Проблема квазиперсональных данных
Статья 4 GDPR определяет персональные данные как «любую информацию, относящуюся к идентифицированному или идентифицируемому физическому лицу». Ключевое слово — «идентифицируемому»: не только уже идентифицированному, но и способному быть идентифицированным посредством дополнительной обработки. Значение, которое само по себе не является идентифицирующим, но может быть связано с реальным человеком через внутренние системы, является персональными данными по GDPR.
Внутренние идентификаторы сотрудников — наиболее распространённый пример. Строка «EMP-EU-123456» не идентифицирует никого напрямую. Однако в базе данных HR есть запись: EMP-EU-123456 → Мария Шмидт, старший инженер, Мюнхен. Любой документ, содержащий EMP-EU-123456, может быть связан с Марией Шмидт каждым, кто имеет доступ к HR-базе. По GDPR EMP-EU-123456 — это персональные данные: информация, относящаяся к идентифицируемому физическому лицу.
Тот же анализ применим к номерам клиентских аккаунтов (ссылающихся на записи CRM), проектным кодам (указывающим на клиента в контрактных базах), внутренним номерам юридических дел (привязанным к участникам в DMS) и номерам медицинских карт во внешних системах (связанным с записями в EHR).
Организации, анонимизирующие очевидные персональные данные (имена, адреса, национальные идентификаторы), но не трогающие внутренние идентификаторы, не достигают GDPR-совместимой анонимизации. Они лишь усложняют деанонимизацию на один шаг — злоумышленнику придётся обратиться к HR-базе, а не читать документ напрямую.
Пробел в покрытии на практике
Годовой отчёт DLA Piper по GDPR за 2025 год установил, что 34% всех штрафов по GDPR связаны с неадекватными техническими мерами по Статье 32 — требованию реализовать надлежащие технические гарантии. Неадекватная анонимизация, включая непринятие мер по внутренним квазиидентифицирующим идентификаторам, является задокументированной категорией нарушений Статьи 32.
Европейский комитет по защите данных (EDPB) в 2024 году рассмотрел более 900 дел в рамках механизма согласованности — это отражает растущий объём скоординированного правоприменения между надзорными органами государств-членов ЕС. Трансграничное правоприменение означает, что нарушение Статьи 32 в датасете, распространяемом через границы ЕС, способно повлечь скоординированное расследование.
Решение без программирования
Для команды соответствия глобальной логистической компании, анонимизирующей записи о сотрудниках для внешнего HR-аудита:
Идентификаторы сотрудников построены по схеме EMP-[РЕГИОН]-[0-9]{6} — например, EMP-EU-123456, EMP-APAC-789012, EMP-AMER-345678. Команда предоставляет 3 примера ИИ-помощнику. ИИ возвращает: обнаруженный паттерн EMP-[A-Z]{2,4}-\d{6}; соответствует всем примерам; предлагаемое имя сущности: EMPLOYEE-ID; рекомендуется проверить граничные случаи, включая различные коды регионов.
Команда тестирует паттерн на 10 дополнительных примерах, включая EMP-DACH-000001 и EMP-APAC-999999. Паттерн проходит валидацию. Пользовательская сущность сохраняется в пресете GDPR, доступном всем членам команды. Все 47 документов пакета для HR-аудита обрабатываются за один проход. Все идентификаторы сотрудников заменяются ролевыми псевдонимами. Аудиторская компания получает документы, которые невозможно связать с конкретными сотрудниками ни через одну внутреннюю базу данных.
Источники: