Mikroporady

Słownik pojęć

Czy wiesz, że aż 96% mikro firm zapewnia 75% wszystkich wpływów z podatków i wytwarza 51% zysku gospodarki kraju?

A tylko niewielkiej liczbie udaje się utrzymać na rynku dłużej niż rok bez dostatecznej wiedzy i znajomości przepisów.

A czy wiesz, że...

Ty też możesz coś zrobić, abyśmy mogli dalej działać i skutecznie Cię wspierać?

KRS 0000318482

Przejdź do Twój e-PIT

	A
Anonimizacja danych	W dobie powszechnego wykorzystywania informacji oraz rosnących wymagań związanych z ochroną prywatności coraz większego znaczenia nabiera anonimizacja danych. Dla wielu przedsiębiorców, instytucji publicznych oraz organizacji przetwarzających dane osobowe jest ona skutecznym sposobem ograniczenia ryzyka naruszenia przepisów RODO, a jednocześnie umożliwia dalsze korzystanie z wartościowych zbiorów danych do celów statystycznych, badawczych czy analitycznych. Pomimo częstego używania pojęcia anonimizacji, w praktyce jest ono często mylone z pseudonimizacją. Tymczasem skutki prawne obu procesów są diametralnie różne. Anonimizacja polega na takim przekształceniu danych, aby identyfikacja osoby fizycznej, której dane dotyczą, stała się niemożliwa. Po skutecznym przeprowadzeniu anonimizacji nie istnieje możliwość ustalenia tożsamości osoby ani bezpośrednio, ani pośrednio, nawet przy wykorzystaniu dodatkowych informacji, które mogą być racjonalnie dostępne administratorowi lub innym podmiotom. Warto podkreślić, że RODO nie zawiera legalnej definicji anonimizacji. Z treści rozporządzenia wynika jednak, że dane poddane skutecznej anonimizacji przestają być danymi osobowymi, ponieważ nie dotyczą już możliwej do zidentyfikowania osoby fizycznej. Oznacza to, że do takich informacji nie znajdują zastosowania przepisy RODO. Dane przestają być danymi osobowymi, gdy nie ma możliwość identyfikacji konkretnej osoby. Jeżeli na podstawie posiadanych informacji można ustalić, kogo dotyczą dane, nawet pośrednio, informacje te nadal stanowią dane osobowe i podlegają ochronie wynikającej z RODO. Dopiero trwałe i nieodwracalne pozbawienie danych cech identyfikujących powoduje, że przestają one podlegać regulacjom dotyczącym ochrony danych osobowych. Przykładowo usunięcie imienia i nazwiska z dokumentu nie zawsze oznacza anonimizację. Jeżeli na podstawie pozostałych informacji możliwe jest ustalenie tożsamości osoby, dane nadal mają charakter danych osobowych. W praktyce najwięcej wątpliwości budzi rozróżnienie pomiędzy anonimizacją a pseudonimizacją. W przypadku anonimizacji nie istnieje możliwość ponownego ustalenia tożsamości osoby, której dane dotyczyły. Proces ma charakter nieodwracalny. Po skutecznym przeprowadzeniu anonimizacji dane nie podlegają już przepisom RODO. Pseudonimizacja polega natomiast na zastąpieniu danych identyfikujących określonym kodem, numerem lub innym oznaczeniem. Jednak administrator nadal posiada możliwość ponownego powiązania danych z konkretną osobą poprzez wykorzystanie dodatkowych informacji. W konsekwencji dane poddane pseudonimizacji nadal pozostają danymi osobowymi i podlegają ochronie przewidzianej w RODO. W zależności od rodzaju danych oraz celu przetwarzania stosowane mogą być różne techniki anonimizacji. Najczęściej wykorzystywane są: Usuwanie identyfikatorów – polega na trwałym usunięciu informacji pozwalających na identyfikację osoby, takich jak: imię i nazwisko, numer PESEL, numer dokumentu tożsamości, adres e-mail, numer telefonu. Agregacja danych – dane są prezentowane w formie zbiorczych zestawień statystycznych uniemożliwiających identyfikację pojedynczych osób. Przykładem mogą być raporty dotyczące średniego wieku klientów lub liczby osób korzystających z określonych usług. Generalizacja – proces polega na zastępowaniu szczegółowych informacji danymi bardziej ogólnymi. Przykładowo zamiast dokładnej daty urodzenia można wskazać przedział wiekowy, a zamiast konkretnego adresu – miejscowość lub województwo. Losowe modyfikowanie danych – w niektórych przypadkach stosuje się techniki polegające na zmianie określonych wartości w sposób uniemożliwiający identyfikację osób przy jednoczesnym zachowaniu wartości analitycznej zbioru danych. Anonimizacja najczęściej znajduje zastosowanie w wielu obszarach działalności przedsiębiorców i instytucji publicznych. Szczególnie często wykorzystywana jest: w działalności naukowej i badawczej; przy tworzeniu raportów statystycznych; podczas analiz biznesowych; przy archiwizacji dokumentacji; w sektorze medycznym; w projektach wykorzystujących sztuczną inteligencję i uczenie maszynowe. Dzięki anonimizacji możliwe jest dalsze wykorzystywanie informacji bez ryzyka naruszenia prywatności osób, których dane pierwotnie dotyczyły. Cechą anonimizacji jest to, że jest ona nieodwracalna. Skuteczna anonimizacja musi mieć charakter trwały i nieodwracalny. Jeżeli administrator zachowuje możliwość ponownego przypisania danych do konkretnej osoby, nie mamy do czynienia z anonimizacją, lecz z pseudonimizacją. Przy ocenie skuteczności anonimizacji należy uwzględniać nie tylko obecne możliwości techniczne, ale również rozsądnie przewidywalne sposoby identyfikacji osoby przy wykorzystaniu dostępnych technologii i dodatkowych informacji. Prawidłowo przeprowadzona anonimizacja pozwala osiągnąć szereg korzyści prawnych i organizacyjnych. Przede wszystkim umożliwia: ograniczenie ryzyka naruszenia ochrony danych osobowych; zmniejszenie skutków ewentualnego wycieku informacji; wykorzystywanie danych do celów analitycznych i statystycznych; ograniczenie obowiązków wynikających z RODO; zwiększenie poziomu ochrony prywatności osób fizycznych. Dla wielu organizacji stanowi również ważny element polityki bezpieczeństwa informacji. Jednym z najczęściej popełnianych błędów jest przyjęcie, że usunięcie podstawowych identyfikatorów automatycznie prowadzi do anonimizacji danych. W rzeczywistości wiele zbiorów danych może umożliwiać identyfikację osób poprzez zestawienie kilku pozornie neutralnych informacji. Dlatego każdorazowo należy przeprowadzić ocenę ryzyka ponownej identyfikacji oraz uwzględnić specyfikę konkretnego zbioru danych. Nieprawidłowo zanonimizowane dane mogą nadal zostać uznane za dane osobowe, co oznacza konieczność dalszego stosowania wszystkich wymogów wynikających z RODO. Podstawa prawna: Rozporządzenie Parlamentu Europejskiego i Rady (UE) 2016/679 z dnia 27 kwietnia 2016 r. w sprawie ochrony osób fizycznych w związku z przetwarzaniem danych osobowych i w sprawie swobodnego przepływu takich danych oraz uchylenia dyrektywy 95/46/WE (ogólne rozporządzenie o ochronie danych) (Dz. U. UE. L. z 2016 r. Nr 119, str. 1 z późn. zm.). Zobacz także: Stowarzyszenie Zasada Pareta 80/20

Anonimizacja danych

W dobie powszechnego wykorzystywania informacji oraz rosnących wymagań związanych z ochroną prywatności coraz większego znaczenia nabiera anonimizacja danych. Dla wielu przedsiębiorców, instytucji publicznych oraz organizacji przetwarzających dane osobowe jest ona skutecznym sposobem ograniczenia ryzyka naruszenia przepisów RODO, a jednocześnie umożliwia dalsze korzystanie z wartościowych zbiorów danych do celów statystycznych, badawczych czy analitycznych. Pomimo częstego używania pojęcia anonimizacji, w praktyce jest ono często mylone z pseudonimizacją. Tymczasem skutki prawne obu procesów są diametralnie różne. Anonimizacja polega na takim przekształceniu danych, aby identyfikacja osoby fizycznej, której dane dotyczą, stała się niemożliwa. Po skutecznym przeprowadzeniu anonimizacji nie istnieje możliwość ustalenia tożsamości osoby ani bezpośrednio, ani pośrednio, nawet przy wykorzystaniu dodatkowych informacji, które mogą być racjonalnie dostępne administratorowi lub innym podmiotom. Warto podkreślić, że RODO nie zawiera legalnej definicji anonimizacji. Z treści rozporządzenia wynika jednak, że dane poddane skutecznej anonimizacji przestają być danymi osobowymi, ponieważ nie dotyczą już możliwej do zidentyfikowania osoby fizycznej. Oznacza to, że do takich informacji nie znajdują zastosowania przepisy RODO. Dane przestają być danymi osobowymi, gdy nie ma możliwość identyfikacji konkretnej osoby. Jeżeli na podstawie posiadanych informacji można ustalić, kogo dotyczą dane, nawet pośrednio, informacje te nadal stanowią dane osobowe i podlegają ochronie wynikającej z RODO. Dopiero trwałe i nieodwracalne pozbawienie danych cech identyfikujących powoduje, że przestają one podlegać regulacjom dotyczącym ochrony danych osobowych. Przykładowo usunięcie imienia i nazwiska z dokumentu nie zawsze oznacza anonimizację. Jeżeli na podstawie pozostałych informacji możliwe jest ustalenie tożsamości osoby, dane nadal mają charakter danych osobowych.

W praktyce najwięcej wątpliwości budzi rozróżnienie pomiędzy anonimizacją a pseudonimizacją. W przypadku anonimizacji nie istnieje możliwość ponownego ustalenia tożsamości osoby, której dane dotyczyły. Proces ma charakter nieodwracalny. Po skutecznym przeprowadzeniu anonimizacji dane nie podlegają już przepisom RODO. Pseudonimizacja polega natomiast na zastąpieniu danych identyfikujących określonym kodem, numerem lub innym oznaczeniem. Jednak administrator nadal posiada możliwość ponownego powiązania danych z konkretną osobą poprzez wykorzystanie dodatkowych informacji. W konsekwencji dane poddane pseudonimizacji nadal pozostają danymi osobowymi i podlegają ochronie przewidzianej w RODO.

W zależności od rodzaju danych oraz celu przetwarzania stosowane mogą być różne techniki anonimizacji. Najczęściej wykorzystywane są:

Usuwanie identyfikatorów – polega na trwałym usunięciu informacji pozwalających na identyfikację osoby, takich jak: imię i nazwisko, numer PESEL, numer dokumentu tożsamości, adres e-mail, numer telefonu.
Agregacja danych – dane są prezentowane w formie zbiorczych zestawień statystycznych uniemożliwiających identyfikację pojedynczych osób. Przykładem mogą być raporty dotyczące średniego wieku klientów lub liczby osób korzystających z określonych usług.
Generalizacja – proces polega na zastępowaniu szczegółowych informacji danymi bardziej ogólnymi. Przykładowo zamiast dokładnej daty urodzenia można wskazać przedział wiekowy, a zamiast konkretnego adresu – miejscowość lub województwo.
Losowe modyfikowanie danych – w niektórych przypadkach stosuje się techniki polegające na zmianie określonych wartości w sposób uniemożliwiający identyfikację osób przy jednoczesnym zachowaniu wartości analitycznej zbioru danych.

Anonimizacja najczęściej znajduje zastosowanie w wielu obszarach działalności przedsiębiorców i instytucji publicznych. Szczególnie często wykorzystywana jest:

w działalności naukowej i badawczej;
przy tworzeniu raportów statystycznych;
podczas analiz biznesowych;
przy archiwizacji dokumentacji;
w sektorze medycznym;
w projektach wykorzystujących sztuczną inteligencję i uczenie maszynowe.

Dzięki anonimizacji możliwe jest dalsze wykorzystywanie informacji bez ryzyka naruszenia prywatności osób, których dane pierwotnie dotyczyły. Cechą anonimizacji jest to, że jest ona nieodwracalna. Skuteczna anonimizacja musi mieć charakter trwały i nieodwracalny. Jeżeli administrator zachowuje możliwość ponownego przypisania danych do konkretnej osoby, nie mamy do czynienia z anonimizacją, lecz z pseudonimizacją. Przy ocenie skuteczności anonimizacji należy uwzględniać nie tylko obecne możliwości techniczne, ale również rozsądnie przewidywalne sposoby identyfikacji osoby przy wykorzystaniu dostępnych technologii i dodatkowych informacji. Prawidłowo przeprowadzona anonimizacja pozwala osiągnąć szereg korzyści prawnych i organizacyjnych. Przede wszystkim umożliwia:

ograniczenie ryzyka naruszenia ochrony danych osobowych;
zmniejszenie skutków ewentualnego wycieku informacji;
wykorzystywanie danych do celów analitycznych i statystycznych;
ograniczenie obowiązków wynikających z RODO;
zwiększenie poziomu ochrony prywatności osób fizycznych.

Dla wielu organizacji stanowi również ważny element polityki bezpieczeństwa informacji.

Jednym z najczęściej popełnianych błędów jest przyjęcie, że usunięcie podstawowych identyfikatorów automatycznie prowadzi do anonimizacji danych. W rzeczywistości wiele zbiorów danych może umożliwiać identyfikację osób poprzez zestawienie kilku pozornie neutralnych informacji. Dlatego każdorazowo należy przeprowadzić ocenę ryzyka ponownej identyfikacji oraz uwzględnić specyfikę konkretnego zbioru danych. Nieprawidłowo zanonimizowane dane mogą nadal zostać uznane za dane osobowe, co oznacza konieczność dalszego stosowania wszystkich wymogów wynikających z RODO.

Podstawa prawna:

Rozporządzenie Parlamentu Europejskiego i Rady (UE) 2016/679 z dnia 27 kwietnia 2016 r. w sprawie ochrony osób fizycznych w związku z przetwarzaniem danych osobowych i w sprawie swobodnego przepływu takich danych oraz uchylenia dyrektywy 95/46/WE (ogólne rozporządzenie o ochronie danych) (Dz. U. UE. L. z 2016 r. Nr 119, str. 1 z późn. zm.).

Zobacz także:

Chcesz nas wesprzeć?

Jak widzisz, serwis mikroPorady.pl jest wolny od reklam. Działamy dzięki ofiarności naszych użytkowników, którzy przekazują nam wpłaty i darowizny. Nawet w bardzo niewielkich kwotach.

Twoja pomoc pozwoli na: