GDPR, PII e UUIDs
GDPR afirma que
Um indivíduo é 'identificado' ou 'identificável' se você puder distingui-lo de outros indivíduos.
e também aquele
O GDPR fornece uma lista não exaustiva de identificadores, incluindo: nome; número de identificação; Dados de localização; e um identificador online.
Com isso em mente, estou tentando entender o que isso significa em termos práticos. Se eu tiver duas tabelas de banco de dados, ambas criptografadas.
Uma tabela está disponível globalmente e contém sessões de usuário. Para fins de conversa, suponha que globalmente significa que está fisicamente hospedado em países que a UE pode agora considerar equivalentes em termos de proteção. Não contém PII, apenas o status da sessão e o tempo de validade. Ele também contém um UUID de usuário que foi gerado aleatoriamente, mas está vinculado ao tempo de vida do usuário, ou seja, uma vez atribuído a um usuário, ele não muda.
A outra tabela está fisicamente hospedada na UE e contém um UUID para mapeamento de e-mail.
Se uma violação resultar no vazamento da primeira tabela, os dados serão anônimos, somente quando unidos à segunda que a sessão do usuário poderá ser vinculada a PII (endereço de e-mail).
Isso significa que ambas as tabelas se enquadram no GDPR e, portanto, devem ser colocadas em EU (ou equivalente), ou é suficiente que apenas a tabela que contém PII esteja localizada lá?
Respostas
A maneira como você descreve este UUID, trata-se de dados pseudônimos (ver GDPR Art 4 (5) e Considerandos 28–29). Ou seja, não é uma identificação direta, mas você tem um mapeamento entre pseudônimos e identificadores que podem ser usados para reidentificar esses dados. A pseudonimização efetiva requer não apenas que os dados sejam logicamente separados, mas que existam medidas organizacionais e técnicas eficazes que evitem a recombinação por pessoas não autorizadas. Juntamente com a criptografia, a pseudonimização é uma das medidas de segurança que o RGPD explicitamente exige, sempre que apropriado (ver Art 25, Art 32).
Dados pseudônimos ainda são dados pessoais, porque você pode facilmente identificá-los novamente. O conceito de PII é específico dos EUA e é enganoso em um contexto de GDPR, onde não são as características inerentemente identificadoras das informações que importam, mas a capacidade realista do controlador de dados de destacar os titulares dos dados a quem esses dados se referem (compare com o Art 4 (1) e considerando 26).
No entanto, se você apagar irrevogavelmente o mapeamento UUID-e-mail, as coisas serão mais complicadas. Não há mais nenhuma conexão com dados de identificação direta, portanto, esses dados podem ser anônimos. Por outro lado, esse UUID persistente ainda permite que você reconheça / distinga pessoas, portanto, ainda podem ser dados pessoais. Esse pode ser o caso, especialmente quando o UUID é usado em cookies de longa duração dos visitantes do site, correspondendo, assim, ao conceito de “identificador online” do GDPR. Esta conclusão poderia ser evitada limitando a reutilização de UUIDs, por exemplo, criando um novo UUID após alguma duração apropriada dependente do contexto.
O GDPR não exige que todos os dados sejam armazenados na UE, mas exige que as transferências internacionais de dados pessoais tenham proteção suficiente. Se você estiver processando esses dados em países sem proteções legais adequadas (como os Estados Unidos), proteções adicionais devem ser usadas. A pseudonimização pode fazer parte dessas salvaguardas e foi sugerida por algumas autoridades de proteção de dados na sequência da decisão Schrems II. No entanto, a pseudonimização por si só não torna a transferência internacional legal, é mais uma estratégia para reduzir os riscos remanescentes.
Acho que seus sistemas têm uma boa chance de estar OK, mas não necessariamente. Em caso de dúvida, execute um DPIA e, possivelmente, consulte sua autoridade de proteção de dados de acordo com o Art. 36 do RGPD. Se possível, armazenar / processar dados apenas no EEE ou em países com uma decisão de adequação simplificará o cumprimento. Salvaguardas como pseudonimização podem ser reforçadas girando UUIDs e restringindo o acesso à tabela com identificadores.
Isso significa que ambas as tabelas se enquadram no GDPR e, portanto, devem ser colocadas em EU (ou equivalente), ou é suficiente que apenas a tabela que contém PII esteja localizada lá?
Não há nenhum requisito para que os dados abrangidos pelo GDPR estejam fisicamente localizados na UE. Pode ser realizado em um país considerado como oferecendo o mesmo nível de proteção que as leis de dados existentes na UE.
Ambas as tabelas serão abrangidas pelo GDPR, uma vez que a tabela "sessões" pode, teoricamente, ser associada à tabela "emails" e utilizada para identificar uma pessoa singular.