El Cas de l'Empresa Holandesa: 20 Milions d'Euros per Confusió Terminolòlogica
Una empresa tecnològica holandesa va coll una multa de 20 milions d'euros el novembre de 2024 per la Autoritat Holandesa de Protecció de Dades per al dades que prèviament es consideraven "anonimitzades". Aquí es va produir el problema:
L'empresa va:
- Reemplaçar noms de usuaris amb UUID (hashed + salted)
- Reemplaçar adreces IP amb hashes
- Però va mantenir la taula de traducció en un servidors dels EUA accessibles al personal de suport
L'autoritat holandesa va concloure que les dades EREN pseudonimitzades, NO anonimitzades, perquè:
- Una taula de traducció existia
- Significa que la organització podria re-identificar
- Significa que altres organitzacions potent correlacionar amb mitjans raisonnables
Definicions de GDPR
Pseudonimització (Art. 4(5) GDPR):
"Processament de dades personals de manera que els dades personals ja no es puguin atribuir a una titular de dades sense la utilització d'informació addicional, sempre que aquesta informació addicional es mantingui separat i estigui subjecta a mesures tècniques i organitzatives per garantir que les dades personals no es atribueixen a una titular identificada o identificable".
Anonimització (Consideració 26 GDPR):
"Els principis de protecció de dades no s'han d'aplicar a les dades anònimes, és a dir, informació que no es relaciona amb una persona fisica identificada o identificable o amb dades personals que han estat esborrades de tal manera que la persona no és o ja no és identificable".
La diferència clau:
- Pseudonimització: La re-identificació és possible si tens la clau addicional
- Anonimització: La re-identificació és impossible per a qualsevol persona fins i tot amb mitjans raisonnables
Els "mitjans raisonnables" del test de l'EDPB
L'EDPB defineix "mitjans raisonnables" per a re-identificar com:
- Correlació de dades amb registres públics (registres de voters, directòries empresarials)
- Combinació de dades pseudo-anònimes amb dades que la organització posseeix
- Combinació de dades pseudo-anònimes amb dades que els tercers públicament accessibles posseeixen (registres de govern, arxius públics)
- Atac a força criptogràfic si les hashes no són prou fortes
Quan la empresa holandesa va retenir la taula de traducció en un servidors dels EUA, els usuaris potents theoretically correlacionar amb mitjans raisonnables — de manera que les dades eren pseudonimitzades, NO anonimitzades.