Pseudonimizacja danych osobowych i anonimizacja wywołują odmienne skutki prawne: pseudonimizacja według RODO z art. 4 pkt 5 RODO jest odwracalny sposobem ograniczenia ryzyka, a anonimizacja w rozumieniu motywu 26 RODO ma trwale uniemożliwić zidentyfikować konkretną osobę. W praktyce roda nadal obejmuje dane po pseudonimizacji, bo administrator lub inny podmiot może zidentyfikować osobę przy użycia dodatkowych informacji, natomiast skuteczna anonimizacja wyłącza dane z reżimu, jaki tworzy ogólne rozporządzenie o ochronie danych.
Pseudonimizacja jest procesem odwracalnym, a anonimizacja jest procesem nieodwracalnym. To podstawowa różnica dla organizacji, która projektuje ochrona danych, ochrona danych osobowych i zgodnie z rodo ocenia, czy nadal dochodzi do przetwarzania danych osobowych oraz czy możliwa jest identyfikacja osoby fizycznej.
Techniki pseudonimizacji: tokenizacja, szyfrowanie i ich granice
Pseudonimizacja polega na zastąpieniu identyfikatorów, takich jak imienia i nazwiska, numer klienta czy adres e-mail, innym oznaczeniem, np. tokenem lub losowym ciąg znaków. Jeżeli jednak istnieje klucza lub tabela odwzorowania pozwalająca na przypisanie rekordu do określonej osoby, dane osobowe nadal pozostają objęte roda, a administrator danych musi zapewnić ochrona danych osobowych.
Najczęstsze metody pseudonimizacji to:
- tokenizacja – zastąpienie identyfikatora wartością techniczną;
- szyfrowanie – ograniczenie czytelności danych bez odpowiedniego klucza;
- haszowanie z kontrolą dostępu do danych źródłowych;
- separacja zbiorów i rozdzielenie identyfikatorów od treści operacyjnej.
Warto pamiętać, że samo szyfrowanie nie zawsze oznacza pseudonimizacji w rozumieniu 4 rodo. Jeżeli ten sam podmiot ma pełen dostęp do klucza, danych wejściowych i kontekstu biznesowego, może łatwo zidentyfikować osobę fizycznej. Granicą jest więc realna możliwość ponownej identyfikacja, a nie tylko techniczna zmiana formatu zapisu.
EROD i Europejska Rada Ochrony Danych konsekwentnie wskazują, że ocena musi uwzględniać „rozsądnie prawdopodobne” sposoby, którymi można zidentyfikować podmiot danych. Dotyczy to także sytuacji, gdy rekord można połączyć z innymi danymi, metadanymi lub historią operacji. Dlatego Pseudonimizacja wzmacnia prywatność, ale nie usuwa obowiązków z przepisów rodo.
Narzędzia techniczne i typowe błędy wdrożeniowe w pseudonimizacji
Skuteczność pseudonimizacji zależy nie tylko od algorytmu, ale też od architektury przetwarzania danych. Weryfikacja zgodności architektury przetwarzania danych z wymogami RODO w organizacji powinna objąć separację środowisk, procedury rotacji kluczy, model uprawnień dostępowych, rejestrowanie operacji, retencję, testy odtwarzania oraz zasady, czy dane i dodatkowe informacje są przechowywane osobno.
Najczęstsze błędy to:
- przechowywanie tabeli mapującej i zbioru roboczego w tym samym systemie;
- brak ograniczeń dostępu dla personelu, który może zidentyfikować klienta;
- stosowanie przewidywalnych identyfikatorów zamiast losowych wartości;
- pozostawienie pól pośrednio umożliwiających identyfikację osoby, np. dokładnej daty zdarzenia i rzadkiej lokalizacji;
- brak procedur usunięcia danych albo zbyt długi okres retencji.
W praktyce administrator danych osobowych powinien wykazać, że zastosowane rozwiązanie wspiera ochrony danych w fazie projektowania z art. 25 RODO oraz bezpieczeństwo danych z art. 32. Jeżeli środek ma służyć ograniczeniu skutków incydentu, musi realnie utrudniać zidentyfikować osobę bez odszyfrowania danych albo bez dostępu do odrębnego klucza.
Przykłady pseudonimizacji w praktyce organizacji
Pseudonimizacja znajduje zastosowanie m.in. w 3 kluczowych sektorach: ochronie zdrowia, programach lojalnościowych w retailu oraz badaniach klinicznych, umożliwiając przetwarzanie danych analitycznych przy zachowaniu rozdzielenia tożsamości pacjenta lub klienta od danych operacyjnych. Nadal jednak roda ma zastosowanie, bo administrator może zidentyfikować określonej osoby przy użyciu klucza lub bazy referencyjnej.
W placówkach medycznych identyfikatory pacjentów zastępuje się kodem badania, a dane kliniczne trafiają do osobnego zbioru. Lekarz lub uprawniony administrator może później zidentyfikować pacjenta wyłącznie przez kontrolowane przypisanie kodu do osoby fizycznej. Taki model wzmacnia ochrona danych osobowych i ogranicza ryzyko w związku z przetwarzaniem danych osobowych.
W systemach lojalnościowych pseudonimizacja polega na rozdzieleniu danych transakcyjnych od bazy tożsamości klienta za pomocą unikalnego numeru karty, co pozwala analitykom badać koszyki zakupowe bez wglądu w dane osobowe. Jeżeli jednak numer można połączyć z profilem zawierającym imienia i nazwiska, adres czy historię kontaktu, nadal dochodzi do przetwarzania danych i identyfikacji danej osoby.
W badaniach klinicznych sponsor lub ośrodek może pracować na kodach uczestników, a lista identyfikacyjna pozostaje pod ścisłą kontrolą. To klasyczny przykład, w którym przetworzenie danych osobowych nie prowadzi do utraty charakteru osobowego danych, bo istnieje odwracalny mechanizm powrotu do tożsamości.
Przykłady anonimizacji: kiedy dane naprawdę przestają być osobowe
Skuteczna anonimizacja wymaga zastosowania technik agregacji, uogólniania i trwałego usuwania identyfikatorów, co całkowicie wyklucza ponowną identyfikację podmiotu danych zarówno w raportach rynkowych, jak i testach wewnętrznych. Anonimizacja danych nie polega więc na ukryciu rekordu, ale na takim przekształceniu, aby nie dało się zidentyfikować osoby fizycznej ani bezpośrednio, ani pośrednio.
Przykładem są raporty statystyczne, w których zamiast danych jednostkowych publikuje się wyłącznie zbiorcze wyniki dla odpowiednio licznych grup. W badaniach rynkowych anonimizacja polega na trwałym usunięciu danych bezpośrednich oraz k-stopniowej agregacji cech demograficznych, co uniemożliwia wyodrębnienie pojedynczego respondenta. Wtedy dane osobowe zanonimizowanych rekordów nie pozwalają już zidentyfikować konkretnej osoby fizycznej.
Anonimizacja danych może też dotyczyć dokumentacji szkoleniowej lub materiałów do testów systemów, jeżeli usunięto wszelkie elementy umożliwiających identyfikację, a zestawiono treść w sposób uniemożliwiający odtworzenie relacji z osobą. Sama redakcja nazwiska lub numeru sprawy nie zawsze wystarczy, jeżeli kontekst dokumentu nadal pozwala zidentyfikować autora, klienta lub świadka.
Na czym polega anonimizacja dokumentów?
Anonimizacja dokumentów polega na trwałym usunięciu lub nieodwracalnym przekształceniu wszystkich informacji, które pozwalają zidentyfikować osobę bezpośrednio albo pośrednio. Obejmuje to nie tylko dane wprost, ale też sygnatury wewnętrzne, opisy zdarzeń, lokalizacje, daty i zestawienia cech, które w połączeniu mogłyby prowadzić do identyfikacja osoby fizycznej.
Co oznacza „spseudonimizowane”?
„Spseudonimizowane” oznacza, że dane zostały zastąpione oznacznikiem technicznym, lecz nadal istnieje odwracalny mechanizm pozwalający zidentyfikować osobę. Innymi słowy, Pseudonimizacja nie usuwa związku rekordu z osobą fizycznej, tylko ogranicza dostęp do informacji identyfikacyjnych.
Pseudonimizacja a anonimizacja – zestawienie różnic
| Kryterium | Pseudonimizacja | Anonimizacja |
|---|---|---|
| Status prawny | Dane nadal podlegają roda | Po skutecznej operacji dane wypadają poza roda |
| Możliwość identyfikacji | Tak, przy użyciu klucza lub bazy referencyjnej | Nie, trzeba trwale uniemożliwić identyfikacji osoby |
| Charakter procesu | Odwracalny | Nieodwracalny |
| Cel | Ograniczenie ryzyka i wsparcie ochrona danych | Trwałe usunięcie związku z osobą |
| Przykład | Token klienta zamiast nazwiska | Raport zbiorczy bez cech jednostkowych |
To zestawienie pokazuje, dlaczego pseudonimizacja a anonimizacja nie mogą być używane zamiennie. Anonimizacja i pseudonimizacja służą prywatność, ale tylko pierwsza może zakończyć ocenę, że roda nie ma już zastosowania wobec danych.
Pseudonimizacja i anonimizacja w praktyce Twojej organizacji – kiedy wybrać które rozwiązanie?
Wybór zależy od celu przetwarzania danych osobowych. Jeżeli organizacja nadal potrzebuje wrócić do tożsamości klienta, pacjenta lub pracownika, właściwa będzie pseudonimizacji danych osobowych. Jeżeli natomiast celem są wyłącznie statystyki, testy lub publikacja wyników bez potrzeby ponownego powiązania z osobą, właściwa będzie anonimizacja.
Administrator danych powinien udokumentować cel, zakres danych, ryzyko, środki techniczne i prawne oraz podstawę, czy możliwe jest późniejsze zidentyfikować osoby fizycznej. Znaczenie ma też ustawa o ochronie danych osobowych, praktyka PUODO i UODO oraz ocena, czy w realiach organizacji istnieją środki pozwalające na identyfikacji osoby po połączeniu rekordu z innymi danymi. To właśnie odróżnia metody pseudonimizacji danych od skutecznej anonimizacji.
W praktyce warto przyjąć prostą zasadę: jeżeli administrator lub procesor zachowuje możliwość odwrócenia procesu, nadal obowiązują przepisy rodo. Jeżeli po operacji nie da się zidentyfikować osoby fizycznej żadnymi rozsądnie dostępnymi środkami, można mówić o anonimizacja danych osobowych jako rozwiązaniu definitywnym.
Skontaktuj się
Jeżeli potrzebna jest analiza, czy dany model przetwarzania danych spełnia wymogi RODO, warto przeprowadzić ocenę prawną i techniczną przed wdrożeniem. Kancelaria pomaga uporządkować role, zakres odpowiedzialności administratora i dokumentację dla procesów obejmujących ochrona danych i ochrona danych osobowych.
Dla firm i przedsiębiorców
Wspieramy przedsiębiorstwa w audytach zgodności z RODO, tworzeniu dokumentacji systemowej, umowach powierzenia oraz rejestrach czynności przetwarzania, zapewniając pełne bezpieczeństwo prawne i operacyjne. Doradzamy, kiedy pseudonimizacja będzie wystarczająca, a kiedy potrzebna jest pełna anonimizacja, aby ograniczyć ryzyko dla administrator danych. Analizujemy także procedury naruszeń, retencję i zgodność procesów z wymogami ue.
Dla kancelarii prawnych
Oferujemy dedykowane wdrożenia RODO dla kancelarii adwokackich i radcowskich, uwzględniające specyfikę tajemnicy zawodowej, bezpieczne przetwarzanie danych szczególnych kategorii oraz audyt umów z dostawcami IT i chmurą. Oceniamy zasady anonimizacji pism, obiegu akt i udostępniania dokumentów w postępowaniach cywilnych, także na tle KPC i obowiązków administrator danych osobowych.
Dla agencji digital
Pomagamy agencjom digital i sklepom e-commerce wdrożyć zgodne z prawem modele analityczne oraz audytować konfigurację śledzenia i piksele w taki sposób, by dostosować analitykę internetową do wymogów RODO bez utraty kluczowych danych konwersji. Ocenie podlega nie tylko ochrona danych, ale też zakres identyfikatorów online, możliwość zidentyfikować użytkownika oraz zgodność komunikacji z prawem konsumenckim.
Na blogu
Na blogu omawiamy także Anonimizacja danych przykłady, Pseudonimizacja przykłady, Anonimizacja a pseudonimizacja, Pseudonimizacja RODO oraz zagadnienia takie jak Administrator danych osobowych to, Gravatar, Funkcja skrótu, Szyfr i Klucz (kryptografia). Treść ma charakter informacyjny i nie stanowi porady prawnej. W razie potrzeby indywidualnej analizy zapraszamy do kontaktu z kancelarią adwokat Mateusza Orlickiego.
