RODO: pseudonimizacja sposobem na ochronę danych

• Pojęcie pseudonimizacji
• Pseudonimizacja a anonimizacja
• Obowiązek pseudonimizacji

Nowe regulacje dotyczące ochrony danych osobowych nakładają pewne obowiązki również na podmioty publiczne przetwarzające dane osobowe. Nie wskazują jednak konkretnych działań, lecz jedynie cel, jaki ma zostać osiągnięty. Jako przykładowe działanie zapewniające bezpieczeństwo przetwarzania wskazano m.in. pseudonimizację danych.

Przepisy rozporządzenia PE i Rady 2016/679 w sprawie ochrony osób fizycznych w związku z przetwarzaniem danych osobowych i w sprawie swobodnego przepływu takich danych oraz uchylenia dyrektywy 95/46/WE (dalej: RODO) nakładają na administratorów danych i podmioty przetwarzające - w tym także organy administracji samorządowej - obowiązek podjęcia stosownych środków zapewniających bezpieczeństwo przetwarzania.

Bezpieczeństwo przetwarzania może zostać zapewnione m.in. poprzez pseudonimizację i szyfrowanie danych (art. 32 ust. 1 RODO). Ustawodawca wspólnotowy nie przesądza jednak o konieczności zastosowania tych konkretnych środków. Ocenę zasadności ich stosowania pozostawia organowi.

Pojęcie pseudonimizacji

Pseudonimizcja danych polega na zastąpieniu unikalnej cechy podmiotu danych (np. imienia i nazwiska) inną informacją (np. numerem). W ten sposób - dysponując wyłącznie danymi spseudonimizowanymi - nie można powiązać ich z konkretną osobą. Co więcej, takie dane powinny być przechowywane w innym miejscu niż informacje pozwalające powiązać te dane z personaliami konkretnych osób. Innymi słowy, klucz dekodujący powinien znajdować się zawsze osobno. Zgodnie z definicją zawartą w art. 4 pkt 5 RODO, dane umożliwiające depseudonimizację powinny być objęte środkami technicznymi i organizacyjnymi uniemożliwiającymi ich przypisanie konkretnej osobie.

Pseudonimizacja a anonimizacja

Pojęcie pseudonimizacji może być mylone z zakorzenionym już w praktyce działań organów samorządu pojęciem anonimizacji. To drugie pojęcie wykształciło się m.in. na gruncie orzecznictwa sądów administracyjnych w sprawach dotyczących dostępu do informacji publicznej. Oznacza ono podjęcie przez dysponenta informacji takich działań, które umożliwią udostepnienie informacji, ale jednocześnie zagwarantują respektowanie innych przepisów prawa (np. przepisów o ochronie danych osobowych).

W praktyce anonimizacja udostępnianego dokumentu polega na tzw. wybiałkowaniu fragmentu tekstu, w którym wymienione są np. dane osobowe. Powoduje to, że odbiorca informacji uzyskuje pewną wiedzę o działalności podmiotu publicznego, z wyłączeniem jednak informacji prawnie chronionych. Już z powyższego wynika, że anonimizacja co do zasady jest działaniem nieodwracalnym, tj. osoba dysponująca dokumentem podlegającym prawidłowej anonimizacji nie będzie mogła odczytać danych zanonimizowanych. Pseudonimizacja jest natomiast działaniem odwracalnym, ponieważ w świetle art. 4 pkt 5 RODO, dysponując dodatkowymi informacjami można pseudonimizowane dane powiązać z konkretną osobą.

Obowiązek pseudonimizacji

RODO uznaje pseudonimizację za jeden ze środków, jakie może zastosować podmiot przetwarzający dane osobowe. Dlatego organy samorządu terytorialnego, zgodnie z art. 32 ust. 1 RODO, przy ocenie zasadności zastosowania tego środka powinny uwzględnić takie elementy ocenne, jak: stan wiedzy technicznej, koszt wdrożenia, cel przetwarzania oraz ryzyko naruszenia praw lub wolności osób fizycznych, których dane są przetwarzane.

W konkretnej sytuacji może się okazać, że środkiem dającym większe gwarancje bezpieczeństwa ze względu na specyfikę przetwarzanych danych i ryzyko podjęcia prób ich pozyskania przez podmioty nieuprawnione będzie np. szyfrowanie danych.

dr Kazimierz Pawlik

Radca prawny, specjalizuje się w prawie administracyjnym

Podstawa prawna

• art. 4 pkt 5, art. 32 ust. 1 rozporządzenia PE i Rady 2016/679 w sprawie ochrony osób fizycznych w związku z przetwarzaniem danych osobowych i w sprawie swobodnego przepływu takich danych oraz uchylenia dyrektywy 95/46/WE (Dz.Urz. UE L 119, s. 1)