GDPR, PII y UUID
GDPR establece que
Una persona es "identificada" o "identificable" si puede distinguirla de otras personas.
y tambien que
El RGPD proporciona una lista no exhaustiva de identificadores, que incluye: nombre; número de identificación; datos de localización; y un identificador en línea.
Con eso en mente, estoy tratando de entender lo que eso significa en términos prácticos. Si tengo dos tablas de base de datos, ambas cifradas.
Una tabla está disponible a nivel mundial y contiene sesiones de usuario. En aras de la conversación, supongamos que globalmente significa que está alojado físicamente en países que la UE ahora podría considerar equivalentes en términos de protección. No contiene PII, solo el estado de la sesión y el tiempo de vencimiento. También contiene un UUID de usuario que se ha generado aleatoriamente pero está vinculado a la vida útil del usuario, es decir, una vez asignado a un usuario, no cambia.
La otra tabla está alojada físicamente en la UE y tiene un UUID para la asignación de correo electrónico.
Si una infracción da como resultado la filtración de la primera tabla, los datos son anónimos, solo cuando se unen con la segunda, la sesión del usuario puede vincularse a la PII (dirección de correo electrónico).
¿Significa esto que ambas tablas están incluidas en GDPR y, por lo tanto, deben colocarse en la UE (o equivalente), o es suficiente que solo la tabla que contiene PII se encuentre allí?
Respuestas
La forma en que describe este UUID, son datos seudónimos (consulte el artículo 4 (5) del RGPD y los considerandos 28 a 29). Es decir, no identifica directamente, pero tiene un mapeo entre seudónimos e identificadores que se pueden usar para volver a identificar estos datos. La seudonimización efectiva requiere no solo que los datos estén separados lógicamente, sino que existan medidas organizativas y técnicas efectivas que eviten la recombinación por parte de personas no autorizadas. Junto con el cifrado, la seudonimización es una de las medidas de seguridad que exige explícitamente el RGPD siempre que sea apropiado (ver Art 25, Art 32).
Los datos seudónimos siguen siendo datos personales, porque puede volver a identificarlos fácilmente. El concepto de PII es específico de EE. UU. Y es engañoso en un contexto de GDPR, donde no son las características de identificación inherentes de la información lo que importa, sino la capacidad realista del controlador de datos para señalar a los interesados a quienes se refieren estos datos (compárese con el Art. 4 (1) y considerando 26).
Sin embargo, si borraras irrevocablemente el UUID-mapeo de correo electrónico, las cosas son más complicadas. Ya no existe ninguna conexión con los datos de identificación directa, por lo que estos datos pueden ser anónimos. Por otro lado, un UUID tan persistente aún le permite reconocer / distinguir personas, por lo que aún podrían ser datos personales. Este podría ser el caso especialmente cuando el UUID se utiliza en cookies de larga duración de los visitantes del sitio web, coincidiendo así con el concepto de GDPR de un "identificador en línea". Esta conclusión podría evitarse limitando la reutilización de UUID, por ejemplo, creando un nuevo UUID después de una duración apropiada dependiente del contexto.
El GDPR no requiere que todos los datos se almacenen en la UE, pero requiere que las transferencias internacionales de datos personales tengan la protección suficiente. Si está procesando estos datos en países sin las protecciones legales adecuadas (como los Estados Unidos), se deben usar salvaguardas adicionales. La seudonimización podría ser parte de tales salvaguardas y ha sido sugerida por algunas autoridades de protección de datos a raíz de la sentencia Schrems II. Sin embargo, la seudonimización por sí sola no hace que la transferencia internacional sea legal, es más una estrategia para reducir los riesgos restantes.
Creo que sus sistemas tienen muchas posibilidades de estar bien, pero no necesariamente. En caso de duda, realice una DPIA y posiblemente consulte a su autoridad de protección de datos según el Art. 36 del RGPD. Si es posible, almacenar / procesar datos solo en el EEE o en países con una decisión de adecuación simplificará el cumplimiento. Las salvaguardas como la seudonimización podrían fortalecerse rotando los UUID y restringiendo el acceso a la tabla con identificadores.
¿Significa esto que ambas tablas están incluidas en GDPR y, por lo tanto, deben colocarse en la UE (o equivalente), o es suficiente que solo la tabla que contiene PII se encuentre allí?
No existe ningún requisito para que los datos incluidos en el RGPD estén ubicados físicamente en la UE. Puede celebrarse en un país que se considere que ofrece el mismo nivel de protección que las leyes de datos de la UE existentes.
Ambas tablas se incluirán en el RGPD, ya que la tabla de "sesiones" teóricamente se puede unir con la tabla de "correos electrónicos" y usarse para identificar a una persona física.