Co uznaje się za zanonimizowane
Zbiór danych jest zanonimizowany tylko wtedy, gdy nikt, kto go posiada, nie może w uzasadniony sposób ponownie zidentyfikować osób w nim zawartych. Usunięcie oczywistych identyfikatorów, takich jak imiona i numery identyfikacyjne, nie wystarcza, bo reszta rekordu nadal może opisywać prawdziwą osobę. Rekordy z danymi wrażliwymi wymagają najostrzejszego testu.
Organy regulacyjne i standardy oceniają to w pełnym kontekście. Pytają, jakie inne źródła danych istnieją, kto mógłby je połączyć i ile wysiłku wymagałaby ponowna identyfikacja. Usunięcie nazwiska przy zachowaniu rzadkiej kombinacji kodu pocztowego, daty urodzenia i płci to znany sposób na niezdany test, ponieważ sama ta kombinacja może wskazać konkretną osobę w rejestrach publicznych.
Główne techniki anonimizacji
Cztery techniki obejmują większość przypadków. Nie należy ich mylić z maskowaniem danych, które ukrywa wartości, ale niekoniecznie usuwa możliwość identyfikacji osób.
Formalne modele, takie jak k-anonimowość, l-różnorodność i prywatność różnicowa, nadają tym technikom mierzalną gwarancję. Na przykład k-anonimowość zapewnia, że każda kombinacja quasi-identyfikatorów odpowiada co najmniej k osobom w zbiorze danych.
| Technika | Co robi | Główne ograniczenie |
|---|---|---|
| Generalizacja | Zastępuje dokładną wartość szerszą kategorią | Zbyt szeroka kategoria może uczynić dane bezużytecznymi |
| Supresja | Usuwa pola lub rekordy zbyt identyfikujące, by bezpiecznie je uogólnić | Usunięte rekordy mogą zniekształcić pozostałe dane |
| Agregacja | Raportuje statystyki dla grupy zamiast pojedynczych rekordów | Małe grupy nadal mogą ujawnić osoby |
| Dodawanie szumu i perturbacja | Lekko i losowo zmienia wartości albo zamienia je między podobnymi rekordami | Wyniki się przesuwają, dlatego trzeba sprawdzić dokładność |
Anonimizacja a pseudonimizacja
Te dwa pojęcia są często mylone, ale przepisy traktują je bardzo różnie. Pseudonimizacja zastępuje wartości identyfikujące spójnymi zastępnikami, na przykład identyfikator klienta zmapowany na token. Osobny klucz pozwala odwrócić proces, więc dane nadal są danymi osobowymi, tyle że chronionymi.
Anonimizacja eliminuje tę możliwość. Nie ma klucza ani uprawnionej drogi powrotu do osoby. Dlatego dane spseudonimizowane nadal podlegają ochronie danych osobowych, a dane właściwie zanonimizowane zwykle nie.
Jak zanonimizować zbiór danych
Anonimizacja to proces, a każdy krok ogranicza ryzyko. Zacznij od klasyfikacji danych, która oznacza każde pole, zanim cokolwiek zmienisz.
- 1
Określ cel
Ustal, kto dostanie dane i po co. Odpowiedź wyznacza, ile szczegółów może zostać.
- 2
Sklasyfikuj każde pole
Oznacz bezpośrednie identyfikatory, quasi-identyfikatory, takie jak kod pocztowy czy data urodzenia, oraz atrybuty wrażliwe, takie jak rozpoznania medyczne.
- 3
Zastosuj techniki
Uogólnij, usuń albo zagreguj ryzykowne pola i całkowicie usuń bezpośrednie identyfikatory.
- 4
Sprawdź na danych zewnętrznych
Zapytaj, czy ktoś posiadający inne zbiory mógłby dopasować rekord do osoby. Jeśli tak, powtórz poprzedni krok z mocniejszymi zmianami.
Wykrywanie identyfikatorów przed udostępnieniem
Zanim zbiór danych zostanie zanonimizowany, trzeba znaleźć w nim identyfikatory. W konsoli Anexet DLP są wbudowane słowniki tematyczne dla numerów SSN, kart płatniczych i danych finansowych oraz wyrażenia regularne dla wartości takich jak kody pocztowe i numery kont bankowych. Dwa poniższe kadry pokazują te słowniki i wzorce.
1 / 2
Gdzie stosuje się anonimizację
Organizacje stosują anonimizację w czterech typowych sytuacjach:
- Badania naukowe i publiczne udostępnianie danych. Dane zdrowotne, spisowe i ankietowe są anonimizowane, zanim zostaną opublikowane lub udostępnione poza organizacją, która je zebrała.
- Analityka i uczenie maszynowe. Dane treningowe i statystyki użycia są anonimizowane, aby można było badać wzorce bez ujawniania osób, których dotyczą.
- Zgodność z przepisami. Dane rzeczywiście anonimowe zwykle nie są już regulowane jako dane osobowe na gruncie RODO.
- Retencja danych. Stare rekordy zachowują wartość statystyczną i nie dają się przypisać do osób, zamiast być całkowicie usuwane.
Dlaczego anonimizacja zawodzi w praktyce
Ataki polegające na ponownej identyfikacji wielokrotnie pokazały, że rzekomo anonimowe zbiory danych można odsłonić, zestawiając je z innymi, pozornie niepowiązanymi danymi, takimi jak ślady lokalizacji, historia zakupów czy publiczne wpisy w mediach społecznościowych. Najtrudniejszy przypadek to tekst swobodny, bo imiona i nazwy miejsc ukrywają się w danych nieustrukturyzowanych i łatwo je przeoczyć.
Ryzyko rośnie wraz z bogactwem zbioru danych. Im więcej atrybutów zawiera rekord, tym bardziej prawdopodobne, że jakaś ich kombinacja jest unikalna dla jednej osoby. Anonimizacja to więc ciągła ocena ryzyka, a nie jednorazowy krok techniczny.
Samo usunięcie imion i numerów identyfikacyjnych nie sprawia, że dane są anonimowe.
Od czego zacząć
Zacznij od zbiorów danych, których wyciek wyrządziłby najwięcej szkody, a potem od pól, które łącznie tworzą tożsamość. Je zanonimizuj w pierwszej kolejności.
Zbiór danych, który przechodzi test dzisiaj, może go nie przejść za rok, gdy pojawią się nowe dane publiczne, które da się z nim zestawić.
Czytaj dalej: Jak zadbać o bezpieczeństwo swoich danych osobowych?; System DLP Anexet Ultimate jako wsparcie w spełnianiu wymagań RODO.
Plik zanonimizowany jest tak bezpieczny, jak inne dane, z którymi można go zestawić, dlatego sprawdzaj go ponownie przed każdym udostępnieniem.
Anexet Team