Pseudonymisation et anonymisation

Pourquoi est-il souvent préférable de parler de C3PO plutôt que de Max Meier dans les statistiques de vente ?

Introduction à l'anonymisation et à la pseudonymisation

Quel est le point commun entre le blockbuster hollywoodien „ The Imitation Game – Une vie top secret “ et Protection des données en commun ? Tous deux traitent de données ou données à caractère personnel contre tout accès non autorisé par des tiers. Elles prouvent que la protection des données peut aussi être source de suspense digne d'Hollywood. Nous souhaitons vous montrer dans les lignes qui suivent comment vous pouvez vous épargner bien des „ tracas “ avec les autorités de contrôle.

Nous souhaitons tout d'abord vous présenter brièvement les différences entre les données anonymisées et les données pseudonymisées. Nous vous expliquerons ensuite pourquoi il est important que vous vous intéressiez à ce sujet.

Que sont les données anonymisées ?

Par rapport aux données pseudonymisées, les données anonymisées ne bénéficient pas du privilège d'une soi-disant "définition légale" dans la RGPD. Cela signifie qu'il n'existe pas de définition des données anonymes dans la directive sur la protection des données. RGPD donne.

Par données anonymisées, on entend en principe des données qui n'ont aucune référence personnelle (nom, prénom, adresse e-mail, numéro d'identification fiscale, etc. La question de savoir quand il faut nier un tel lien avec une personne est toutefois controversée depuis longtemps et soumise aux impondérables du progrès technologique. Le législateur s'est efforcé, lors de la formulation RGPD délibérément choisi de renoncer à une définition légale et de laisser cette responsabilité aux utilisateurs, aux autorités de contrôle et à la jurisprudence. En résumé, la discussion porte sur le critère à appliquer pour définir le "lien avec la personne". Si l'on se base uniquement sur la question de savoir si la personne qui traite concrètement les données est responsable Faut-il nier l'existence d'un lien personnel (théorie subjective) ou suffit-il que la possibilité théorique existe pour que quelqu'un établisse un lien personnel de quelque manière que ce soit et en recourant à tous les moyens possibles pour l'affirmer (théories objectives) ?.

Selon le considérant 26 de la RGPD il convient d'abord de considérer les moyens et les connaissances dont dispose l'organisme responsable pour établir le lien avec la personne, mais aussi de vérifier s'il se procurerait raisonnablement des connaissances supplémentaires objectivement et légalement disponibles à cet effet. Le législateur européen tente de trouver un compromis.

Une donnée peut donc être anonyme pour un organisme et permettre d'identifier une personne pour un autre.

En cas de doute, ne considérez donc pas l'ensemble des données comme anonyme et prenez les mesures de sécurité appropriées conformément aux exigences de la RGPD et de la législation nationale en matière de protection des données.

Après avoir examiné de plus près les données anonymes, nous souhaitons maintenant nous intéresser à leur « petit frère », à savoir les données pseudonymisées.

Qu'est-ce qu'une pseudonymisation et que sont les données pseudonymisées ?

Celles-ci sont indirectement mentionnées à l'art. 4, point 5, et nous vous en remercions. RGPD explique. "Pseudonymisation" est décrit comme étant Traitement des données à caractère personnel de telle sorte que les données à caractère personnel ne puissent plus être attribuées à une personne concernée spécifique sans avoir recours à des informations supplémentaires, à condition que ces informations supplémentaires soient conservées séparément et soumises à des mesures techniques et organisationnelles garantissant que les données à caractère personnel ne sont pas attribuées à une personne physique identifiée ou identifiable.

Les données pseudonymisées sont donc données à caractère personnel, dont la référence directe à une personne a été remplacée par un pseudonyme (par exemple „ C3PO “ à la place de „ Martin Mustermann “ ou le numéro d'employé à la place du nom), mais qui reste présente de manière indirecte. Ce pseudonyme peut être converti en une référence directe à une personne à l'aide d'un outil.

Pour déterminer si un ensemble de données a été suffisamment transformé ou pseudonymisé, le contexte actuel joue un rôle, tout comme c'est le cas pour l'évaluation des ensembles de données anonymes. État de la technique un rôle important. Une directive assortie de règles claires ou un logiciel d'aide à la Pseudonymisation et des droits d'accès définis sont nécessaires pour assurer la Pseudonymisation utile.

Quelle est la différence entre les données anonymisées et les données pseudonymisées ?

Contrairement aux données simplement pseudonymisées, les données anonymisées ne contiennent plus de référence personnelle. Elles n'entrent donc plus dans le champ d'application de la directive sur la protection des données. RGPDsi, au moment de l'évaluation, aucune personne physique ne peut être identifiée à l'aide de ces données. Veuillez noter que cette évaluation pourrait toutefois être différente à une date ultérieure.

Contrairement aux données anonymisées, les données pseudonymisées relèvent toujours du champ d'application de la RGPD et d'autres lois sur la protection des données telles que la BDSG et la TTDSG. Pour ces dernières, la référence personnelle est toujours contenue dans le pseudonyme et une personne physique peut toujours être identifiée.

Pourquoi s'intéresser à la pseudonymisation et aux données pseudonymisées ?

Les données pseudonymisées sont certes soumises à la protection des données, mais le traitement des ensembles de données pseudonymisées est plus simple sur le plan de la protection des données. Ainsi, la Pseudonymisation des enregistrements de données comme mesures de protection supplémentaires pouvant être mises en œuvre pour protéger les données à l'aide de Clauses contractuelles types transférées aux États-Unis dans le respect de la protection des données. En outre, la Pseudonymisation de données à caractère personnel une mesure de protection technique et organisationnelle conformément à l'article 32, paragraphe 1, point a) RGPDLa sécurité de la population Traitement des données à caractère personnel.

Lors d'une mise en balance dans le cadre de l'intérêt légitime conformément à l'article 6, paragraphe 1, première phrase, point f), de la loi sur la protection des données, il convient de tenir compte de l'intérêt de la personne concernée. RGPD Si vous n'utilisez que des données pseudonymisées, le résultat sera plutôt en votre faveur.

Grâce à la Pseudonymisation Le traitement des données vous permet en outre de réduire considérablement vos risques en matière de protection des données ainsi que ceux encourus par la personne concernée.

Les avantages sont encore plus grands avec les données anonymisées. Comme mentionné précédemment, les données anonymes vous libèrent des "contraintes" de la protection des données. Vous avez besoin pour Traitement de données anonymisées n'ont pas de base juridique. Elles ne sont notamment pas tenues de respecter les principes de la Minimisation des données et peuvent conserver les ensembles de données anonymisées sans limitation de durée. En cas de vol d'ensembles de données anonymisées, vous n'êtes généralement pas tenu de le signaler à l'autorité de contrôle compétente en matière de protection des données.

Du point de vue de la protection des données, pour chaque analyse ou statistique que vous réalisez ou collectez au sein de votre entreprise, vous devriez vous demander s'il est possible d'utiliser des données anonymisées ou, à tout le moins, pseudonymisées.

Souvent, ces ensembles de données suffisent pour analyser, par exemple, le comportement général des clients ou leurs habitudes de navigation sur les sites web, et pour élaborer des stratégies d'optimisation adaptées.

Notre expérience montre également que les ensembles de données anonymisées et pseudonymisées suffisent souvent amplement pour réaliser, par exemple, des enquêtes statistiques sur les chiffres de vente, le taux d'occupation du parking des employés ou les plats les plus appréciés à la cantine.

Souvent, les collaborateurs développent également de nouvelles approches pour résoudre des problèmes connus lorsqu'ils travaillent avec des ensembles de données anonymisées, car ils ne sont pas limités par l'utilisation de noms réels.

Pour toute question concernant Anonymisation ou Pseudonymisation de vos données clients, Données relatives aux salariés ou d'autres données, nous vous conseillons volontiers.