Pseudonimizacja danych osobowych wg RODO - skorzystaj z wytycznych EROD

Opracowanie: Michał Kowalski

RODO wprowadza pojęcie pseudonimizacji i opisuje je jako środek ochrony, który może być właściwy i skuteczny w wypełnianiu obowiązków związanych z ochroną danych osobowych. W swoich wytycznych EROD przedstawia definicję oraz zastosowanie pseudonimizacji i danych jej poddanych, a także korzyści płynące z tego rozwiązania. W odróżnieniu od anonimizacji danych pseudonimizacja nie służy do usuwania danych osobowych.

W wytycznych wyjaśniono, czym są dane pseudonimowe. Dane te mogą być przypisane do konkretnej osoby fizycznej za pomocą dodatkowych informacji, nadal są związane z możliwą do zidentyfikowania osobą fizyczną, a więc wciąż są danymi osobowymi. Jeśli bowiem dane mogą być powiązane z osobą przez administratora lub inną osobę, to pozostają one danymi osobowymi. Pseudonimizacja jest więc przejawem przetwarzania danych osobowych.

EROD wskazuje też, że pseudonimizacja może zmniejszać ryzyko i ułatwiać korzystanie z prawnie uzasadnionego interesu jako podstawy prawnej (art. 6 ust. 1 lit. f RODO), o ile spełnione są wszystkie inne wymagania RODO. Dodatkowo, pseudonimizacja może wspierać administratora danych w zapewnieniu zgodności z pierwotnym celem przetwarzania danych (art. 6 ust. 4 RODO).

Rada wyjaśnia, w jaki sposób pseudonimizacja może wspierać organizacje w realizacji ich obowiązków dotyczących stosowania zasad ochrony danych (art. 5 RODO), ochrony danych w fazie projektowania oraz domyślnej ochrony danych (art. 25 RODO), a także zapewnienia bezpieczeństwa (art. 32 RODO).

W wytycznych przeanalizowano techniczne środki i zabezpieczenia wykorzystywane podczas pseudonimizacji w celu zapewnienia poufności oraz zapobiegania nieautoryzowanej identyfikacji osób.

EROD przyjęła także stanowisko w sprawie powiązań między prawem ochrony danych a prawem konkurencji, dotyczące poprawy współpracy między organami regulacyjnymi. EROD proponuje działania, które pozwolą na uwzględnienie aspektów rynkowych i konkurencyjnych w praktykach związanych z ochroną danych oraz na wdrożenie zasad ochrony danych w oceny dotyczące konkurencyjności. EROD sugeruje także rekomendacje dotyczące ulepszenia współpracy między organami regulacyjnymi. Przykładowo organy powinny rozważyć utworzenie pojedynczego punktu kontaktowego do zarządzania koordynacją z innymi regulatorami.