Персональные данные: разбираемся в GDPR

90% мировых данных было создано за последние 2 года. Все больше и больше данных поступает через IoT-устройства – это причина экспоненциального увеличения персональных данных.

Сегодня эти данные стали более легкодоступными и более приемлемыми по цене для обработки и хранения, чем когда-либо прежде. В результате многие компании собирают значительные объемы персональных данных о людях. Но наша способность собирать и хранить личные данные возросла быстрее, чем способность продумывать, как управлять ими и защищать их.

Чтобы узнать больше о понятии «персональные данные», почему об этих данных говорят в новостях и почему они жестко регулируются Общим положением о защите данных (GDPR), мы пообщались с Джеем Экзэмом, юристом по вопросам конфиденциальности в SAS.

Что означает термин «персональные данные» и каково его юридическое определение в соответствии с GDPR?

Инстинктивно большинство людей путают значения, когда пытаются понять, что такое «персональные данные». Например, вы можете подумать о номере вашего рабочего телефона, а не о вашем «более личном» номере социального страхования. В рамках GDPR следует размышлять иначе.

Общее положение о защите данных использует чрезвычайно широкое определение персональных данных. Это не зависит от того, к какой категории относятся данные, и не имеет значения, насколько они конфиденциальны. «Персональный» не означает «конфиденциальный».

Регулирование GDPR касается не только данных, которые вы считаете персональными. Речь идет о данных, которые могут быть связаны с вами как с личностью. GDPR определяет персональные данные как любую информацию, которая относится к идентифицированному или идентифицируемому лицу. Довольно широкое понятие. Это означает, что если данные привязаны к конкретному человеку – даже если для их получения требуются дополнительные шаги (например, наличие ключа шифрования или другие знания) – это персональные данные.

Подумайте об IP-адресе, который ваш компьютер использует для подключения к Интернету. Если кто-то увидит этот адрес, он не узнает, кто его использует. Но с учетом дополнительной информации можно будет привязать этот IP-адрес к вам. Таким образом, согласно GDPR, IP-адрес является косвенно идентифицируемой персональной информацией.

Идентифицируемая личная информация (PII) и персональные данные – это одно и то же?

Определение термина «идентифицируемая личная информация» является неоднозначным. В большинстве случаев люди определяют PII одним из двух способов: либо вновь мыслят категориями, либо рассуждают, насколько легко информация может ассоциироваться с ними. Определение «персональных данных» с точки зрения GDPR , наоборот, не зацикливается на этих двух вариантах. Оно охватывает все, что даже теоретически может быть привязано к человеку.

Рассмотрим общедоступную социальную сеть. Многие скажут, что это не личные данные, потому что они не являются частными или конфиденциальными – в конце концов, они уже опубликованы. Но они по-прежнему связаны с вами как с личностью, потому что они связаны с вашими учетными записями в Твиттере и электронной почтой. В конечном счете с их помощью можно найти вас. Согласно GDPR, это личные данные.

В GDPR говорится о контроллере данных и процессоре данных. Что означают эти термины и какую роль играют контроллеры и процессоры в защите персональных данных?

Определение процессора в GDPR такое же широкое, как и определение персональных данных. Практически все, что вы можете себе представить – любая деятельность, связанная с личными данными – заключает в себе обработку. Это не просто компьютерные операции; необязательно даже включать компьютер. Обработка включает в себя сбор, хранение, предоставление доступа и резервное копирование данных, цифровых или иных. Даже если вы просто просматриваете личные данные с удаленного соединения, это все равно считается «обработкой» данных.

Согласно GDPR, и контроллеры, и процессоры «обрабатывают» персональные данные. Но контролер данных – это сторона, уполномоченная решать, что происходит с данными. Процессор делает что-то конкретное с данными по поручению контроллера.

Например, контроллеры решают, с кем поделиться своими данными и как они будут использоваться. SAS является контролером для своих кадровых данных. Мы решаем, кем будут наши «обработчики» – например, поставщики заработной платы или поставщики медицинских услуг. Но иногда SAS также является процессором данных, например, когда мы размещаем данные клиента в организованной среде.

GDPR возлагает основную ответственность на контроллеров. Например, контроллер отвечает на запрос субъекта данных быть забытыми или нет. Но контроллеры данных должны убедиться, что они работают с авторитетными процессорами, которые позволят им отвечать на подобные запросы.

В GDPR говорится, что как контроллеры, так и процессоры могут быть привлечены к ответственности за неправильное обращение с личными данными в некоторых случаях. Хотя контролеры могут нести главную ответственность во многих отношениях в рамках GDPR, сами «обработчики» данных несут прямую ответственность.

Можно ли скрыть личные данные или сделать их анонимными? Будет ли это достаточной защитой персональных данных в рамках GDPR?

Во-первых, важно отличать «анонимные» данные от «псевдонимных». Истинно анонимные данные не регулируются GDPR, но GDPR строго относится к тому, что это значит. Данные могут быть анонимными только в том случае, если было бы практически невозможно идентифицировать человека с помощью оставшихся данных. Такую ситуацию сложно представить.

Псевдонимные данные раскрыть очень трудно, но возможно. Подумайте о списке сотрудников и их зарплатах. Вы можете использовать сложный алгоритм для шифрования идентифицирующей информации, чтобы никто не мог ее интерпретировать без ключа. Это конфиденциально. Но даже если данные не могут быть прочитаны или доступны для человека после определенного процесса, это все же личные данные, потому что где-то существуют ключи для разблокировки этих данных.

Нет простого ответа на вопрос, является ли псевдонимность «достаточной». Во-первых, есть много разных способов сделать это, и они все по-разному защищают. Во-вторых, GDPR ожидает, что вы будете использовать меры конфиденциальности, которые соответствуют характеру информации и процессу обработки. Таким образом, ваши усилия могут быть достаточными в сценарии со средней деликатностью, но не в сценарии с высокой деликатностью.

Должен ли я отказаться от попыток деидентификации личных данных? Что еще я могу сделать, чтобы защитить личные данные?

Нельзя легко получить доступ к личным данным, как это определено в GDPR, но псевдонимировать ваши данные – это хорошая идея, когда это целесообразно. Даже несмотря на то, что GDPR все равно считает такие данные персональными, деидентификация данных означает, что вы предпринимаете шаги для защиты конфиденциальности. И это хорошо.

Существует также много других способов защиты личных данных. Просто выделю несколько: вы можете контролировать доступ к личным данным; при необходимости использовать шифрование; поддерживать разумную политику управления; проверять, что вы не собираете и не используете больше персональных данных, чем вам необходимо; и безопасно распоряжаться ими, когда нет больше веских причин их хранить.