GDPR, PII et UUID
Le RGPD stipule que
Un individu est «identifié» ou «identifiable» si vous pouvez le distinguer des autres individus.
et aussi que
Le RGPD fournit une liste non exhaustive d'identifiants, comprenant: le nom; numéro d'identification; données de localisation; et un identifiant en ligne.
Dans cet esprit, j'essaie de comprendre ce que cela signifie en termes pratiques. Si j'ai deux tables de base de données, toutes deux cryptées.
Une table est disponible dans le monde entier et contient les sessions utilisateur. Par souci de conversation, supposons que globalement, cela signifie qu'il est physiquement hébergé dans des pays que l'UE pourrait désormais juger équivalents en termes de protection. Il ne contient aucune information personnelle, juste l'état de la session et l'heure d'expiration. Il contient également un UUID utilisateur qui a été généré aléatoirement mais qui est lié à la durée de vie de l'utilisateur, c'est-à-dire qu'une fois attribué à un utilisateur, il ne change pas.
L'autre table est physiquement hébergée dans l'UE et contient un UUID à un mappage d'e-mail.
Si une violation entraîne la fuite de la première table, les données sont anonymes, ce n'est que lorsqu'elles sont jointes à la seconde que la session utilisateur peut être liée à des PII (adresse e-mail).
Cela signifie-t-il que les deux tables relèvent du RGPD et doivent donc être placées dans l'UE (ou équivalent), ou est-il suffisant que seule la table contenant des informations personnelles s'y trouve?
Réponses
La façon dont vous décrivez cet UUID, ce sont des données pseudonymes (voir l'article 4 (5) du RGPD et les considérants 28 à 29). Autrement dit, il ne s'agit pas d'une identification directe, mais vous disposez d'un mappage entre les pseudonymes et les identifiants qui peuvent être utilisés pour réidentifier ces données. Une pseudonymisation efficace exige non seulement que les données soient logiquement séparées, mais qu'il y ait des mesures organisationnelles et techniques efficaces empêchant la recomposition par des personnes non autorisées. Outre le cryptage, la pseudonymisation est l'une des mesures de sécurité que le RGPD exige explicitement chaque fois que cela est approprié (voir Art 25, Art 32).
Les données pseudonymes sont toujours des données personnelles, car vous pouvez facilement les réidentifier. Le concept de PII est spécifique aux États-Unis et est trompeur dans le contexte du RGPD, où ce ne sont pas les caractéristiques intrinsèquement identifiantes des informations qui importent, mais la capacité réaliste du responsable du traitement de distinguer les personnes concernées auxquelles ces données se rapportent (comparer l'art 4 (1) et considérant 26).
Cependant, si vous effacez irrévocablement le mappage UUID-email, les choses sont plus délicates. Il n'y a plus de connexion avec les données d'identification directe, donc ces données peuvent être anonymes. D'un autre côté, un tel UUID persistant vous permet toujours de reconnaître / distinguer des personnes, il peut donc s'agir encore de données personnelles. Cela pourrait être le cas en particulier lorsque l'UUID est utilisé dans les cookies de longue durée des visiteurs du site Web, correspondant ainsi au concept du RGPD d'un «identifiant en ligne». Cette conclusion pourrait être évitée en limitant la réutilisation des UUID, par exemple en créant un nouvel UUID après une durée appropriée dépendant du contexte.
Le RGPD n'exige pas que toutes les données soient stockées dans l'UE, mais exige que les transferts internationaux de données personnelles bénéficient de protections suffisantes. Si vous traitez ces données dans des pays sans protection juridique adéquate (comme les États-Unis), des garanties supplémentaires doivent être utilisées. La pseudonymisation pourrait faire partie de ces garanties et a été suggérée par certaines autorités de protection des données à la suite de l'arrêt Schrems II. Cependant, la pseudonymisation à elle seule ne rend pas le transfert international légal, il s'agit davantage d'une stratégie visant à réduire les risques restants.
Je pense que vos systèmes ont de bonnes chances de fonctionner correctement, mais pas nécessairement. En cas de doute, effectuez une DPIA et consultez éventuellement votre autorité de protection des données conformément à l'article 36 du RGPD. Si possible, le stockage / traitement des données uniquement dans l'EEE ou dans les pays ayant une décision d'adéquation simplifiera la conformité. Les sauvegardes telles que la pseudonymisation pourraient être renforcées par la rotation des UUID et en restreignant l'accès à la table avec des identifiants.
Cela signifie-t-il que les deux tables relèvent du RGPD et doivent donc être placées dans l'UE (ou équivalent), ou est-il suffisant que seule la table contenant des informations personnelles s'y trouve?
Il n'est pas nécessaire que les données relevant du RGPD soient physiquement situées dans l'UE. Il peut être détenu dans un pays réputé offrir le même niveau de protection que la législation européenne existante sur les données.
Les deux tables relèveront du RGPD puisque la table «sessions» peut théoriquement être jointe à la table «emails» et utilisée pour identifier une personne physique.