Prípad: Regulátor zistí chybu
V roku 2023 jedna väčšia technologická spoločnosť dostal pokutu od lokalného regulátora GDPR za tvrdenie, že údaje boli "anonymizované", keď boli v skutočnosti len "pseudo-anonymizované". Pokuta bola 20 miliónov EUR.
Čo sa stalo:
- Spoločnosť tvrdila: "Všetci naši údaje používateľov sú anonymizované, preto GDPR sa nevzťahuje"
- Regulátor skúmal proces: "Ako ste anonymizovali?"
- Spoločnosť: "Hashujeme e-mail, ID a IP adresu"
- Regulátor: "To je pseudo-anonymizácia, nie anonymizácia. Hash je jednosmerný, ale je vyhľadateľný spätne. GDPR sa STÁLE vzťahuje"
Kľúčový rozdiel
Anonymizácia (ireverzibilná)
Anonymizácia je proces, pri ktorom sa odstránia všetky údaje, ktoré umožňujú spájať údaje s osobou. Po anonymizácii je údaj už NIKDY späť neprevediete na osobný údaj.
Príklad ireverzibilnej anonymizácie:
- Originálny údaj: John Doe, muž, 45 rokov, Nemecko
- Anonymizovaný údaj: Pohlavie zhluk "M", vek zhluk "40-50", krajina zhluk "EU"
Prečo je to ireverzibilné? Pretože "muž, 45 rokov, z Nemecka" sa vypočítava tak, že jeden milión iných ľudí spĺňa kritéria. Nemôžete zistiť, kto je John.
Pseudo-anonymizácia (reverzibilná)
Pseudo-anonymizácia je proces, pri ktorom sa údaje spracovávajú s pomocou dodatočných informácií (kľúč). Údaje sú stále spojiteľné s osobou, ale iba ak máte kľúč.
Príklad pseudo-anonymizácie:
- Originálny údaj: John Doe
- Pseudo-anonymizovaný údaj: ID_8472
- Kľúč (uložený oddelene): ID_8472 = John Doe
Prečo je to reverzibilné? Pretože máte kľúč. S kľúčom môžete kedykoľvek zistiť, že ID_8472 je John Doe.
Právne dôsledky
- Anonymizácia: GDPR sa NEVZŤAHUJE. Nemôžete byť pokutovaní.
- Pseudo-anonymizácia: GDPR sa STÁLE VZŤAHUJE. Musíte dodržovať všetky čl. 5-22.
Pokut 20 miliónov EUR bola vysoká, pretože spoločnosť:
- Tvrdila anonymizáciu
- Nebola v skutočnosti
- Porušila všetky GDPR princípy počas "pseudo-anonymizácie"