Pseudonimizacja i anonimizacja to dwa pojęcia często pojawiające się w rozmowach o RODO, bezpieczeństwie informacji i cyfrowym przetwarzaniu dokumentów. Choć oba mechanizmy służą ograniczeniu możliwości przypisania informacji do konkretnej osoby, nie oznaczają tego samego i prowadzą do innych konsekwencji z punktu widzenia ochrony danych.
W praktyce różnica ma duże znaczenie. Dane pseudonimizowane nadal mogą być danymi osobowymi, ponieważ przy użyciu dodatkowych informacji możliwe jest ponowne ustalenie, kogo dotyczą. Anonimizacja powinna natomiast prowadzić do takiego przekształcenia informacji, aby osoby nie można było już zidentyfikować w sposób racjonalnie możliwy do zastosowania.
Dla firmy ważne jest więc nie tylko to, co to jest pseudonimizacja, ale również kiedy warto ją stosować, jak chronić dodatkowe informacje pozwalające na ponowną identyfikację oraz w jakich sytuacjach lepszym rozwiązaniem może być anonimizacja.
Co to jest pseudonimizacja danych?
Pseudonimizacja polega na takim przetworzeniu danych osobowych, aby nie można było przypisać ich konkretnej osobie bez wykorzystania dodatkowych informacji. Dane identyfikujące są więc zastępowane innymi oznaczeniami – na przykład numerem, kodem lub losowym identyfikatorem.
Można to zobrazować prostym przykładem. Zamiast przechowywać w roboczej bazie:
Jan Kowalski – wynik badania – 12345678901
system może zapisywać:
Użytkownik 45872 – wynik badania
Informacja pozwalająca ustalić, że identyfikator 45872 odpowiada Janowi Kowalskiemu, jest przechowywana osobno i powinna być odpowiednio zabezpieczona.
Pseudonimizacja utrudnia osobie nieuprawnionej powiązanie danych z konkretną osobą, ale nie powoduje, że dane przestają automatycznie podlegać zasadom ochrony danych osobowych.
Czy dane pseudonimizowane nadal są danymi osobowymi?
Tak. To jedna z najważniejszych różnic między pseudonimizacją a anonimizacją.
Jeżeli organizacja posiada informacje, które pozwalają połączyć pseudonim lub identyfikator z konkretną osobą, nadal mamy do czynienia z informacjami, które mogą umożliwiać identyfikację. W efekcie pseudonimizacja powinna być traktowana przede wszystkim jako środek zwiększający bezpieczeństwo przetwarzania, a nie sposób na całkowite wyłączenie danych spod obowiązków związanych z RODO.
Dla firmy oznacza to między innymi konieczność dalszego stosowania zasad dotyczących:
- kontroli dostępu,
- minimalizacji danych,
- ograniczenia celu przetwarzania,
- bezpieczeństwa systemów,
- okresów przechowywania,
- zarządzania uprawnieniami użytkowników.
Pseudonimizacja może ograniczyć konsekwencje nieautoryzowanego dostępu do konkretnego zbioru danych, ale nie powinna zastępować innych zabezpieczeń.
Na czym polega anonimizacja danych?
Anonimizacja idzie o krok dalej. Jej celem jest trwałe usunięcie albo przekształcenie elementów pozwalających na identyfikację osoby w taki sposób, aby nie dało się rozsądnie odtworzyć związku między informacją a konkretną osobą.
Przykładowo zamiast analizować dane dotyczące pojedynczych klientów firma może przygotować zestawienie pokazujące:
- liczbę użytkowników w określonych przedziałach wieku,
- średnią wartość zamówienia w danym regionie,
- procent pracowników korzystających z określonego świadczenia,
- zbiorcze wyniki ankiety bez danych pozwalających wskazać respondentów.
Kluczowe jest jednak to, że samo usunięcie imienia, nazwiska czy numeru PESEL nie zawsze oznacza skuteczną anonimizację. Osobę można czasem rozpoznać także na podstawie kombinacji innych danych, takich jak stanowisko, miejscowość, wiek, dokładna data zdarzenia czy bardzo charakterystyczny zestaw informacji.
Pseudonimizacja a anonimizacja – najważniejsza różnica
Najprościej można ująć ją w następujący sposób:
pseudonimizacja utrudnia identyfikację osoby, natomiast anonimizacja ma ją uniemożliwiać.
W przypadku pseudonimizacji istnieje dodatkowy element – klucz, tabela powiązań, identyfikator lub inny sposób – który pozwala ponownie ustalić tożsamość osoby.
W przypadku prawidłowej anonimizacji takiej możliwości nie powinno już być.
Przykład pseudonimizacji
Firma prowadzi badanie satysfakcji pracowników. Nazwiska zostają zastąpione identyfikatorami:
- PR001,
- PR002,
Dział HR posiada osobną tabelę umożliwiającą ustalenie, do którego pracownika należy konkretny kod.
To pseudonimizacja.
Przykład anonimizacji
Po zakończeniu badania firma publikuje jedynie informację:
„72% badanych pracowników pozytywnie ocenia możliwość pracy hybrydowej”.
Jeżeli na podstawie przedstawionych wyników nie da się ustalić, kto udzielił konkretnych odpowiedzi, dane mają charakter znacznie bardziej zbliżony do rzeczywiście anonimowych.
Dlaczego usunięcie nazwiska nie oznacza jeszcze anonimizacji?
To jeden z częstszych błędów popełnianych przy pracy z dokumentami i bazami danych.
Załóżmy, że z dokumentu usunięto:
- imię,
- nazwisko,
- numer PESEL,
- adres e-mail.
Pozostały jednak:
- dokładny wiek,
- stanowisko,
- niewielka miejscowość,
- data zatrudnienia,
- nazwa zespołu.
Jeśli w organizacji istnieje tylko jedna osoba spełniająca wszystkie te kryteria, jej identyfikacja może nadal być bardzo prosta.
Dlatego prawidłowa anonimizacja powinna uwzględniać nie tylko bezpośrednie identyfikatory, ale również informacje, które w połączeniu ze sobą mogą prowadzić do ustalenia tożsamości.
Kiedy w firmie warto stosować pseudonimizację?
Pseudonimizacja jest szczególnie użyteczna wtedy, gdy organizacja nadal potrzebuje możliwości powiązania danych z konkretną osobą, ale chce ograniczyć dostęp do jej bezpośredniej tożsamości.
Może mieć zastosowanie między innymi przy:
- analizie danych klientów,
- testowaniu systemów,
- prowadzeniu badań,
- przetwarzaniu danych pracowniczych,
- przygotowywaniu raportów,
- pracy z dużymi zbiorami informacji,
- przekazywaniu danych między zespołami.
Przykładowo analityk może potrzebować informacji o historii transakcji, ale nie musi znać imienia i nazwiska konkretnego klienta. W takim przypadku pseudonimizacja pozwala ograniczyć zakres dostępnych informacji bez uniemożliwiania dalszej analizy.
Jak prawidłowo zorganizować pseudonimizację?
Samo zastąpienie nazwiska numerem nie wystarczy, jeśli tabela pozwalająca odtworzyć tożsamość znajduje się w tym samym folderze i jest dostępna dla tych samych użytkowników.
Pseudonimizacja powinna być elementem szerszego modelu bezpieczeństwa.
Oddziel dane od klucza identyfikacyjnego
Informacje pozwalające ponownie przypisać dane do konkretnych osób powinny być przechowywane oddzielnie od podstawowego zbioru danych.
Ogranicz dostęp
Dostęp do klucza identyfikacyjnego powinny mieć wyłącznie osoby, które rzeczywiście go potrzebują.
Rejestruj działania
W środowiskach o wyższym poziomie ryzyka warto kontrolować, kto i kiedy korzystał z danych oraz czy dochodziło do prób ponownej identyfikacji.
Dbaj o bezpieczeństwo dokumentów
Pseudonimizacja powinna działać nie tylko w bazach danych, ale również w dokumentach cyfrowych, eksportach, raportach i plikach przekazywanych między pracownikami.
W większych organizacjach uporządkowanie takich procesów może być wspierane przez odpowiednio skonfigurowany system zarządzania dokumentami, który ułatwia kontrolę dostępu, wersjonowanie dokumentów i zarządzanie ich przepływem.
Kiedy lepsza będzie anonimizacja?
Anonimizacja jest dobrym rozwiązaniem wtedy, gdy firma nie potrzebuje już możliwości ustalenia, której osoby dotyczą konkretne informacje.
Typowym przykładem jest wykorzystanie danych do:
- raportowania statystycznego,
- analiz trendów,
- przygotowywania zestawień zarządczych,
- badań wykorzystujących dane historyczne,
- prezentowania wyników na zewnątrz organizacji.
Jeżeli dla celu analizy nie ma znaczenia tożsamość konkretnych osób, utrzymywanie pełnego zestawu danych identyfikujących może nie być uzasadnione.
Jednocześnie proces anonimizacji musi być dobrze zaplanowany. W małych zbiorach danych albo w przypadku bardzo charakterystycznych informacji samo ukrycie kilku pól może nadal umożliwiać ponowną identyfikację osoby.
Pseudonimizacja w dokumentach elektronicznych
W praktyce firmowej duża część danych osobowych znajduje się nie w uporządkowanych bazach, lecz w dokumentach:
- umowach,
- fakturach,
- formularzach,
- dokumentacji kadrowej,
- korespondencji,
- protokołach,
- plikach PDF,
- zeskanowanych dokumentach.
Dlatego bezpieczeństwo danych nie powinno ograniczać się do systemów bazodanowych. Ważny jest cały cykl życia dokumentu – od jego utworzenia lub zeskanowania, przez przetwarzanie, aż po archiwizację lub usunięcie.
W przypadku dużej liczby papierowych dokumentów pierwszym etapem uporządkowania procesu może być digitalizacja dokumentów i danych. Pozwala ona przenieść dokumentację do kontrolowanego środowiska cyfrowego i ułatwia wdrażanie zasad dotyczących dostępu, klasyfikacji oraz dalszego przetwarzania informacji.
OCR, digitalizacja i ochrona danych
Szczególnym momentem jest przekształcanie dokumentów papierowych w cyfrowe. Po zastosowaniu OCR informacje znajdujące się wcześniej wyłącznie na obrazie dokumentu mogą stać się tekstem możliwym do wyszukania, kopiowania i automatycznego przetwarzania.
To zwiększa użyteczność dokumentów, ale jednocześnie powoduje, że trzeba szczególnie zadbać o:
- kontrolę dostępu,
- klasyfikację informacji,
- poprawne nadawanie uprawnień,
- zasady eksportowania danych,
- miejsce przechowywania dokumentacji.
Sam proces digitalizacji nie powinien więc ograniczać się do stworzenia plików PDF. Powinien być częścią uporządkowanego modelu zarządzania informacją.
Pseudonimizacja a minimalizacja danych
Pseudonimizacja dobrze współgra z inną ważną zasadą: ograniczaniem zakresu danych do tego, co rzeczywiście jest potrzebne.
Jeżeli pracownik wykonuje analizę sprzedaży, być może potrzebuje:
- daty transakcji,
- wartości zamówienia,
- kategorii produktu,
- regionu klienta.
Nie musi natomiast znać jego pełnego nazwiska, numeru telefonu czy adresu zamieszkania.
Odpowiednio zaprojektowany proces pozwala więc udostępniać pracownikom dane potrzebne do wykonania konkretnego zadania bez niepotrzebnego ujawniania dodatkowych informacji.
Najczęstsze błędy przy pseudonimizacji i anonimizacji
W firmach powtarza się kilka problemów.
Traktowanie pseudonimizacji jak anonimizacji
To podstawowy błąd. Jeśli dane można ponownie powiązać z konkretną osobą, nie należy traktować ich tak samo jak informacji rzeczywiście anonimowych.
Przechowywanie klucza razem z danymi
Jeżeli pseudonimizowany zbiór i tabela pozwalająca go odszyfrować znajdują się w tym samym miejscu, efekt ochronny jest mocno ograniczony.
Zbyt szerokie uprawnienia
Pseudonimizacja ma niewielką wartość, jeśli dostęp do klucza identyfikacyjnego ma większość pracowników.
Usunięcie wyłącznie oczywistych identyfikatorów
Imię i nazwisko nie są jedynymi danymi pozwalającymi na identyfikację. Trzeba analizować również kombinację informacji pośrednich.
Brak kontroli nad kopiami dokumentów
Firma może prawidłowo zabezpieczyć główny system, a jednocześnie pozostawić niezabezpieczone kopie w wiadomościach e-mail, folderach lokalnych lub eksportach do arkuszy.
Jak sprawdzić, czy proces ochrony danych jest dobrze zaprojektowany?
Pseudonimizacja jest tylko jednym z elementów bezpieczeństwa informacji. Jeżeli organizacja przetwarza duże ilości danych osobowych albo korzysta z wielu systemów, warto ocenić cały proces:
- kto ma dostęp do danych,
- gdzie są przechowywane,
- jak są przesyłane,
- kiedy tworzone są kopie,
- kto może odtworzyć tożsamość użytkowników,
- jak wygląda usuwanie danych,
- czy dostęp jest adekwatny do obowiązków.
Taką analizę można połączyć z szerszym audytem cyberbezpieczeństwa, obejmującym zarówno zabezpieczenia techniczne, jak i organizacyjne aspekty pracy z informacją.
Pseudonimizacja czy anonimizacja – co wybrać?
Nie należy traktować tych mechanizmów jako konkurencyjnych. Odpowiadają na inne potrzeby.
Pseudonimizację warto rozważyć, kiedy:
- dane nadal muszą być powiązane z konkretnymi osobami,
- organizacja chce ograniczyć zakres informacji dostępny dla poszczególnych użytkowników,
- dane są wykorzystywane operacyjnie lub analitycznie,
- musi istnieć możliwość ponownej identyfikacji w określonych sytuacjach.
Anonimizacja będzie bardziej odpowiednia, gdy:
- identyfikacja konkretnych osób nie jest już potrzebna,
- dane mają służyć głównie do statystyk i analiz,
- firma chce ograniczyć ilość przetwarzanych informacji pozwalających na identyfikację,
- wynik ma być udostępniany szerszej grupie odbiorców.
W obu przypadkach kluczowe jest właściwe zaprojektowanie procesu. Mechanizm bezpieczeństwa działa tylko wtedy, gdy uwzględnia cały sposób przepływu i wykorzystania danych w organizacji.
Podsumowanie
Odpowiedź na pytanie co to jest pseudonimizacja jest stosunkowo prosta: to przetworzenie danych w taki sposób, aby bez dodatkowych informacji nie można było łatwo przypisać ich do konkretnej osoby. Najważniejsze jest jednak to, że pseudonimizacja nie oznacza pełnej anonimowości.
Anonimizacja powinna prowadzić do znacznie dalej idącego efektu – braku realnej możliwości ustalenia, kogo dotyczą informacje. Z tego powodu oba mechanizmy należy stosować świadomie i dopasować je do celu przetwarzania.
W praktyce skuteczna ochrona danych wymaga nie tylko usunięcia nazwisk czy zastąpienia ich identyfikatorami. Potrzebne są również właściwe uprawnienia, kontrola dostępu, uporządkowany obieg dokumentów, bezpieczne systemy oraz jasne zasady określające, kto może korzystać z danych i w jakim celu. Dopiero połączenie tych elementów pozwala realnie ograniczyć ryzyko związane z przetwarzaniem informacji w organizacji.
