GDPR, PII e UUID
Lo afferma il GDPR
Un individuo è "identificato" o "identificabile" se è possibile distinguerlo da altri individui.
e anche quello
Il GDPR fornisce un elenco non esaustivo di identificatori, tra cui: nome; numero identificativo; dati sulla posizione; e un identificatore online.
Con questo in mente, sto cercando di capire cosa significhi in termini pratici. Se ho due tabelle di database, entrambe crittografate.
Una tabella è disponibile a livello globale e contiene sessioni utente. Per motivi di conversazione, supponiamo che globalmente significa che è fisicamente ospitato in paesi che l'UE potrebbe ora ritenere equivalenti in termini di protezione. Non contiene informazioni personali, solo lo stato della sessione e l'ora di scadenza. Contiene anche un UUID utente che è stato generato in modo casuale ma è legato alla durata di vita dell'utente, ovvero una volta assegnato a un utente non cambia.
L'altra tabella è fisicamente ospitata nell'UE e contiene un UUID per la mappatura delle e-mail.
Se una violazione provoca la fuga di dati nella prima tabella, i dati sono anonimi, è solo quando si unisce alla seconda che la sessione dell'utente può essere collegata a PII (indirizzo di posta elettronica).
Ciò significa che entrambe le tabelle rientrano nel GDPR e quindi devono essere collocate nell'UE (o equivalente), o è sufficiente che vi si trovi solo la tabella contenente le PII?
Risposte
Il modo in cui descrivi questo UUID, sono dati pseudonimi (vedi GDPR Art 4 (5) e Considerando 28-29). Cioè, non si identifica direttamente, ma si dispone di una mappatura tra pseudonimi e identificatori che possono essere utilizzati per identificare nuovamente questi dati. Una pseudonimizzazione efficace richiede non solo che i dati siano logicamente separati, ma che esistano misure organizzative e tecniche efficaci che impediscano la ricombinazione da parte di persone non autorizzate. Insieme alla crittografia, la pseudonimizzazione è una delle misure di sicurezza che il GDPR richiede esplicitamente quando appropriato (vedere Art 25, Art 32).
I dati pseudonimi sono ancora dati personali, perché puoi facilmente reidentificare i dati. Il concetto di PII è specifico per gli Stati Uniti ed è fuorviante in un contesto GDPR, dove non sono le caratteristiche intrinsecamente identificative delle informazioni che contano, ma la capacità realistica del titolare del trattamento di individuare gli interessati a cui si riferiscono questi dati (confronta Art 4 (1) e considerando 26).
Tuttavia, se dovessi cancellare irrevocabilmente la mappatura UUID-email, le cose sarebbero più complicate. Non esiste più alcun collegamento con i dati di identificazione diretta, quindi questi dati potrebbero essere anonimi. D'altra parte, un UUID così persistente ti consente ancora di riconoscere / distinguere le persone, quindi potrebbero ancora essere dati personali. Questo potrebbe essere il caso soprattutto quando l'UUID viene utilizzato nei cookie di lunga durata dei visitatori del sito Web, corrispondendo così al concetto di "identificatore online" del GDPR. Questa conclusione potrebbe essere evitata limitando il riutilizzo degli UUID, ad esempio creando un nuovo UUID dopo una durata appropriata dipendente dal contesto.
Il GDPR non richiede che tutti i dati siano archiviati nell'UE, ma richiede che i trasferimenti internazionali di dati personali abbiano protezioni sufficienti. Se stai elaborando questi dati in paesi senza adeguate protezioni legali (come gli Stati Uniti), è necessario utilizzare ulteriori garanzie. La pseudonimizzazione potrebbe far parte di tali garanzie ed è stata suggerita da alcune autorità di protezione dei dati sulla scia della sentenza Schrems II. Tuttavia, la pseudonimizzazione da sola non rende legale il trasferimento internazionale, è più una strategia per ridurre i rischi rimanenti.
Penso che i tuoi sistemi abbiano buone possibilità di essere OK, ma non necessariamente così. In caso di dubbio, eseguire una DPIA ed eventualmente consultare l'autorità per la protezione dei dati ai sensi dell'articolo 36 del GDPR. Se possibile, l'archiviazione / elaborazione dei dati solo nel SEE o in paesi con una decisione di adeguatezza semplificherà la conformità. Le salvaguardie come la pseudonimizzazione potrebbero essere rafforzate ruotando gli UUID e limitando l'accesso alla tabella con identificatori.
Ciò significa che entrambe le tabelle rientrano nel GDPR e quindi devono essere collocate nell'UE (o equivalente), o è sufficiente che vi si trovi solo la tabella contenente le PII?
Non è necessario che i dati che rientrano nel GDPR siano fisicamente localizzati nell'UE. Può essere tenuto in un paese che si ritiene fornisca lo stesso livello di protezione delle leggi esistenti dell'UE sui dati.
Entrambe le tabelle rientreranno nel GDPR poiché la tabella "sessioni" può teoricamente essere unita alla tabella "email" e utilizzata per identificare una persona fisica.