Ontcijfer dit maar eens: pseudonimisering, encryptie of anonimisering?

10 maart 2021 | dJ Talks

Wat maakt van een gegeven, een persoonsgegeven?  De link naar een identificeerbare, natuurlijke persoon. De hele idee van de GDPR is vervolgens om de rechten en vrijheden van die personen te beschermen. Haal je dus dat persoonlijke karakter weg door die link naar de persoon te verbreken, dan verdwijnt meteen ook het privacyrisico voor die persoon.

Wat is het belang van het onderscheid?

Opdat je verplicht zou zijn om de regels van de GDPR na te leven, moeten er persoonsgegevens in het spel zijn. Wanneer gegevens geanonimiseerd zijn, spreken we niet meer van ‘persoonsgegevens’ en speelt de GDPR niet meer. Hebben we daarentegen te maken met gegevens die gepseudonimiseerd of geëncrypteerd zijn, is dat nog wel het geval.

We weten reeds dat de verwerkingsverantwoordelijke technische en organisatorische maatregelen (TOMs) moet nemen om persoonsgegevens passend te beschermen. In een vorige blog hebben we al besproken dat die gepastheid verschilt van geval tot geval en dat het de taak van de verwerkingsverantwoordelijke is om dit te beoordelen. Encryptie en pseudonimisering zijn voorbeelden van dergelijke TOMs.

Pseudonimisering

Data is gepseudonimiseerd wanneer de identificerende gegevens verwijderd of versleuteld zijn, waardoor de directe link van de data naar het individu doorbroken wordt.

Laten we dit even concreet schetsen. De identificerende gegevens (bv. naam, voornaam, persoonlijk e-mailadres) worden eigenlijk vervangen door een pseudoniem, namelijk een bepaalde cijfer- of lettercode. Enkel niet-identificerende gegevens blijven leesbaar en de identificerende gegevens zelf worden apart bewaard. Volgens dit proces worden oorspronkelijke ‘persoonsgegevens’ (die nog bestonden uit zowel identificerende als niet-identificerende data) omgezet in ‘pseudonieme gegevens’ (een dataset die enkel nog niet-identificerende data bevat). Dit gaat dan vaak opnieuw gepaard met TOMs om ervoor te zorgen dat de herleidbaarheid naar het individu verhinderd blijft, bijvoorbeeld door de apart bewaarde identificerende gegevens te encrypteren.

In tegenstelling tot wat het geval is bij anonimisering, blijft er echter nog steeds een indirecte link bestaan. Technisch gezien is het immers nog steeds mogelijk om de persoon opnieuw te identificeren (‘singling out’), maar hiertoe zal een technische tussenstap noodzakelijk zijn. Het blijft immers mogelijk om die pseudoniemen opnieuw te vertalen en bijgevolg de apart bewaarde identificerende data weer te linken met de niet-identificerende.

Encryptie

Encryptie is ook een TOM! Hierbij worden de persoonsgegevens effectief versleuteld. Dit is een zeer efficiënte manier om data te beveiligen aangezien enkel mensen die beschikken over een geheime sleutel (‘decryption key’) of wachtwoord toegang tot de gegevens krijgen.

Ook hier is de link tussen de gegevens en het individu waarop ze betrekking hebben, niet onomkeerbaar doorbroken. Zelfs al zou de persoon die de encryptie heeft toegepast de enige zijn met de geheime toegangscode, blijft die link mogelijk en speelt dus de GDPR!

Zoals we hierboven hebben aangehaald, kunnen pseudonimisering en encryptie samen worden toegepast. De voordelen van deze TOMs zijn dat het voor de betrokkenen de privacyrisico’s zal verminderen en dat het een hulpmiddel is voor zowel de verwerkingsverantwoordelijke als de verwerkers om hun verplichtingen inzake gegevensbescherming na te komen. Maar in elke concrete situatie zal je nog moeten nagaan of deze, samen dan wel alleen, voldoende bescherming bieden. Vaak zal je nog bijkomende technische en organisatorische maatregelen moeten nemen, zoals regelmatig back-ups verrichten en/of gerichte opleidingen geven aan jouw personeel.

Anonimisering

Anonimisering zorgt ervoor dat er bij de data geen enkele link meer kan worden gelegd naar het individu. De persoon wiens gegevens worden verwerkt, is niet meer identificeerbaar. Vanaf dat moment worden de data niet meer beschouwd als “persoonsgegevens” waardoor de regels van de GDPR niet meer spelen. Er bestaat immers geen privacyrisico meer voor een individu. Cruciaal om van echte anonimisering te spreken, is dat dit proces onomkeerbaar moet zijn. Data blijven voor de GDPR immers nog steeds aangemerkt als persoonsgegevens zolang er ook maar enig risico op re-identificatie (“singling out”) bestaat. In dat geval zal de GDPR dus gewoon van toepassing blijven.

Laat ons het opnieuw concreet schetsen. Bij anonimisering zullen de identificerende gegevens (bv. naam, voornaam, persoonlijk e-mailadres) volledig verwijderd worden, waardoor enkel niet-identificerende gegevens overblijven. Het zal dus niet meer mogelijk zijn om de niet-identificerende gegevens opnieuw te koppelen aan de identificerende gegevens.

Let er wel voor op dat het proces van anonimisering op zich nog onderworpen is aan de GDPR, want op dat moment verwerk je nog ‘persoonsgegevens’ om tot ‘anonieme gegevens’ te komen. Het is pas zodra de gegevens volledig geanonimiseerd zijn, dat de regels van de GDPR niet meer van toepassing zijn.

Conclusie

Als verwerkingsverantwoordelijke moet je goed communiceren met de informatici die de persoonsgegevens voor jouw onderneming beveiligen. Soms gaat men er te snel van uit dat beveiligde gegevens geanonimiseerd zijn, terwijl ze in feite gepseudonimiseerd of geëncrypteerd zijn.

Zoals uitgelegd is dat onderscheid wel degelijk belangrijk, want het maakt het verschil uit of de GDPR regels van toepassing zijn of niet.

Wil je hier meer informatie over, of wens je begeleiding bij het opzetten van je technische en organisatorische maatregelen, dan kan je ons zoals steeds bereiken via hallo@dejuristen.be.

Geschreven door Larissa De Keyser, Trainee deJuristen, en Kris Seyen, Partner deJuristen

Onze diensten

Information Technology

Intellectuele Eigendom

Privacy

e-Compliance

Onze website gebruikt cookies en verzamelt informatie over je bezoek om onze website te verbeteren. Bekijk onze  Cookie verklaring en maak hieronder een keuze.

Cookie settings

Hieronder kan je kiezen welke soorten cookies je toelaat op deze website. Klik op de  "Save cookie settings" knop om je voorkeuren op te slaan.

Functionele cookiesOnze website gebruikt functionele cookies. Deze cookies zijn noodzakelijk om de website te doen werken.

Analytische cookiesOnze website gebruikt analytische cookies om het gebruik van de website te analyzeren en te optimaliseren.

Social media cookiesOnze website plaatst sociale media cookies om 3rd party content to tonen. Deze cookies kunnen mogelijks je persoonlijke data tracken.

Advertentie cookiesOnze website plaatst advertentie cookies om je 3rd party advertenties te tonen op basis van je interesses.

Andere cookiesOnze website plaatste 3rd party cookies van andere 3rd party diensten die geen analytische, social media of advertentie cookies zijn.