze wskazanych pojęć, tj. „pseudonimizacja” oznacza na gruncie RODO przetworzenie danych osobowych w taki sposób, by nie można ich było już przypisać konkretnej osobie, której dane dotyczą, bez użycia dodatkowych informacji. Równoległym warunkiem jest, by takie dodatkowe informacje były przechowywane osobno i zostały objęte środkami technicznymi i organizacyjnymi uniemożliwiającymi ich przypisanie zidentyfikowanej lub możliwej do zidentyfikowania osobie fizycznej. Pseuonimizacja może więc polegać na zamianie posiadanych danych (np. imienia i nazwiska) na ciąg liter albo cyfr, które można rozszyfrować wyłącznie na podstawie przechowywanych oddzielnie informacji (klucza). Takie działanie z pewnością ogranicza ryzyko naruszenia ochrony danych i zwiększa bezpieczeństwo danych. Pamiętajmy jednak, że pseudonimizowane dane nie są zupełnie bezpieczne w świetle RODO. W przeciwieństwie do anonimizacji, pseudonimizacja jest procesem całkowicie odwracalnym i dlatego też dane, które zostały w taki sposób zabezpieczone, w dalszym ciągu muszą być chronione zgodnie z wymogami RODO.

Techniki pseudonimizacji

Warto odnotować, że w dniu 10 kwietnia 2014 r. Grupa Robocza ds. ochrony osób fizycznych w zakresie przetwarzania danych osobowych przyjęła opinię 05/2014 w sprawie technik anonimizacji, w której do najczęściej stosowanych technik pseudonimizacji przyporządkowała:

szyfrowanie z kluczem tajnym: w tym przypadku dane osobowe znajdują się w zbiorze danych w zaszyfrowanej formie. Możliwość ich rozszyfrowania posiada wyłącznie osoba, która zna klucz. Rozszyfrowanie pozwoli na zidentyfikowanie osoby, której dane dotyczą.
funkcję skrótu: zwana także funkcją hashującą. Jest to funkcja, która przyporządkowuje dowolnie dużej liczbie (wiadomości) krótką.
funkcję skrótu z kluczem, w przypadku której klucz jest przechowywany: oznacza określoną funkcję skrótu, która wykorzystuje klucz tajny jako dodatkowy wkład.
szyfrowanie deterministyczne lub funkcja skrótu z kluczem, w przypadku której klucz jest usuwany: technika ta może być utożsamiona z wybieraniem losowego numeru jako pseudonimu dla każdego atrybutu w bazie danych, a następnie z usuwaniem tabeli korelacji.
tokenizację: technika ta jest zazwyczaj stosowana w sektorze finansowym w celu zastąpienia numerów identyfikacyjnych kart wartościami, które ograniczają użyteczność dla atakującego. Opiera się ona na wymienionych wyżej technikach i zwykle polega na stosowaniu mechanizmów szyfrowania jednokierunkowego lub na przypisaniu, za pomocą funkcji indeksu, sekwencji liczb lub losowo wygenerowanych liczb, które nie zostały w sposób matematyczny uzyskane z danych pierwotnych.

Jak chronić dane osobowe?

Ochrona praw i wolności osób fizycznych w związku z przetwarzaniem danych osobowych wymaga wdrożenia odpowiednich środków technicznych i organizacyjnych. W przepisach RODO została zawarta podpowiedź, o jakie środki chodzi. I tak będzie to przykładowo minimalizacja przetwarzania danych osobowych, jak najszybsza pseudonimizacja danych osobowych albo umożliwienie osobie, której dane dotyczą, monitorowania przetwarzania danych.

Wybór i wdrożenie odpowiednich środków powinien nastąpić w wyniku analizy dokonanej przez administratora danych. Pod uwagę należy wziąć stan wiedzy technicznej, koszt wdrażania oraz charakter, zakres, kontekst i cele przetwarzania oraz ryzyko naruszenia praw lub wolności osób fizycznych o różnym prawdopodobieństwie wystąpienia i wadze zagrożenia wynikające z przetwarzania. Naruszenie tej regulacji wiązać może się z ryzykiem nałożenia na administratora kary pieniężnej. Zgodnie z RODO, jej wysokość może wynosić maksymalnie 10 000 000 euro, a w przypadku przedsiębiorstwa – do 2% jego całkowitego rocznego światowego obrotu z poprzedniego roku obrotowego. Jeżeli 2% tego obrotu przewyższy kwotę 10 000 000 euro, górną granicę stanowi wyższa z kwot. Jeżeli administrator lub podmiot przetwarzający naruszy umyślnie lub nieumyślnie w ramach tych samych lub powiązanych operacji przetwarzania kilka przepisów RODO, całkowita wysokość administracyjnej kary pieniężnej nie może przekroczyć wysokości kary za najpoważniejsze naruszenie.

Warto również podkreślić, że decydując, czy nałożyć administracyjną karę pieniężną, oraz ustalając jej wysokość, zwraca się w każdym indywidualnym przypadku należytą uwagę między innymi na stopień odpowiedzialności administratora lub podmiotu przetwarzającego z uwzględnieniem środków technicznych i organizacyjnych wdrożonych przez nich na mocy wyżej przytoczonych regulacji.

Anonimizacja czy pseudonimizacja

W konkluzji należy wskazać, że pomimo pozornego podobieństwa omawianych pojęć, diametralnie się od siebie różnią. Każdorazowo to administrator danych jest uprawniony i zobowiązany do wyboru takiego środka ochrony danych, który będzie zapewniał im należytą ochronę, przy uwzględnieniu szeregu innych czynników. W rezultacie anonimizacja staje się być dobrym rozwiązaniem tylko wtedy, gdy administrator chciałby zapewnić całkowite i nieodwracalne wyłączenie dostępu do danych. Z kolei w praktyce bieżącej ochrony przetwarzanych danych najlepszym rozwiązaniem zdaje się być pseudonimizacja – jednakże RODO dopuszcza równolegle także inne środki ochrony danych.

Sprawdź również: