GDPR, PII, dan UUID
GDPR menyatakan itu
Seorang individu 'diidentifikasi' atau 'dapat diidentifikasi' jika Anda dapat membedakannya dari individu lain.
dan juga itu
GDPR memberikan daftar pengenal yang tidak lengkap, termasuk: nama; nomor identifikasi; data lokasi; dan pengenal online.
Dengan pemikiran itu, saya mencoba memahami apa artinya itu dalam istilah praktis. Jika saya memiliki dua tabel database, keduanya dienkripsi.
Satu tabel tersedia secara global dan berisi sesi pengguna. Demi percakapan, asumsikan bahwa secara global berarti host tersebut secara fisik di-host di negara-negara yang mungkin dianggap setara oleh UE dalam hal perlindungan. Ini tidak memiliki PII, hanya status sesi dan waktu kedaluwarsa. Ini juga memegang UUID pengguna yang dibuat secara acak tetapi terikat dengan umur pengguna yaitu, sekali ditetapkan ke pengguna, itu tidak berubah.
Tabel lainnya secara fisik dihosting di UE, dan memiliki UUID untuk pemetaan email.
Jika pelanggaran menyebabkan bocornya tabel pertama, datanya anonim, hanya ketika bergabung dengan tabel kedua sesi pengguna dapat dikaitkan ke PII (alamat email).
Apakah ini berarti bahwa kedua tabel berada di bawah GDPR dan karenanya harus ditempatkan di EU (atau yang setara), atau apakah cukup hanya tabel yang berisi PII yang terletak di sana?
Jawaban
Cara Anda mendeskripsikan UUID ini, ini adalah data nama samaran (lihat GDPR Art 4 (5) dan Bacaan 28-29). Artinya, ini tidak secara langsung mengidentifikasi, tetapi Anda memiliki pemetaan antara nama samaran dan pengenal yang dapat digunakan untuk mengidentifikasi ulang data ini. Penyamaran yang efektif tidak hanya membutuhkan data yang terpisah secara logis, tetapi juga ada langkah-langkah organisasi dan teknis yang efektif yang mencegah penggabungan ulang oleh orang yang tidak berwenang. Bersamaan dengan enkripsi, pseudonimisasi adalah salah satu langkah pengamanan yang secara eksplisit diperlukan GDPR kapan pun diperlukan (lihat Pasal 25, Pasal 32).
Data nama samaran masih merupakan data pribadi, karena Anda dapat dengan mudah mengidentifikasi ulang data tersebut. Konsep PII adalah khusus AS dan menyesatkan dalam konteks GDPR, di mana yang penting bukanlah karakteristik pengidentifikasi yang inheren dari informasi, tetapi kemampuan realistis pengontrol data untuk memilih subjek data yang terkait dengan data ini (bandingkan Art 4 (1) dan Resital 26).
Namun, jika Anda menghapus UUID – pemetaan email secara permanen, semuanya menjadi lebih rumit. Tidak ada lagi hubungan apa pun dengan data pengenal langsung, jadi data ini mungkin anonim. Di sisi lain, UUID yang persisten seperti itu masih memungkinkan Anda untuk mengenali / membedakan orang, jadi mungkin masih berupa data pribadi. Ini mungkin terjadi terutama ketika UUID digunakan dalam cookie berumur panjang dari pengunjung situs web, sehingga cocok dengan konsep GDPR tentang "pengenal online". Kesimpulan ini dapat dihindari dengan membatasi penggunaan kembali UUID, misalnya membuat UUID baru setelah beberapa durasi yang sesuai tergantung konteks.
GDPR tidak mengharuskan semua data disimpan di UE, tetapi mewajibkan transfer data pribadi internasional untuk memiliki perlindungan yang memadai. Jika Anda memproses data ini di negara-negara tanpa perlindungan hukum yang memadai (seperti Amerika Serikat), pengamanan tambahan harus digunakan. Pseudonimisasi dapat menjadi bagian dari perlindungan semacam itu, dan telah disarankan oleh beberapa otoritas perlindungan data setelah keputusan Schrems II. Namun, pseudonimisasi saja tidak membuat transfer internasional menjadi legal, ini lebih merupakan strategi untuk mengurangi risiko yang tersisa.
I think that your systems has a good chance of being OK, but not neccessarily so. If in doubt, perform a DPIA and possibly consult your data protection authority under GDPR Art 36. If feasible, storing/processing data only in the EEA or in countries with an adequacy decision will simplify compliance. Safeguards such as pseudonymisation could be strengthened by rotating UUIDs, and by restricting access to the table with identifiers.
Does this mean that both tables fall under GDPR and thus must be placed in EU (or equivalent), or is it sufficient that only the table containing PII is located there?
There is no requirement for data falling under GDPR to be physically located in the EU. It can be held in a country deemed to provide the same level of protection as existing EU data laws.
Both tables will fall under GDPR since the "sessions" table can theoretically be joined with the "emails" table and used to identify a natural person.