GDPR, PII và UUID
GDPR tuyên bố rằng
Một cá nhân được 'nhận dạng' hoặc 'có thể nhận dạng' nếu bạn có thể phân biệt họ với các cá nhân khác.
và cả điều đó nữa
GDPR cung cấp một danh sách không đầy đủ các số nhận dạng, bao gồm: tên; mã số; dữ liệu vị trí; và một số nhận dạng trực tuyến.
Với suy nghĩ đó, tôi đang cố gắng hiểu điều đó có nghĩa là gì về mặt thực tế. Nếu tôi có hai bảng cơ sở dữ liệu, cả hai đều được mã hóa.
Một bảng có sẵn trên toàn cầu và chứa các phiên của người dùng. Vì lợi ích của cuộc trò chuyện, giả định rằng toàn cầu có nghĩa là nó được tổ chức thực tế ở các quốc gia mà EU hiện có thể coi là tương đương về điều kiện bảo vệ. Nó không có PII, chỉ là trạng thái phiên và thời gian hết hạn. Nó cũng giữ một UUID người dùng được tạo ngẫu nhiên nhưng được gắn với tuổi thọ của người dùng, tức là khi đã được gán cho người dùng thì nó không thay đổi.
Bảng còn lại được lưu trữ trên thực tế ở Liên minh Châu Âu và có UUID để ánh xạ email.
Nếu vi phạm dẫn đến bảng đầu tiên bị rò rỉ, dữ liệu sẽ ẩn danh, chỉ khi được kết hợp với bảng thứ hai, phiên người dùng mới có thể được gắn với PII (địa chỉ email).
Điều này có nghĩa là cả hai bảng đều thuộc GDPR và do đó phải được đặt ở EU (hoặc tương đương), hay chỉ có bảng chứa PII mới được đặt ở đó?
Trả lời
Theo cách bạn mô tả UUID này, đó là dữ liệu có bút danh (xem GDPR Điều 4 (5) và Phần ghi lại 28–29). Có nghĩa là, nó không trực tiếp nhận dạng, nhưng bạn có một ánh xạ giữa các bút danh và số nhận dạng có thể được sử dụng để xác định lại dữ liệu này. Việc đặt bút danh hiệu quả không chỉ đòi hỏi dữ liệu phải tách biệt một cách hợp lý mà còn phải có các biện pháp kỹ thuật và tổ chức hiệu quả để ngăn chặn sự kết hợp lại của những người không có thẩm quyền. Cùng với mã hóa, bút danh là một trong những biện pháp an toàn mà GDPR yêu cầu rõ ràng bất cứ khi nào thích hợp (xem Điều 25, Điều 32).
Dữ liệu bút danh vẫn là dữ liệu cá nhân, vì bạn có thể dễ dàng xác định lại dữ liệu. Khái niệm PII là dành riêng cho Hoa Kỳ và gây hiểu lầm trong bối cảnh GDPR, nơi đó không phải là đặc điểm nhận dạng vốn có của thông tin quan trọng, mà là khả năng thực tế của người kiểm soát dữ liệu trong việc chọn ra các đối tượng dữ liệu mà dữ liệu này có liên quan (so sánh Điều 4 (1) và Recital 26).
Tuy nhiên, nếu bạn xóa bỏ ánh xạ UUID-email một cách không thể hủy ngang, mọi thứ phức tạp hơn. Không còn bất kỳ kết nối nào với dữ liệu nhận dạng trực tiếp, vì vậy dữ liệu này có thể ẩn danh. Mặt khác, một UUID liên tục như vậy vẫn cho phép bạn nhận ra / phân biệt mọi người, vì vậy nó có thể vẫn là dữ liệu cá nhân. Đây có thể là trường hợp đặc biệt khi UUID được sử dụng trong các cookie tồn tại lâu dài của khách truy cập trang web, do đó phù hợp với khái niệm của GDPR về “số nhận dạng trực tuyến”. Kết luận này có thể tránh được bằng cách hạn chế sử dụng lại các UUID, ví dụ: tạo một UUID mới sau một số khoảng thời gian thích hợp phụ thuộc vào ngữ cảnh.
GDPR không yêu cầu tất cả dữ liệu phải được lưu trữ ở Liên minh Châu Âu, nhưng yêu cầu chuyển dữ liệu cá nhân ra quốc tế phải có đủ các biện pháp bảo vệ. Nếu bạn đang xử lý những dữ liệu này ở các quốc gia không có các biện pháp bảo vệ pháp lý đầy đủ (như Hoa Kỳ), thì bạn phải sử dụng các biện pháp bảo vệ bổ sung. Bút danh có thể là một phần của các biện pháp bảo vệ như vậy và đã được một số cơ quan bảo vệ dữ liệu đề xuất sau phán quyết của Schrems II. Tuy nhiên, chỉ riêng việc lấy bút danh không làm cho việc chuyển nhượng quốc tế trở nên hợp pháp, nó là một chiến lược để giảm thiểu rủi ro còn lại.
Tôi nghĩ rằng hệ thống của bạn có khả năng ổn, nhưng không nhất thiết phải như vậy. Nếu nghi ngờ, hãy thực hiện DPIA và có thể tham khảo ý kiến của cơ quan bảo vệ dữ liệu của bạn theo GDPR Điều 36. Nếu khả thi, chỉ lưu trữ / xử lý dữ liệu ở EEA hoặc ở các quốc gia có quyết định đầy đủ sẽ đơn giản hóa việc tuân thủ. Các biện pháp bảo vệ như bút danh có thể được tăng cường bằng cách xoay vòng các UUID và bằng cách hạn chế quyền truy cập vào bảng có số nhận dạng.
Điều này có nghĩa là cả hai bảng đều thuộc GDPR và do đó phải được đặt ở EU (hoặc tương đương), hay chỉ có bảng chứa PII mới được đặt ở đó?
Không có yêu cầu đối với dữ liệu thuộc GDPR phải được đặt trên thực tế ở EU. Nó có thể được tổ chức ở một quốc gia được coi là cung cấp mức độ bảo vệ giống như luật dữ liệu hiện hành của EU.
Cả hai bảng sẽ nằm trong GDPR vì bảng "phiên" về mặt lý thuyết có thể được kết hợp với bảng "email" và được sử dụng để xác định một thể nhân.