EDPB का जनवरी 2025 स्पष्टीकरण
यूरोपीय डेटा संरक्षण बोर्ड के प्स्यूडोनिमाइजेशन पर दिशानिर्देश 01/2025, जो जनवरी 2025 में प्रकाशित हुए, ने डेटा एनोनिमाइजेशन उपकरणों का उपयोग करने वाले संगठनों के लिए महत्वपूर्ण अनुपालन निहितार्थ के साथ कई स्पष्टीकरण प्रस्तुत किए।
सबसे महत्वपूर्ण स्पष्टीकरण: दिशानिर्देश "प्स्यूडोनिमाइजेशन डोमेन" की अवधारणा पेश करते हैं - उन पक्षों का सेट जिसके लिए प्स्यूडोनिमाइज्ड डेटा वास्तविक व्यक्तियों से लिंक किया जा सकता है। प्स्यूडोनिमाइज्ड डेटा GDPR के तहत व्यक्तिगत डेटा है किसी भी पक्ष के लिए जो प्स्यूडोनिमाइजेशन डोमेन में है (वे पक्ष जो प्स्यूडोनिमाइजेशन कुंजी रखते हैं या जो इसे निकाल सकते हैं)। दिशानिर्देश स्पष्ट रूप से कहते हैं कि प्स्यूडोनिमाइज्ड डेटा अपनी व्यक्तिगत डेटा स्थिति को नहीं बदलता है - यह सभी GDPR दायित्वों के अधीन बना रहता है - भले ही यह डोमेन के बाहर के पक्षों के लिए गैर-पहचान करने योग्य प्रतीत हो।
यह स्पष्टीकरण उन संगठनों को प्रभावित करता है जो मानते थे कि "टोकनाइजेशन" या "कुंजी के साथ प्स्यूडोनिमाइजेशन" ने उनके डेटा को GDPR के दायरे से हटा दिया है। जनवरी 2025 के दिशानिर्देशों के तहत, ऐसा नहीं है। प्स्यूडोनिमाइज्ड डेटा के लिए प्स्यूडोनिमाइजेशन कुंजी रखने वाला संगठन GDPR डेटा नियंत्रक बना रहता है।
उपकरण विपणन अंतर
कई उपकरण जो "एनोनिमाइजेशन" उपकरणों के रूप में विपणन किए जाते हैं, वास्तव में प्स्यूडोनिमाइज्ड डेटा उत्पन्न करते हैं। भेद:
सच्चा एनोनिमाइजेशन (अवापसी योग्य नहीं): रूपांतरण को किसी भी पक्ष द्वारा, वर्तमान या भविष्य में उपलब्ध किसी भी साधन का उपयोग करके उलटा नहीं किया जा सकता। सच्चा एनोनिमाइजेशन डेटा को पूरी तरह से GDPR के दायरे से हटा देता है।
प्स्यूडोनिमाइजेशन (उलटा करने योग्य): रूपांतरण को एक कुंजी, एक लुकअप तालिका, या अतिरिक्त जानकारी का उपयोग करके उलटा किया जा सकता है जो अलग से रखी गई है। प्स्यूडोनिमाइजेशन डेटा को GDPR के दायरे से नहीं हटाता है - यह उन पक्षों के लिए व्यक्तिगत डेटा बना रहता है जो कुंजी रखते हैं या इसे निकाल सकते हैं।
टोकन-आधारित सिस्टम (PII को लगातार टोकनों के साथ बदलना और एक मैपिंग तालिका बनाए रखना), एन्क्रिप्शन-आधारित सिस्टम (PII को एन्क्रिप्टेड मानों के साथ बदलना और एक डिक्रिप्शन कुंजी बनाए रखना), और फॉर्मेट-प्रिजर्विंग एन्क्रिप्शन सभी प्स्यूडोनिमाइज्ड डेटा उत्पन्न करते हैं। डेटा EDPB के जनवरी 2025 के दिशानिर्देशों के तहत व्यक्तिगत डेटा बना रहता है।
हैशिंग (PII मानों पर एक-तरफा हैश फ़ंक्शन लागू करना) एनोनिमाइजेशन के करीब है - यदि हैश फ़ंक्शन क्रिप्टोग्राफिक रूप से सुरक्षित है और कोई प्रीइमेज लुकअप संभव नहीं है - लेकिन EDPB के दिशानिर्देश नोट करते हैं कि कम-एंट्रॉपी डेटा (नामों या सामान्य पहचानकर्ताओं जैसे छोटे स्ट्रिंग्स) का हैशिंग रेनबो टेबल हमलों के प्रति संवेदनशील है और शायद सच्चा एनोनिमाइजेशन नहीं हो सकता।
नए दिशानिर्देशों के तहत अनुपालन रणनीति
DPOs को EDPB के जनवरी 2025 के दिशानिर्देशों के आलोक में अपने डेटा वर्गीकरण रणनीति का पुनर्मूल्यांकन करने की आवश्यकता है:
"एनोनिमाइज्ड" (GDPR के दायरे से बाहर) के रूप में वर्गीकृत डेटा के लिए: पुनर्मूल्यांकन करें कि क्या रूपांतरण वास्तव में अवापसी योग्य है। यदि कोई भी पक्ष इसे उलट सकता है - जिसमें डेटा नियंत्रक स्वयं भी शामिल है - तो यह प्स्यूडोनिमाइज्ड है और GDPR अभी भी लागू होता है।
ऐसे डेटा के लिए जो GDPR के दायरे से बाहर रहना चाहिए (विश्लेषण, आर्काइविंग, या अनुसंधान के लिए): अवापसी योग्य एनोनिमाइजेशन विधियों का उपयोग करें - रेडैक्शन (स्थायी रूप से हटाना), गैर-प्राप्त करने योग्य मानों के साथ मास्किंग, या उच्च-एंट्रॉपी डेटा का क्रिप्टोग्राफिक हैशिंग। विधि और एनोनिमाइजेशन निर्धारण के लिए आधार का दस्तावेजीकरण करें।
ऐसे डेटा के लिए जो नियंत्रित अवापसी से लाभान्वित होते हैं (पुनः संपर्क आवश्यकताओं, ऑडिट ट्रेल्स, खोजी दायित्वों के साथ अनुसंधान): स्पष्ट रूप से प्स्यूडोनिमाइज्ड व्यक्तिगत डेटा के रूप में वर्गीकृत करें, सभी GDPR दायित्वों को बनाए रखें, EDPB की कुंजी पृथक्करण आवश्यकताओं के अनुसार प्स्यूडोनिमाइजेशन कुंजी की हिरासत व्यवस्था का दस्तावेजीकरण करें।
स्पष्ट पांच-तरीका ढांचा - बदलें, रेडैक्ट करें, मास्क करें, हैश करें, एन्क्रिप्ट करें - इस वर्गीकरण पर सीधे मानचित्रित होता है: बदलें, मास्क करें, और एन्क्रिप्ट प्स्यूडोनिमाइज्ड डेटा उत्पन्न करते हैं (GDPR अभी भी लागू होता है)। रेडैक्ट और हैश (उच्च-एंट्रॉपी डेटा का) सच्चे एनोनिमाइजेशन के करीब पहुंचते हैं (पूर्णता और एंट्रॉपी विश्लेषण के अधीन)।
स्रोत: