التمييز الذي يكلف 20 مليون يورو
تحدد المادة 83 من GDPR أقصى العقوبات بمبلغ 20 مليون يورو أو 4% من الإيرادات العالمية السنوية، أيهما أعلى، لأكثر الانتهاكات خطورة. يحدد التمييز بين الإخفاء والتشفير ما إذا كان GDPR ينطبق على مجموعة بيانات معينة على الإطلاق - وما إذا كانت أقصى غرامة ممكنة تنطبق.
تعرف الفقرة 26 من GDPR عتبة الإخفاء: "لذا يجب ألا تنطبق مبادئ حماية البيانات على المعلومات المجهولة، أي المعلومات التي لا تتعلق بشخص طبيعي محدد أو يمكن تحديده أو بالبيانات الشخصية التي تم إخفاء هويتها بطريقة تجعل موضوع البيانات غير قابل للتحديد أو لم يعد قابلاً للتحديد." العبارة الرئيسية: "غير قابل للتحديد أو لم يعد قابلاً للتحديد" - بأي وسيلة من المحتمل استخدامها، من قبل مراقب البيانات، أو أي معالج، أو أي طرف ثالث.
تعرف المادة 4(5) من GDPR التشفير: "معالجة البيانات الشخصية بطريقة تجعل البيانات الشخصية لا يمكن نسبها بعد الآن إلى موضوع بيانات محدد دون استخدام معلومات إضافية، بشرط أن يتم الاحتفاظ بهذه المعلومات الإضافية بشكل منفصل." البيانات المشفرة ليست مجهولة صراحة - "لا يمكن نسبها بعد الآن... دون استخدام معلومات إضافية." تظل البيانات المشفرة بيانات شخصية بموجب GDPR.
النتيجة العملية: منظمة تعتقد أن مجموعة بيانات التحليلات الخاصة بها "مخفية" (خارج نطاق GDPR) عندما تكون في الواقع "مشفرة" (داخل نطاق GDPR) لديها إدخالات غير صحيحة في المادة 30 من ROPA، وإجراءات غير كافية لحقوق موضوع البيانات، وفترات احتفاظ غير كافية، ونقص في تدابير حماية نقل البيانات لأي معالجة تحليلية عبر الحدود، ولا يوجد آلية للاستجابة لطلبات الحق في الحذف. كل من هذه النواقص هي انتهاك مستقل لـ GDPR.
إشارة تنفيذ CEF
حددت الهيئة الأوروبية لحماية البيانات في إطار التنفيذ المنسق لعام 2025 "تقنيات الإخفاء غير الفعالة المستخدمة كبديل للحذف" كفشل متكرر في الامتثال. تشير هذه النتيجة إلى أن الهيئات الرقابية تقيم جودة الإخفاء، وليس فقط وجود أو عدم وجود خطوة الإخفاء.
توضح حالة استخدام شركة التحليلات البيانات الهولندية النهج الصحيح: شركة تقدم مجموعات بيانات "مخفية" للعملاء للباحثين من الأطراف الثالثة تستخدم طريقة Redact (الإزالة الدائمة للبيانات الشخصية دون أي خريطة رمزية). مجموعة البيانات الناتجة ليس لديها مسار لإعادة التعرف - لا مفتاح، لا جدول رمزي، لا صورة هاش - مما يلبي عتبة الفقرة 26 من GDPR. يوثق مسؤول حماية البيانات هذا التحديد في تقييم تأثير حماية البيانات: الطريقة المستخدمة، أنواع المعرفات المغطاة، أساس عدم القابلية للعكس، تقييم خطر إعادة التعرف المتبقي. مجموعة البيانات خارج نطاق GDPR. لا تنطبق التزامات GDPR (بما في ذلك حقوق موضوع البيانات، وحدود الاحتفاظ، وتدابير الحماية للنقل) على نسخ البحث من الأطراف الثالثة.
اختيار الطريقة حسب هدف الامتثال
خارج نطاق GDPR (إخفاء الهوية الحقيقي): استخدم Redact (الإزالة الدائمة) أو Hash (قيم عالية العشوائية، غير قابلة للتخمين). وثق أساس الإخفاء. لا تنطبق التزامات GDPR على الناتج.
داخل نطاق GDPR مع تقليل المخاطر (التشفير): استخدم Replace أو Mask أو Encrypt. تستمر جميع التزامات GDPR في الانطباق. يقلل التشفير من خطر الأذى الناتج عن الوصول غير المصرح به ولكنه لا يزيل نطاق GDPR.
قابلية العكس المراقبة (البحث، التدقيق، الاكتشاف): استخدم Encrypt مع مفاتيح يحتفظ بها العميل. ينطبق GDPR. يجب أن تتوافق ترتيبات احتفاظ المفاتيح مع متطلبات فصل المفاتيح في إرشادات EDPB 05/2022. وثق مجال التشفير.
المصادر: