Anonimizacja i pseudonimizacja
RODO – unijne rozporządzenie o ochronie danych weszło w życie 25 maja 2018 roku, w związku z tym coraz więcej instytucji poszukuje informacji na temat technik zabezpieczania wrażliwych informacji. Podczas wdrożenia nowych procedur bezpieczeństwa pojawiają się pytania związane z wyborem metody ochrony danych osobowych. Jednym z najistotniejszych narzędzi jest anonimizacja i pseudonimizacja. Czym się różnią i kiedy należy je stosować?
Co to jest anonimizacja?
Anonimizacja prowadzi do nieodwracalnego uniemożliwienia zidentyfikowania osoby. Wszystkie dane, które mogłyby umożliwić identyfikacje zostają zaczernione, co pozwala na utworzenie zbioru danych, z których nie da się wyodrębnić konkretnej osoby fizycznej. Z dokumentu zostają usunięte identyfikatory – informacje takie jak nazwiska, imiona, adresy, daty urodzenia, numery PESEL i NIP. Dokumenty, które zostały poprawnie zanonimizowane nie podlegają pod prawo o przetwarzaniu danych osobowych i mogą zostać udostępnione osobom wnioskującym lub upublicznione (np. w Biuletynie Informacji Publicznej) bez zgody osób, których dane dotyczą.
Celem anonimizacji jest uniemożliwienie wykorzystania danych osobowych lub wrażliwych do zidentyfikowania osoby fizycznej za pomocą „wszystkich sposobów, jakimi może posłużyć się” administrator danych lub osoba trzecia. Proces anonimizacji można przeprowadzić od razu przy wprowadzaniu dokumentów („na wejściu”) lub – w razie potrzeby – na istniejącym zbiorze danych osobowych.
Co to jest pseudonimizacja?
Jeśli pojęcie anonimizacji jest już wam znane, ale nadal zastanawiacie się co to jest pseudonimizacja – mamy dla Was odpowiedź. Pseudonimizacja to nowe narzędzie ochrony danych osobowych, którego do tej pory polskie przepisy nie przewidywało.
Pseudonimizacja, a anonimizacja?
W przeciwieństwie do anonimizacji, pseudonimizacja danych jest procesem odwracalnym. Polega na zmianie identyfikatorów, które są danymi osobowymi na takie, które nimi nie są. Pseudonimizacja danych polega na np. zastąpieniu imion i nazwisk osób fizycznych liczbami. Najważniejszym aspektem pseudonimizacji jest utajnienie powiązania – reguły – starych identyfikatorów z nowymi. Dane osobowe zostaną zabezpieczone, natomiast można je odzyskać jeżeli zna się regułę zamiany starych identyfikatorów. W efekcie pseudonimizacji nie otrzymamy anonimowego zbioru danych, chociaż dane wrażliwe zostają zabezpieczone i zmniejsza się ryzyko dla osób, których one dotyczą. Należy jednak pamiętać, że dokumenty po psuedonomizacji nadal podlegają pod prawo o przetwarzaniu danych osobowych – to znaczy, że potrzebna jest podstawa prawna do ich przetwarzania.
Anonimizacja a pseudonimizacja w firmach/organizacjach
W większości instytucji proces anonimizacji danych osobowych przeprowadzany jest manualnie. Pracownicy kserują dokumenty, następnie ręcznie zamazują dane osobowe. Skan tak przygotowanego dokumentu może zostać udostępniony wnioskującym organizacją lub opublikowany na stronie internetowej przedsiębiorstwa. Innym sposobem jest skanowanie dokumentów, a następnie wymazywanie danych w programach graficznych.
Metody te niepozbawione są wad. Przede wszystkim problemem jest czasochłonność, a w przypadku większej liczby dokumentów, konieczność zaangażowania w proces wielu pracowników. Ręczna anonimizacja generuje błędy ludzkie, co wymusza kilkukrotną weryfikację dokumentów.
Rozwiązaniem powyższych problemów może być wdrożenie w organizacji systemu automatyzującego proces anonimizacji, który pozwala na rezygnacje z ręcznego wymazywania danych z dokumentów. Największą zaletą takiego rozwiązania jest zmniejszenie kosztów anonimizacji oraz zdecydowane skrócenie czasu poświęcanego na ten proces. W związku z zmianą przepisów o ochronie danych osobowych, dobrze dostosowany system nie tylko zwiększy bezpieczeństwo danych, czy poprawi efektywność, ale przede wszystkim pozwoli na uniknięcie olbrzymich kar, sięgających nawet 20 milionów euro.
Jeśli interesuje Cię anonimizacja i pseudonimizacja danych, lub chciałbyś dowiedzieć się jak lepiej przestrzegać zasad RODO i jak uchronić się przed konsekwencjami złej interpretacji ustawy — skontaktuj się z nami — biuro@e-msi.pl
