Анонимизация

Что это значит

Анонимизация - это обработка персональных данных так, чтобы по ним больше нельзя было установить конкретного человека, даже соединив их с другими данными, которые разумно доступны фирме или кому-либо ещё. Недостаточно удалить имя: человека часто выдаёт сочетание даты рождения, почтового индекса и должности.

Отличие от псевдонимизации принципиальное. Псевдонимизированные данные с помощью ключа можно снова связать с человеком, поэтому они остаются персональными и на них распространяется GDPR. Анонимизированные данные вообще не являются персональными, и фирма может свободно с ними работать.

Типичные техники - агрегирование в группы, например средняя зарплата отдела вместо зарплат отдельных людей, обобщение, например возрастной диапазон вместо даты рождения, подавление редких значений и добавление шума. Чем меньше группа, тем труднее добиться настоящей анонимности.

Как это работает на практике

Анонимизацию фирмы используют, например, в зарплатной статистике для руководства, в опросах удовлетворённости работников, при анализе клиентских данных или при передаче базы разработчикам для тестирования. В тестовой среде не должно быть настоящих персональных номеров и адресов клиентов.

Это и способ поступить с данными после истечения срока хранения. Вместо полного удаления, которого требует право на удаление или принцип минимизации, фирма может сохранить анонимизированные сводки для статистики и сравнений во времени.

В крупных проектах мы советуем документировать процедуру: какие данные анонимизировали, какой техникой и почему фирма считает риск повторной идентификации ничтожным. При обработке с высоким риском это может быть частью оценки воздействия на защиту данных.

На что обратить внимание

Самая частая ошибка - считать анонимизированными данные, которые лишь псевдонимизированы, например таблицу, где имя заменено табельным номером. Если где-то есть список, связывающий номер с именем, GDPR по-прежнему применяется, а утечка такой таблицы - это нарушение защиты персональных данных.

Внимание и к малым группам. Средняя зарплата отдела из двух человек выдаёт зарплату каждого тому, кто знает одну из них, а результат опроса в команде из трёх человек часто можно привязать к конкретному лицу. При малых числах результаты лучше объединить или не публиковать.