GDPR, PII และ UUID
GDPR ระบุว่า
บุคคลจะถูก "ระบุ" หรือ "ระบุตัวตนได้" หากคุณสามารถแยกแยะได้จากบุคคลอื่น
และเช่นกัน
GDPR มีรายการตัวระบุที่ไม่ครบถ้วนรวมถึง: ชื่อ; เลขประจำตัว; ข้อมูลตำแหน่ง และตัวระบุออนไลน์
ด้วยเหตุนี้ฉันจึงพยายามคาดเดาสิ่งที่หมายถึงในทางปฏิบัติ ถ้าฉันมีตารางฐานข้อมูลสองตารางทั้งสองเข้ารหัส
ตารางเดียวมีให้บริการทั่วโลกและมีเซสชันของผู้ใช้ เพื่อประโยชน์ในการสนทนาสมมติว่าทั่วโลกหมายถึงโฮสต์ทางกายภาพในประเทศที่ตอนนี้สหภาพยุโรปอาจถือว่าเทียบเท่าในแง่ของการคุ้มครอง ไม่มี PII มีเพียงสถานะเซสชันและเวลาหมดอายุ นอกจากนี้ยังเก็บ UUID ของผู้ใช้ที่สร้างขึ้นแบบสุ่ม แต่เชื่อมโยงกับอายุการใช้งานของผู้ใช้เช่นเมื่อกำหนดให้กับผู้ใช้แล้วจะไม่เปลี่ยนแปลง
อีกตารางหนึ่งโฮสต์จริงในสหภาพยุโรปและมี UUID สำหรับการแมปอีเมล
หากการละเมิดส่งผลให้ตารางแรกรั่วข้อมูลจะไม่ระบุชื่อก็ต่อเมื่อรวมกับเซสชันผู้ใช้ที่สองที่สามารถเชื่อมโยงกับ PII (ที่อยู่อีเมล) ได้
นี่หมายความว่าทั้งสองตารางอยู่ภายใต้ GDPR ดังนั้นจึงต้องวางไว้ในสหภาพยุโรป (หรือเทียบเท่า) หรือเพียงพอหรือไม่ที่จะมีเฉพาะตารางที่มี PII เท่านั้น
คำตอบ
วิธีที่คุณอธิบาย UUID นี้เป็นข้อมูลนามแฝง (ดูบทความ GDPR 4 (5) และบทสรุป 28–29) นั่นคือไม่ได้ระบุโดยตรง แต่คุณมีการจับคู่ระหว่างนามแฝงและตัวระบุที่สามารถใช้เพื่อระบุข้อมูลนี้อีกครั้ง การใช้นามแฝงที่มีประสิทธิภาพไม่เพียง แต่ต้องการให้ข้อมูลแยกจากกันอย่างมีเหตุผล แต่ยังมีมาตรการทางองค์กรและทางเทคนิคที่มีประสิทธิภาพเพื่อป้องกันการรวมซ้ำโดยบุคคลที่ไม่ได้รับอนุญาต นอกเหนือจากการเข้ารหัสแล้วการใช้นามแฝงเป็นมาตรการด้านความปลอดภัยอย่างหนึ่งที่ GDPR ต้องการอย่างชัดเจนเมื่อใดก็ตามที่เหมาะสม (ดูข้อ 25, ข้อ 32)
ข้อมูลนามแฝงยังคงเป็นข้อมูลส่วนบุคคลเนื่องจากคุณสามารถระบุข้อมูลซ้ำได้อย่างง่ายดาย แนวคิด PII เป็นแนวคิดเฉพาะของสหรัฐฯและทำให้เข้าใจผิดในบริบท GDPR ซึ่งไม่ใช่ลักษณะการระบุโดยเนื้อแท้ของข้อมูลที่มีความสำคัญ แต่เป็นความสามารถตามความเป็นจริงของผู้ควบคุมข้อมูลในการแยกแยะหัวเรื่องข้อมูลที่เกี่ยวข้องกับข้อมูลนี้ (เปรียบเทียบศิลปะ 4 (1) และ Recital 26)
อย่างไรก็ตามหากคุณลบการแมปอีเมล UUID โดยไม่สามารถเพิกถอนได้สิ่งต่างๆจะยุ่งยากกว่า ไม่มีการเชื่อมต่อกับข้อมูลที่ระบุโดยตรงอีกต่อไปดังนั้นข้อมูลนี้จึงอาจไม่ระบุชื่อ ในทางกลับกัน UUID แบบถาวรดังกล่าวยังช่วยให้คุณสามารถจดจำ / แยกแยะบุคคลได้ดังนั้นจึงอาจยังคงเป็นข้อมูลส่วนบุคคล อาจเป็นกรณีนี้โดยเฉพาะอย่างยิ่งเมื่อมีการใช้ UUID ในคุกกี้ที่มีอายุยาวนานของผู้เยี่ยมชมเว็บไซต์ดังนั้นจึงตรงกับแนวคิดของ GDPR เกี่ยวกับ "ตัวระบุออนไลน์" ข้อสรุปนี้สามารถหลีกเลี่ยงได้โดยการ จำกัด การนำ UUID มาใช้ซ้ำเช่นการสร้าง UUID ใหม่หลังจากระยะเวลาที่เหมาะสมขึ้นอยู่กับบริบท
GDPR ไม่จำเป็นต้องจัดเก็บข้อมูลทั้งหมดในสหภาพยุโรป แต่ต้องมีการถ่ายโอนข้อมูลส่วนบุคคลระหว่างประเทศเพื่อให้มีการป้องกันที่เพียงพอ หากคุณกำลังประมวลผลข้อมูลเหล่านี้ในประเทศที่ไม่มีการคุ้มครองทางกฎหมายที่เพียงพอ (เช่นสหรัฐอเมริกา) จำเป็นต้องใช้การป้องกันเพิ่มเติม การใช้นามแฝงอาจเป็นส่วนหนึ่งของการป้องกันดังกล่าวและได้รับการเสนอแนะโดยหน่วยงานคุ้มครองข้อมูลบางส่วนหลังจากการพิจารณาคดีของ Schrems II อย่างไรก็ตามการใช้นามแฝงเพียงอย่างเดียวไม่ได้ทำให้การโอนระหว่างประเทศถูกกฎหมาย แต่เป็นกลยุทธ์ในการลดความเสี่ยงที่เหลืออยู่มากกว่า
ฉันคิดว่าระบบของคุณมีโอกาสที่จะโอเค แต่ไม่จำเป็น หากมีข้อสงสัยให้ดำเนินการ DPIA และอาจปรึกษาหน่วยงานคุ้มครองข้อมูลของคุณภายใต้ GDPR Art 36 หากเป็นไปได้การจัดเก็บ / ประมวลผลข้อมูลเฉพาะใน EEA หรือในประเทศที่มีการตัดสินใจอย่างเพียงพอจะทำให้การปฏิบัติตามข้อกำหนดง่ายขึ้น การป้องกันเช่นการใช้นามแฝงสามารถเสริมสร้างความเข้มแข็งได้โดยการหมุน UUID และโดยการ จำกัด การเข้าถึงตารางด้วยตัวระบุ
นี่หมายความว่าทั้งสองตารางอยู่ภายใต้ GDPR ดังนั้นจึงต้องวางไว้ในสหภาพยุโรป (หรือเทียบเท่า) หรือเพียงพอหรือไม่ที่จะมีเฉพาะตารางที่มี PII เท่านั้น
ไม่มีข้อกำหนดสำหรับข้อมูลที่อยู่ภายใต้ GDPR ที่จะตั้งอยู่ในสหภาพยุโรป สามารถจัดขึ้นในประเทศที่ถือว่าให้ความคุ้มครองในระดับเดียวกับกฎหมายข้อมูลของสหภาพยุโรปที่มีอยู่
ตารางทั้งสองจะอยู่ภายใต้ GDPR เนื่องจากตาราง "เซสชัน" ในทางทฤษฎีสามารถรวมเข้ากับตาราง "อีเมล" และใช้เพื่อระบุบุคคลธรรมดา