Pseudonymizované a anonymizované údaje podľa GDPR

Pseudonymizované a anonymizované údaje podľa GDPR: Sú to osobné údaje alebo nie?

Aký je teda rámec na posúdenie, či sú vaše údaje naozaj anonymné?

Tu je jednoduchý check list, ktorý si môžete položiť pri každom procese anonymizácie alebo pseudonymizácie:

1. Je možné identifikovať osobu bez dodatočných informácií? Ak áno, nie je to anonymizované.
2. Existuje kľúč na opätovnú identifikáciu? Ak áno, nie sú to anonymné údaje. Sú to pseudonymizované.
3. Má iný subjekt (tretia strana) prístup k tomuto kľúču? Ak áno, sú to pre neho osobné údaje.
4. Mohli by sa údaje kombinovať s inými dostupnými údajmi na identifikáciu osôb? Ak áno, zostávajú osobnými údajmi.
5. Informovali ste dotknuté osoby, že údaje posielate tretej strane? Ak nie, porušili ste povinnosť informovať – bez ohľadu na to, či sú to osobné údaje alebo nie.
6. Kontrolujete pravidelne kontrolujte, či vaša pseudonymizácia stále „funguje“. Čas ide dopredu, technológie sa vyvíjajú. To, čo bolo pseudonymizované bezpečne pred troma rokmi, nemusí byť bezpečné dnes, keď sú k dispozícii nové spájacie techniky alebo datasety.
7. Máte dobrú zmluvu o spracovaní (osobných) údajov (aj DPA) s tretími stranami? Ak zdieľate pseudonymizované údaje s externými partnermi, musíte vyhľadať vhodný typ zmluvy (napríklad dohodu o spracovaní údajov), ktorá jasne definuje, ako budú údaje chránené.

 

Autor: Peter Lipták