Псевдонимизация

Псевдонимизация — это процедура управления данными и деидентификации , при которой поля личной информации в записи данных заменяются одним или несколькими искусственными идентификаторами или псевдонимами . Использование одного псевдонима для каждого замененного поля или набора замененных полей делает запись данных менее идентифицируемой, но при этом остается пригодной для анализа и обработки данных .

Псевдонимизация (или псевдонимизация, написание в соответствии с европейскими рекомендациями) — это один из способов соблюдения Европейского Союза требований нового Общего регламента защиты данных (GDPR) по безопасному хранению личной информации. Псевдонимизированные данные можно восстановить в исходное состояние с добавлением информации, позволяющей повторно идентифицировать людей. Напротив, анонимизация предназначена для предотвращения повторной идентификации людей в наборе данных. Пункт 18, Модуль четвертый, сноска 2 Принятия Европейской комиссией Имплементационного решения (ЕС) 2021/914 «требует сделать данные анонимными таким образом, чтобы никем больше нельзя было идентифицировать человека… и чтобы это процесс необратим».

Влияние решения Шремса II

Европейский инспектор по защите данных (EDPS) 9 декабря 2021 года назвал псевдонимизацию основной технической дополнительной мерой для соблюдения требований Schrems II. Менее чем через две недели Комиссия ЕС подчеркнула, что псевдонимизация является важным элементом решения об эквивалентности Южной Кореи, статуса, который был утрачен Соединенными Штатами в соответствии с постановлением Суда Европейского Союза по делу Шремса II (CJEU). ).

Важность псевдонимизации в соответствии с GDPR резко возросла в июне 2021 года, когда Европейский совет по защите данных (EDPB) и Европейская комиссия выделили псевдонимизацию, соответствующую GDPR, в качестве современной технической дополнительной меры для постоянного законного использования личных данных ЕС. данные при использовании облачных процессоров третьих стран (т. е. за пределами ЕС) или поставщиков удаленных услуг в соответствии с постановлением СЕС «Шремс II». В соответствии с GDPR и окончательным руководством EDPB Schrems II, термин «псевдонимизация» требует нового защищенного «состояния» данных, дающего защищенный результат, который:

(1) Защищает прямые, косвенные и квазиидентификаторы, а также характеристики и поведение;

(2) Защищает на уровне записей и наборов данных, а не только на уровне поля, так что защита распространяется повсюду, где бы ни находились данные, в том числе во время их использования; и

(3) Защищает от несанкционированной повторной идентификации с помощью эффекта мозаики, создавая высокие уровни энтропии (неопределенности) за счет динамического назначения разных токенов в разное время для различных целей.

Сочетание этих мер защиты необходимо для предотвращения повторной идентификации субъектов данных без использования дополнительной информации, хранящейся отдельно, как того требует статья 4(5) GDPR и как дополнительно подчеркивается в параграфе 85(4) окончательного варианта EDPB Schrems II. руководство:

• Статья 4(5) «Определения» GDPR определяет псевдонимизацию как «обработку персональных данных таким образом, что персональные данные больше нельзя отнести к конкретному субъекту данных без использования дополнительной информации, при условии, что такая дополнительная информация хранятся отдельно и подлежат техническим и организационным мерам, гарантирующим, что персональные данные не будут отнесены к идентифицированному или идентифицируемому физическому лицу».
• «Сценарий использования 2: Передача псевдонимизированных данных. Параграф 85(4)» окончательной версии Руководства EDPB Schrems II требует, чтобы «контролер установил посредством тщательного анализа рассматриваемых данных – принимая во внимание любую информацию, которую государственные органы страны-получателя могут владеть и использовать – что псевдонимизированные персональные данные не могут быть отнесены к идентифицированному или идентифицируемому физическому лицу, даже если они имеют перекрестные ссылки с такой информацией».

Псевдонимизация, соответствующая требованиям GDPR, требует, чтобы данные были «анонимными» в самом строгом смысле этого слова в ЕС – глобально анонимными – за исключением дополнительной информации, хранящейся отдельно и доступной в контролируемых условиях, разрешенных контроллером данных для разрешенной повторной идентификации индивидуальных данных. предметы. Пункт 18, Модуль четвертый, сноска 2 Принятия Европейской комиссией Имплементационного решения (ЕС) 2021/914 «требует сделать данные анонимными таким образом, чтобы физическое лицо больше не могло быть идентифицировано кем-либо, в соответствии с пунктом 26 декларативной части 26. Регламента (ЕС) 2016/679, и что этот процесс необратим».

До решения Шремса II псевдонимизация была методом, используемым экспертами по безопасности или государственными чиновниками для сокрытия личной информации для сохранения структуры данных и конфиденциальности информации . Некоторые распространенные примеры конфиденциальной информации включают почтовый индекс, местонахождение людей, имена людей, расу и пол и т. д.

После решения Шремса II псевдонимизация в соответствии с GDPR должна удовлетворять вышеупомянутым элементам как «результат», а не просто метод.

Поля данных

Выбор того, какие поля данных будут псевдонимизированы, частично субъективен. Часто также включаются менее избирательные поля, такие как дата рождения или почтовый индекс, поскольку они обычно доступны из других источников и, следовательно, облегчают идентификацию записи. Псевдонимизация этих менее идентифицирующих полей лишает большую часть их аналитической ценности и поэтому обычно сопровождается введением новых производных и менее идентифицирующих форм, таких как год рождения или более крупный регион почтового индекса .

Поля данных, которые менее информативны, например дата посещения, обычно не псевдонимизируются. Это происходит потому, что при этом теряется слишком много статистической полезности, а не потому, что данные невозможно идентифицировать. Например, зная заранее несколько дат посещения, можно легко идентифицировать чьи-либо данные в псевдонимизированном наборе данных, выбирая только тех людей с этим шаблоном дат. Это пример атаки на основе вывода .

Слабость псевдонимизированных данных до принятия GDPR к атакам на основе логического вывода обычно упускается из виду. Известный пример – скандал с поисковыми данными AOL . Пример несанкционированной повторной идентификации AOL не требовал доступа к отдельно хранимой «дополнительной информации», которая находилась под контролем контроллера данных, как это сейчас требуется для псевдонимизации в соответствии с GDPR, как описано ниже в разделе «Новое определение псевдонимизации в соответствии с GDPR». .

Защита статистически полезных псевдонимизированных данных от повторной идентификации требует:

1. надежная информационной безопасности база
2. контроль риска того, что аналитики, исследователи или другие сотрудники, работающие с данными, нарушат конфиденциальность

Псевдоним позволяет отслеживать происхождение данных, что отличает псевдонимизацию от анонимизации . где все личные данные, которые могли позволить вернуться назад, были удалены. Псевдонимизация является проблемой, например, в отношении данных о пациентах, которые необходимо безопасно передавать между клиническими центрами.

Применение псевдонимизации в электронном здравоохранении направлено на сохранение неприкосновенности частной жизни пациента и конфиденциальности данных . Это позволяет уполномоченным поставщикам медицинских услуг первично использовать медицинские записи и сохранять конфиденциальность при вторичном использовании исследователями. В США HIPAA предоставляет рекомендации о том, как следует обращаться с медицинскими данными, а деидентификация или псевдонимизация данных является одним из способов упростить соблюдение HIPAA. . Однако простая псевдонимизация для сохранения конфиденциальности часто достигает своих пределов, когда генетических данных речь идет о (см. также генетическую конфиденциальность ). Из-за идентифицирующей природы генетических данных деперсонализации часто бывает недостаточно, чтобы скрыть соответствующего человека. Возможные решения — сочетание псевдонимизации с фрагментацией и шифрованием .

Примером применения процедуры псевдонимизации является создание наборов данных для исследования деидентификации путем замены идентифицирующих слов словами из той же категории (например, замена имени случайным именем из словаря имен), однако в этом случае, как правило, невозможно отследить данные до их источника.

Новое определение псевдонимизации в соответствии с GDPR

С 25 мая 2018 года Общий регламент ЕС по защите данных (GDPR) впервые на уровне ЕС определяет псевдонимизацию в статье 4(5). В соответствии с требованиями определения статьи 4(5), данные псевдонимизируются, если их нельзя отнести к конкретному субъекту данных без использования отдельно хранимой «дополнительной информации». Псевдонимизированные данные воплощают современный уровень защиты данных по замыслу и по умолчанию. поскольку требуется защита как прямых, так и косвенных идентификаторов (не только прямых). Принципы защиты данных GDPR по замыслу и по умолчанию, воплощенные в псевдонимизации, требуют защиты как прямых, так и косвенных идентификаторов, чтобы персональные данные не подвергались перекрестным ссылкам (или повторной идентификации) с помощью «эффекта мозаики». без доступа к «дополнительной информации», которая хранится отдельно у контролера. Поскольку для повторной идентификации требуется доступ к отдельно хранимой «дополнительной информации», отнесение данных к конкретному субъекту данных может быть ограничено контролером только для поддержки законных целей.

Статья 25(1) GDPR определяет псевдонимизацию как « соответствующую техническую и организационную меру », а статья 25(2) требует от контролеров:

«…принять соответствующие технические и организационные меры для обеспечения того, чтобы по умолчанию обрабатывались только персональные данные, необходимые для каждой конкретной цели обработки. Это обязательство распространяется на объем собранных персональных данных, степень их обработки, период их хранения и их доступность. В частности, такие меры должны гарантировать, что персональные данные по умолчанию не будут доступны без вмешательства человека неопределенному кругу физических лиц».

Центральным элементом защиты данных по замыслу и по умолчанию в соответствии со статьей 25 GDPR является обеспечение контроля над технологиями, которое поддерживает надлежащее использование и способность продемонстрировать, что вы действительно можете сдержать свои обещания. Такие технологии, как псевдонимизация, обеспечивающие защиту данных по замыслу и по умолчанию, показывают отдельным субъектам данных, что помимо создания новых способов извлечения пользы из данных, организации применяют столь же инновационные технические подходы к защите конфиденциальности данных — особенно деликатная и актуальная проблема, учитывая эпидемия нарушений безопасности данных по всему миру.

Активные и растущие области экономической деятельности — «экономика доверия», исследования в области биологических наук, персонализированная медицина/образование, Интернет вещей, персонализация товаров и услуг — основаны на уверенности людей в том, что их данные конфиденциальны, защищены и используются только ими. для соответствующих целей, которые приносят им и обществу максимальную ценность. Это доверие невозможно сохранить, используя устаревшие подходы к защите данных. Псевдонимизация, как она недавно определена в GDPR, — это средство, помогающее обеспечить защиту данных по замыслу и по умолчанию, чтобы завоевать и поддерживать доверие, а также более эффективно обслуживать предприятия, исследователей, поставщиков медицинских услуг и всех, кто полагается на целостность данных.

Псевдонимизация, соответствующая GDPR, не только обеспечивает более эффективное использование данных с уважением к конфиденциальности в современном мире « больших данных » совместного использования и объединения данных, но также позволяет контролерам и процессорам данных получать явные преимущества в соответствии с GDPR для правильно псевдонимизированных данных. Преимущества правильной псевдонимизации данных псевдонимизированные данные выделены в нескольких статьях GDPR, в том числе:

• Статья 6(4) как гарантия, помогающая обеспечить совместимость новой обработки данных.
• Статья 25 как техническая и организационная мера, помогающая обеспечить соблюдение принципов минимизации данных и соблюдения обязательств по защите данных по замыслу и по умолчанию.
• Статьи 32, 33 и 34 в качестве меры безопасности помогают сделать утечку данных «маловероятной, что приведет к риску для прав и свобод физических лиц», тем самым снижая ответственность и обязательства по уведомлению в случае утечки данных.
• Статья 89(1) как гарантия в связи с обработкой в ​​целях архивирования в общественных интересах; научные или исторические исследовательские цели; или статистических целях; более того, преимущества псевдонимизации согласно Статье 89(1) также обеспечивают большую гибкость в отношении:
  1. Статья 5(1)(b) в отношении ограничения цели;
  2. Статья 5(1)(e) в отношении ограничения хранения; и
  3. Статья 9(2)(j) в отношении преодоления общего запрета на обработку специальных категорий персональных данных согласно Статье 9(1).
• Кроме того, в статье 29 Заключения Рабочей группы 06/2014 признается, что надлежащим образом псевдонимизированные данные играют «… роль в оценке потенциального воздействия обработки на субъекта данных… склоняя чашу весов в пользу контролера». », чтобы помочь поддержать обработку законных интересов в качестве правовой основы в соответствии со статьей GDPR 6 (1) (f). Преимущества от обработки персональных данных с использованием законного интереса с поддержкой псевдонимизации в качестве правовой основы в соответствии с GDPR включают, помимо прочего:
  1. В соответствии со статьей 17(1)(c), если контролер данных доказывает, что у него «имеются первоочередные законные основания для обработки», подкрепленные техническими и организационными мерами для выполнения теста на баланс интересов, он имеет большую гибкость в выполнении запросов о праве на забвение. .
  2. В соответствии со статьей 18(1)(d) контролер данных имеет гибкость в удовлетворении требований об ограничении обработки персональных данных, если он может доказать, что у него имеются технические и организационные меры, чтобы права контролера данных должным образом преобладали над правами контролера данных. субъект данных, поскольку права субъектов данных защищены.
  3. В соответствии со статьей 20(1) на контролеров данных, использующих обработку в законных интересах, не распространяется право на переносимость, которое применяется только к обработке на основе согласия.
  4. В соответствии со статьей 21(1) контролер данных, использующий обработку законных интересов, может продемонстрировать, что у него имеются адекватные технические и организационные меры, чтобы права контролера данных должным образом преобладали над правами субъекта данных, поскольку права субъектов данных защищены; однако субъекты данных всегда имеют право в соответствии со статьей 21(3) не получать прямой маркетинговой информации в результате такой обработки.

См. также

• Клиническая информационная система
• Динамическое маскирование данных
• ФЛАИМ
• Конфиденциальность