RODO, PII i UUID
RODO tak stanowi
Osoba jest „zidentyfikowana” lub „możliwa do zidentyfikowania”, jeśli można ją odróżnić od innych osób.
a także to
RODO zawiera niewyczerpującą listę identyfikatorów, w tym: imię i nazwisko; numer identyfikacyjny; dane lokalizacji; i identyfikator internetowy.
Mając to na uwadze, staram się zrozumieć, co to oznacza w praktyce. Jeśli mam dwie tabele bazy danych, obie zaszyfrowane.
Jedna tabela jest dostępna globalnie i zawiera sesje użytkowników. Na potrzeby rozmowy załóżmy, że globalnie oznacza, że jest fizycznie hostowany w krajach, które UE może teraz uznać za równoważne pod względem ochrony. Nie zawiera informacji umożliwiających identyfikację użytkownika, a jedynie status sesji i czas wygaśnięcia. Przechowuje również identyfikator UUID użytkownika, który został wygenerowany losowo, ale jest powiązany z długością życia użytkownika, tj. Po przypisaniu do użytkownika nie zmienia się.
Druga tabela jest fizycznie hostowana w UE i zawiera identyfikator UUID do mapowania poczty e-mail.
Jeśli naruszenie skutkuje wyciekiem pierwszej tabeli, dane są anonimowe, dopiero po połączeniu z drugą sesję użytkownika można powiązać z PII (adresem e-mail).
Czy to oznacza, że obie tabele podlegają RODO, a zatem muszą być umieszczone w UE (lub jej odpowiedniku), czy wystarczy, że znajduje się tam tylko tabela zawierająca dane osobowe?
Odpowiedzi
Sposób, w jaki opisujesz ten identyfikator UUID, to dane pseudonimowe (patrz art. 4 ust. 5 RODO i motywy 28–29). Oznacza to, że nie umożliwia bezpośredniej identyfikacji, ale istnieje mapowanie między pseudonimami i identyfikatorami, których można użyć do ponownej identyfikacji tych danych. Skuteczna pseudonimizacja wymaga nie tylko logicznego oddzielenia danych, ale także skutecznych środków organizacyjnych i technicznych zapobiegających ponownemu łączeniu ich przez osoby nieuprawnione. Oprócz szyfrowania pseudonimizacja jest jednym ze środków bezpieczeństwa, których RODO wyraźnie wymaga, gdy jest to stosowne (patrz art. 25, art. 32).
Dane pseudonimowe to nadal dane osobowe, ponieważ można je łatwo ponownie zidentyfikować. Koncepcja PII jest specyficzna dla Stanów Zjednoczonych i wprowadza w błąd w kontekście RODO, gdzie nie chodzi o nieodłącznie identyfikujące cechy informacji, które mają znaczenie, ale realistyczną zdolność administratora danych do wyodrębnienia osób, których dotyczą te dane (porównaj art. 4 ust. 1 i motyw 26).
Jednak gdybyś nieodwołalnie usunął mapowanie UUID-e-mail, sprawy są bardziej skomplikowane. Nie ma już połączenia z danymi umożliwiającymi bezpośrednią identyfikację, więc dane te mogą być anonimowe. Z drugiej strony taki trwały UUID nadal pozwala na rozpoznawanie / rozróżnianie osób, więc nadal mogą to być dane osobowe. Może tak być zwłaszcza w przypadku, gdy identyfikator UUID jest używany w długotrwałych plikach cookie odwiedzających witrynę internetową, co odpowiada koncepcji „identyfikatora online” zawartej w RODO. Wniosku tego można uniknąć, ograniczając ponowne wykorzystanie identyfikatorów UUID, np. Tworząc nowy UUID po pewnym czasie zależnym od kontekstu.
RODO nie wymaga, aby wszystkie dane były przechowywane w UE, ale wymaga, aby międzynarodowe przekazywanie danych osobowych miało wystarczającą ochronę. Jeśli przetwarzasz te dane w krajach bez odpowiednich zabezpieczeń prawnych (takich jak Stany Zjednoczone), należy zastosować dodatkowe zabezpieczenia. Pseudonimizacja mogłaby stanowić część takich zabezpieczeń i została zasugerowana przez niektóre organy ochrony danych w następstwie wyroku w sprawie Schrems II. Jednak sama pseudonimizacja nie sprawia, że transfer międzynarodowy jest legalny, jest raczej strategią mającą na celu zmniejszenie pozostałych zagrożeń.
Myślę, że wasze systemy mają duże szanse być w porządku, ale niekoniecznie. W razie wątpliwości przeprowadź ocenę skutków dla ochrony danych i ewentualnie skonsultuj się z organem ochrony danych zgodnie z art. 36 RODO. Jeśli to możliwe, przechowywanie / przetwarzanie danych tylko w EOG lub w krajach, w których podjęto decyzję o stwierdzeniu odpowiedniego stopnia ochrony, ułatwi przestrzeganie. Zabezpieczenia, takie jak pseudonimizacja, można by wzmocnić poprzez rotację UUID i ograniczenie dostępu do tabeli z identyfikatorami.
Czy to oznacza, że obie tabele podlegają RODO, a zatem muszą być umieszczone w UE (lub jej odpowiedniku), czy wystarczy, że znajduje się tam tylko tabela zawierająca dane osobowe?
Nie ma wymogu, aby dane objęte RODO znajdowały się fizycznie w UE. Może być przechowywany w kraju uznawanym za zapewniający taki sam poziom ochrony, jak obowiązujące przepisy UE dotyczące danych.
Obie tabele będą podlegać RODO, ponieważ tabelę „sesji” można teoretycznie połączyć z tabelą „e-maile” i wykorzystać do identyfikacji osoby fizycznej.