RODO: czym różni się pseudonimizacja od anonimizacji danych?

Sprawdź, jak zapewnić bezpieczeństwo danych w twojej firmie.

Pseudonimizacja jest już częstą praktyką na przykład stosowaną w szkołach, w celu nieujawniania danych osobowych uczniów. Po 25 maja br. - gdy zacznie być egzekwowane Rozporządzenie o ochronie danych osobowych (RODO) - wszystkie firmy będą musiały zadbać o odpowiednią ochronę przetwarzanych informacji. Jak przedsiębiorcy mają sobie poradzić z takim wyzwaniem w przypadku braku szczegółowych wytycznych? Czy pseudonimizacja może być odpowiedzią na to pytanie?

RODO kontra firmy

Europejskie rozporządzenie narzuca wszystkim administratorom – czyli organom, jednostkom organizacyjnym, podmiotom lub osobom decydującym o celach i środkach przetwarzania danych – obowiązek odpowiedniego zabezpieczenia danych osobowych. Obecnie firmy muszą jedynie wykazać zgodność stosowanych środków bezpieczeństwa z rozporządzeniem o środkach zabezpieczających z 2004 r.

- Po 25 maja br. sytuacja się zmieni. To organizacje będą zobowiązane do samodzielnego ocenienia ryzyka naruszenia ochrony danych. RODO jedynie wskazuje ogólne obowiązki wdrożenia środków technicznych i organizacyjnych przetwarzania informacji, uwzględniających m.in. charakter, zakres, kontekst, a także wprowadzenia polityk ochrony – wskazuje Marcin Kujawa z fundacji Wiedza To Bezpieczeństwo.

Pseudonimizacja jako złoty środek?

RODO wprowadza pojęcie pseudonimizacji, które oznacza przetworzenie danych osobowych w taki sposób, by nie można ich było przypisać konkretnej osobie, której one dotyczą, bez użycia dodatkowego „klucza”. Mówiąc prościej, to użycie zamiast np. imienia i nazwiska – liczby. Wymóg jest jeden: klucz z właściwymi danymi do odszyfrowania powinny być przechowywane osobno. Dzięki czemu nawet jeśli doszłoby do wycieku, osoba nieupoważniona niewiele by się z tych danych dowiedziała.

Ciekawe jest to, że pseudonimizacja od pewnego czasu stosowana jest w szkołach, gdzie oceny publikuje się wraz z identyfikatorem ucznia zamiast jego imienia i nazwiska. Może być ona wygodnym sposobem na zabezpieczenie również wrażliwych danych, ponieważ znacznie złagodzone będą wymogi dotyczące ochrony informacji zapisanych w ten sposób. Warto wspomnieć, że można również zastosować anonimizację informacji, po której nie da się ich przypisać do konkretnych osób. Przez co nie muszą być zabezpieczane na tak wysokim poziomie jak te, które nie podlegają procesowi anonimizacji – mówi Marcin Kujawa.

- Przedsiębiorcy powinni zwrócić uwagę, że to, jakie narzędzie ochrony zastosują, wynikać będzie z analizy ryzyka w danej firmie. Należy zauważyć, że rozporządzenie traktuje pseudonimizację jako narzędzie pomocnicze, które może, ale nie musi być wykorzystane przez administratorów. Zasadność użycia danego sposobu bezpieczeństwa powinno być uwzględnione już w samej fazie projektowania nowego systemu   – podsumowuje Marcin Kujawa, WTB.

Pobierz ebook "Social media marketing dla firm i agencje się w nim specjalizujące"