Directrius Actualitzades de Pseudonimització de l'EDPB
Els de l'Equip Europeu de Protecció de Dades (EDPB) ha actualitzat les suas directrius de pseudonimització en resposta a les inquietuds sobre els servidors dels EUA. En resum:
Per a dades pseudonimitzades:
- La transferència als EUA requereix un "instrument adequat" (Acord de transferencia de dades, Clàusules contractuals tipus, Vinculacions corporatives)
- Els controls criptogràfics han de prevenir que el processador reidentifiqui sin a claus
- Els registres d'accés han de documentar quin personal té accés a la clau
Per a dades anonimitzades:
- NO es requereixen acords d'adequació de transferencia
- La ubicació del servidor és irrelevant
- El processador NO pot re-identificar sota cap circumstancia
El problema amb els servidors dels EUA
Moltes organitzacions de la UE fan pseudonimització però es donen compte de que els EUA permet accessos de Govern (Acta CLOUD, Acta de Vigilancia Estrangera). Els EUA Govern pot demanar dades del servidors sense ordre judicial europea. En aquest context:
- Pseudonimització + Servidors EUA = Violació de GDPR si el Govern dels EUA pot correlacionar les dades amb altres fonts per a re-identificació
- Anonimització Sólida + Servidors EUA = Compliant amb GDPR, però l'anonimització REAL és molt més difícil que els clàssic "hashed field + salted UUID"
Com garantir anonimització versus pseudonimització
L'EDPB proposa aquest test:
- Si tens la clau de descifrat, pseudonimització (Art. 4(5), GDPR)
- Si NO tens la clau i NO pots re-identificar, anonimització (Consideració 26, GDPR)
- Si possiblement NO tens la clau, però altrú pot vincular mitjançant mitjans raisonnables, pseudonimització (la regla més estricta)
Les eines d'anonimització com anonym.legal implementen irreversibilitat criptogràfica per a garantir que la re-identificació és computacionalment impossible, fins i tot per a atac-força.