W świetle zbliżającego się terminu wejścia w życie RODO – unijnego rozporządzenia o ochronie danych 25 maja 2018 roku, coraz więcej instytucji poszukuje informacji na temat technik zabezpieczania wrażliwych informacji. Podczas wdrożenia nowych procedur bezpieczeństwa pojawiają się pytania związane z wyborem metody ochrony danych osobowych. Jednym z najistotniejszych narzędzi jest anonimizacja i pseudonimizacja. Czym się różnią i kiedy należy je stosować?

Anonimizacja

Anonimizacja prowadzi do nieodwracalnego uniemożliwienia zidentyfikowania osoby. Wszystkie dane, które mogłyby umożliwić identyfikacje zostają zaczernione, co pozwala na utworzenie zbioru danych, z których nie da się wyodrębnić konkretnej osoby fizycznej. Z dokumentu zostają usunięte identyfikatory – informacje takie jak nazwiska, imiona, adresy, daty urodzenia, numery PESEL i NIP. Dokumenty, które zostały poprawnie zanonimizowane nie podlegają pod prawo o przetwarzaniu danych osobowych i mogą zostać udostępnione osobom wnioskującym lub upublicznione (np. w Biuletynie Informacji Publicznej) bez zgody osób, których dane dotyczą.

Celem anonimizacji jest uniemożliwienie wykorzystania danych osobowych lub wrażliwych do zidentyfikowania osoby fizycznej za pomocą „wszystkich sposobów, jakimi może posłużyć się” administrator danych lub osoba trzecia. Proces anonimizacji można przeprowadzić od razu przy wprowadzaniu dokumentów („na wejściu”) lub – w razie potrzeby – na istniejącym zbiorze danych osobowych.

Pseudonimizacja

Pseudonimizacja to nowe narzędzie ochrony danych osobowych, którego do tej pory polskie przepisy nie przewidywało.  W przeciwieństwie do anonimizacji jest procesem odwracalnym. Polega na zmianie identyfikatorów, które są danymi osobowymi na takie, które nimi nie są. Na przykład imiona i nazwiska osób fizycznych zastępowane są liczbami. Najważniejszym aspektem pseudonimizacji jest utajnienie powiązania – reguły – starych identyfikatorów z nowymi. Dane osobowe zostaną zabezpieczone, natomiast można je odzyskać jeżeli zna się regułę zamiany starych identyfikatorów. W efekcie pseudonimizacji nie otrzymamy anonimowego zbioru danych, chociaż dane wrażliwe zostają zabezpieczone i zmniejsza się ryzyko dla osób, których one dotyczą. Należy jednak pamiętać, że dokumenty po psuedonomizacji nadal podlegają pod prawo o przetwarzaniu danych osobowych – to znaczy, że potrzebna jest podstawa prawna do ich przetwarzania.

Anonimizacja i pseudonimizacja w firmach/organizacjach

W większości instytucji proces anonimizacji danych osobowych przeprowadzany jest manualnie. Pracownicy kserują dokumenty, następnie ręcznie zamazują dane osobowe. Skan tak przygotowanego dokumentu może zostać udostępniony wnioskującym organizacją lub opublikowany na stronie internetowej przedsiębiorstwa. Innym sposobem jest skanowanie dokumentów, a następnie wymazywanie danych w programach graficznych.

Metody te niepozbawione są wad. Przede wszystkim problemem jest czasochłonność, a w przypadku większej liczby dokumentów, konieczność zaangażowania w proces wielu pracowników. Ręczna anonimizacja generuje błędy ludzkie, co wymusza kilkukrotną weryfikację dokumentów.

Rozwiązaniem powyższych problemów może być wdrożenie w organizacji systemu automatyzującego proces anonimizacji, który pozwala na rezygnacje z ręcznego wymazywania danych z dokumentów. Największą zaletą takiego rozwiązania jest zmniejszenie kosztów anonimizacji oraz zdecydowane skrócenie czasu poświęcanego na ten proces. W związku z zmianą przepisów o ochronie danych osobowych, dobrze dostosowany system nie tylko zwiększy bezpieczeństwo danych, czy poprawi efektywność, ale przede wszystkim pozwoli na uniknięcie olbrzymich kar, sięgających nawet 20 milionów euro.

Jeśli masz wątpliwości co do tego, jak Twoja firma może dostosować się do RODO i jak uchronić się przed konsekwencjami złej interpretacji ustawy — skontaktuj się z nami — biuro@e-msi.pl