אנונימיזציה לעומת פסאודונימיזציה: 20 מיליון יורו על כף המאזניים
סעיף 83 קובע קנסות שיא של 20 מיליון יורו או 4% מהמחזור השנתי הגלובלי. שאלה משפטית אחת מניעה את הסיכון הזה: האם החוק חל על מסד הנתונים שלך?
אנונימיזציה מסירה את התחולה. פסאודונימיזציה לא. הפער הזה הוא גדול.
שתי ההגדרות בשפה פשוטה
שיקול מספר 26 מגדיר את הרף לאנונימיזציה. אדם חייב להיות ״לא או לא עוד ניתן לזיהוי.״ הבדיקה רחבה. היא מכסה כל אמצעי ״שסביר להניח שישמש.״ זה כולל את הבקר. זה גם מכסה כל מעבד וכל צד שלישי.
סעיף 4(5) מגדיר פסאודונימיזציה. רשומות הן פסאודונימיות כאשר מפתח יכול להפוך אותן. הסר את המפתח, ועדיין יש לך את הנתונים. הנתונים הנוספים הללו חייבים להישמר בנפרד. זו אינה אנונימיזציה.
רשומות פסאודונימיות הן עדיין רשומות אישיות. החוק חל במלואו. אין פטור מתחולה. נקודה.
מה עולה תיוג שגוי
טיפול במסד נתונים פסאודונימי כבאנונימי יוצר חמישה בעיות בבת אחת:
- ערכי ROPA שגויים לפי סעיף 30
- אין תהליך זכויות נשוא לגישה, מחיקה או ניידות
- אין לוח זמנים לשמירה — אין טריגר למחיקה
- אין אמצעי הגנה להעברה לעבודה חוצת-גבולות
- אין נתיב מחיקה לבקשות זכות למחיקה
כל פער הוא הפרה נפרדת. כל חמשת הפערים יכולים לשבת בצינור אחד.
אות האכיפה של 2025
ב-2025, ה-EDPB ניהל תרגיל אכיפה משותף. הדוח ציין כשל חוזר אחד: טכניקות אנונימיזציה לא יעילות המשמשות כחלופה למחיקה. רשויות הגנת המידע מבקרות כעת את איכות האנונימיזציה. הן בודקות יותר מאם שלב קיים. השלב חייב לעבוד.
מסד נתונים של אסימונים עם טבלת בדיקה הוא פסאודונימי. הוא אינו אנונימי. יש לו מפתח. המפתח יכול להפוך אותו. לקרוא לו אנונימי הוא בדיוק הכשל שהדוח של 2025 מכוון אליו.
בחירת השיטה הנכונה
אנונימיזציה אמיתית — מחוץ לתחולה. השתמשו בעריכה. ה-PII נעלם ללא קישור אחורה. ניתן גם להאשיש ערכים בעלי אנטרופיה גבוהה ללא נתיב preimage. תעדו את הבסיס. לא מצטרפות חובות משפטיות לפלט.
פסאודונימיזציה — בתוך התחולה. השתמשו בהחלפה, הסוואה או הצפנה. החוק חל במלואו. פסאודונימיזציה מפחיתה נזק מפרצה. היא אינה מפחיתה חובות משפטיות.
הפיכות מבוקרת — מחקר או ביקורת. השתמשו בהצפנה עם מפתחות המוחזקים על ידי הלקוח. שמירת המפתח חייבת לעמוד בכללי הפרדת המפתחות לפי EDPB 05/2022. ציינו את התחום ב-DPIA.
מקרה שימוש אמיתי
חברה מוכרת רשומות לקוחות אנונימיות לחוקרים. הם מיישמים שיטת עריכה. ה-PII נעלם. אין טבלת אסימונים. אין נתיב preimage ל-hash. לזיהוי-מחדש אין נתיב.
קצין הגנת המידע כותב זאת ב-DPIA. שיטה שנעשה בה שימוש. סוגי מזהים. מדוע לא ניתן לבטל זאת. רמת הסיכון השיורי. הפלט נופל מחוץ לתחולה. זכויות נשוא וכללי העברה אינם חלים על עותקי המחקר.
השיטה תואמת את הטענה. זהו התהליך הנכון. הוא עומד בביקורת.
מדוע התיעוד חשוב
חברה אינה יכולה פשוט לטעון אנונימיזציה. לטענה חייב להיות תיעוד. ה-DPIA חייב להראות ארבעה דברים. אילו מזהים כוסו. איזו שיטה שימשה. מדוע לזיהוי-מחדש אין נתיב. מה רמת הסיכון השיורי.
בלי אותו תיעוד, ביקורת מתייחסת למסד הנתונים כאל בתחולה. קבוצת החובות המלאה חלה. ערך ROPA חייב להתקיים. אמצעי הגנת ההעברה חייבים להתקיים. נתיב המחיקה חייב להתקיים. אין חובות שנעלמות ללא הוכחה.
לגבי אופן האינטראקציה של זכויות מחיקה עם רשומות אנונימיות, ראו זכות GDPR למחיקה והנחיות EDPB 2025. לכללי העברה בשיתוף רשומות חוצה-גבולות, ראו ציות להעברת נתונים וקנס TikTok.