GDPR, PII und UUIDs
Die DSGVO gibt das an
Eine Person ist "identifiziert" oder "identifizierbar", wenn Sie sie von anderen Personen unterscheiden können.
und auch das
Die DSGVO enthält eine nicht erschöpfende Liste von Kennungen, einschließlich: Name; Identifikationsnummer; Standortdaten; und eine Online-Kennung.
In diesem Sinne versuche ich, meinen Kopf um das zu wickeln, was das in der Praxis bedeutet. Wenn ich zwei Datenbanktabellen habe, sind beide verschlüsselt.
Eine Tabelle ist global verfügbar und enthält Benutzersitzungen. Nehmen wir zum Zwecke der Konversation an, dass global bedeutet, dass es physisch in Ländern gehostet wird, die die EU jetzt als gleichwertig in Bezug auf den Schutz erachtet. Es enthält keine PII, nur den Sitzungsstatus und die Ablaufzeit. Es enthält auch eine Benutzer-UUID, die zufällig generiert wurde, aber an die Lebensdauer des Benutzers gebunden ist, dh sobald sie einem Benutzer zugewiesen wurde, ändert sie sich nicht.
Die andere Tabelle wird physisch in der EU gehostet und enthält eine UUID für die E-Mail-Zuordnung.
Wenn ein Verstoß dazu führt, dass die erste Tabelle durchgesickert ist, sind die Daten anonym. Erst wenn sie mit der zweiten verbunden sind, kann die Benutzersitzung mit PII (E-Mail-Adresse) verknüpft werden.
Bedeutet dies, dass beide Tabellen unter die DSGVO fallen und daher in die EU (oder eine gleichwertige) gestellt werden müssen, oder reicht es aus, dass sich dort nur die Tabelle mit PII befindet?
Antworten
Bei der Beschreibung dieser UUID handelt es sich um pseudonyme Daten (siehe GDPR Art. 4 (5) und Erwägungsgründe 28–29). Das heißt, es wird nicht direkt identifiziert, aber Sie haben eine Zuordnung zwischen Pseudonymen und Bezeichnern, mit der diese Daten erneut identifiziert werden können. Eine wirksame Pseudonymisierung erfordert nicht nur, dass die Daten logisch getrennt sind, sondern auch, dass wirksame organisatorische und technische Maßnahmen vorhanden sind, die eine erneute Kombination durch Unbefugte verhindern. Neben der Verschlüsselung ist die Pseudonymisierung eine der Sicherheitsmaßnahmen, die die DSGVO ausdrücklich verlangt, wenn dies angebracht ist (siehe Art. 25, Art. 32).
Pseudonyme Daten sind immer noch personenbezogene Daten, da Sie die Daten leicht neu identifizieren können. Das PII-Konzept ist US-spezifisch und in einem GDPR-Kontext irreführend, in dem es nicht auf die inhärent identifizierenden Merkmale der Informationen ankommt, sondern auf die realistische Fähigkeit des für die Verarbeitung Verantwortlichen, betroffene Personen herauszusuchen, auf die sich diese Daten beziehen (vgl 4 (1) und Erwägungsgrund 26).
Wenn Sie jedoch die UUID-E-Mail-Zuordnung unwiderruflich löschen, sind die Dinge schwieriger. Es besteht keine Verbindung mehr zur direkten Identifizierung von Daten, sodass diese Daten möglicherweise anonym sind. Auf der anderen Seite können Sie mit einer solchen dauerhaften UUID immer noch Personen erkennen / unterscheiden, sodass es sich möglicherweise immer noch um personenbezogene Daten handelt. Dies kann insbesondere dann der Fall sein, wenn die UUID in langlebigen Cookies von Website-Besuchern verwendet wird und somit dem Konzept der DSGVO als „Online-Kennung“ entspricht. Diese Schlussfolgerung könnte vermieden werden, indem die Wiederverwendung von UUIDs eingeschränkt wird, z. B. das Erstellen einer neuen UUID nach einer kontextabhängigen angemessenen Dauer.
Die DSGVO verlangt nicht, dass alle Daten in der EU gespeichert werden, sondern dass die internationale Übermittlung personenbezogener Daten einen ausreichenden Schutz bietet. Wenn Sie diese Daten in Ländern ohne angemessenen Rechtsschutz (wie den USA) verarbeiten, müssen zusätzliche Sicherheitsvorkehrungen getroffen werden. Die Pseudonymisierung könnte Teil solcher Schutzmaßnahmen sein und wurde von einigen Datenschutzbehörden im Zuge des Schrems II-Urteils vorgeschlagen. Die Pseudonymisierung allein macht den internationalen Transfer jedoch nicht legal, sondern eher eine Strategie zur Reduzierung der verbleibenden Risiken.
Ich denke, dass Ihre Systeme gute Chancen haben, in Ordnung zu sein, aber nicht unbedingt. Führen Sie im Zweifelsfall eine DPIA durch und wenden Sie sich möglicherweise an Ihre Datenschutzbehörde gemäß DSGVO Art 36. Wenn dies möglich ist, vereinfacht die Speicherung / Verarbeitung von Daten nur im EWR oder in Ländern mit einer Angemessenheitsentscheidung die Einhaltung. Schutzmaßnahmen wie die Pseudonymisierung könnten durch rotierende UUIDs und durch Einschränkung des Zugriffs auf die Tabelle mit Kennungen verstärkt werden.
Bedeutet dies, dass beide Tabellen unter die DSGVO fallen und daher in die EU (oder eine gleichwertige) gestellt werden müssen, oder reicht es aus, dass sich dort nur die Tabelle mit PII befindet?
Es ist nicht erforderlich, dass Daten, die unter die DSGVO fallen, physisch in der EU gespeichert sind. Es kann in einem Land abgehalten werden, das den gleichen Schutz bietet wie die bestehenden EU-Datengesetze.
Beide Tabellen fallen unter die DSGVO, da die Tabelle "Sitzungen" theoretisch mit der Tabelle "E-Mails" verknüpft und zur Identifizierung einer natürlichen Person verwendet werden kann.