Псевдонимизация - Pseudonymization

Псевдонимизация это управление данными и деидентификация процедура, по которой личная информация поля в данные запись заменены одним или несколькими искусственными идентификаторами, или псевдонимы. Единый псевдоним для каждого замененного поля или набора замененных полей делает запись данных менее идентифицируемой, оставаясь при этом подходящей для анализ данных и обработка данных

Псевдонимизация (или псевдонимизация) может быть одним из способов соблюдения Европейский Союз новый Общие правила защиты данных требования к безопасному хранению личных данных.[1] Псевдонимизированные данные могут быть восстановлены в исходное состояние с добавлением информации, которая затем позволяет повторно идентифицировать людей, в то время как анонимные данные никогда не могут быть восстановлены в исходное состояние.[2]

Псевдонимизация - это метод и техника, которые используются экспертами по безопасности или государственными служащими для сокрытия личной идентификационной информации с целью сохранения структуры данных и конфиденциальности информации. Некоторые распространенные примеры конфиденциальной информации включают: почтовый индекс, местонахождение людей, имена людей, расу и пол и т. Д.

Поля данных

Выбор полей данных для псевдонимизации отчасти субъективен. Менее избирательные поля, такие как Дата рождения или Почтовый индекс, также часто включаются, поскольку они обычно доступны из других источников и, следовательно, упрощают идентификацию записи. Псевдонимизация этих менее идентифицирующих полей удаляет большую часть их аналитической ценности и поэтому обычно сопровождается введением новых производных и менее идентифицирующих форм, таких как год рождения или более крупный Почтовый индекс область, край.

Поля данных, которые менее идентифицируют, такие как дата посещения, обычно не псевдонимизируются. Важно понимать, что это происходит потому, что при этом теряется слишком много статистической полезности, а не потому, что данные не могут быть идентифицированы. Например, имея предварительную информацию о нескольких датах посещаемости, легко идентифицировать чьи-либо данные в псевдонимизированном наборе данных, выбрав только тех людей с этим шаблоном дат. Это пример логическая атака.

Слабость псевдонимизированных данных до GDPR для атак на логические выводы обычно не учитывается. Известным примером является Скандал с поисковыми данными AOL. Пример несанкционированной повторной идентификации AOL не требовал доступа к отдельно хранимой «дополнительной информации», которая находилась под контролем контроллера данных, как теперь требуется для псевдонимизации в соответствии с GDPR. См. Ниже новое определение псевдонимизации согласно GDPR.

Для защиты статистически полезных псевдонимизированных данных от повторной идентификации необходимо:

  1. звук информационной безопасности база
  2. контроль риска того, что аналитики, исследователи или другие специалисты по обработке данных вызовут нарушение конфиденциальности

Псевдоним позволяет отслеживать данные до их источника, что отличает псевдонимизацию от анонимизация,[3] где все личные данные, которые могли позволить вернуться, были удалены. Псевдонимизация - это проблема, например, в данных о пациентах, которые необходимо безопасно передавать между клиническими центрами.

Применение псевдонимизации к электронному здравоохранению направлено на сохранение конфиденциальности пациента и конфиденциальности данных. Это позволяет использовать медицинские записи в первую очередь уполномоченными поставщиками медицинских услуг и с сохранением конфиденциальности вторичного использования исследователями.[4] В США, HIPAA содержит рекомендации о том, как следует обрабатывать медицинские данные, а деидентификация или псевдонимизация данных - один из способов упростить соблюдение HIPAA.[5] Однако простая псевдонимизация для сохранения конфиденциальности часто достигает своих пределов, когда генетические данные вовлечены (см. также генетическая конфиденциальность ). Из-за идентифицирующего характера генетических данных обезличивания часто недостаточно, чтобы скрыть соответствующее лицо. Возможные решения - сочетание псевдонимизации с фрагментацией и шифрование.[6]

Примером применения процедуры псевдонимизации является создание наборов данных для деидентификация исследования путем замены идентификация слова на слова из той же категории (например, замена имени случайным именем из словаря имен),[7][8][9] однако в этом случае, как правило, невозможно отследить данные до их источника.

Новое определение псевдонимизации согласно GDPR

Начиная с 25 мая 2018 г., Общий регламент ЕС по защите данных (GDPR) впервые определяет псевдонимизацию на уровне ЕС в статье 4 (5). В соответствии с требованиями к определению статьи 4 (5) данные считаются псевдонимными, если они не могут быть отнесены к конкретному субъекту данных без использования отдельно хранимой «дополнительной информации». Псевдонимизированные данные олицетворяют современные достижения в области защиты данных по дизайну и по умолчанию, поскольку они требуют защиты как прямых, так и косвенных идентификаторов (не только прямых). Принципы GDPR Data Protection by Design и по умолчанию, воплощенные в псевдонимизации, требуют защиты как прямых, так и косвенных идентификаторов. и косвенные идентификаторы, чтобы на личные данные нельзя было ссылаться (или повторно идентифицировать) через Эффект мозаики без доступа к «дополнительной информации», которая хранится отдельно контроллером. Поскольку доступ к отдельно хранимой «дополнительной информации» требуется для повторного -идентификация, отнесение данных к конкретному субъекту данных может быть ограничено контролером только для поддержки законных целей.

Статья 25 (1) GDPR определяет псевдонимизацию как «соответствующие технические и организационные меры»И Статья 25 (2) требует, чтобы контролеры:

«… Принять соответствующие технические и организационные меры для обеспечения того, чтобы по умолчанию обрабатывались только те личные данные, которые необходимы для каждой конкретной цели обработки. Это обязательство распространяется на объем собранных персональных данных, объем их обработки, срок их хранения и их доступность. В частности, такие меры должны гарантировать, что по умолчанию личные данные не станут доступными без вмешательства отдельного лица неопределенному кругу физических лиц ».

Центральным ядром защиты данных по замыслу и по умолчанию в соответствии со статьей 25 GDPR является обеспечение контроля за технологиями, которые поддерживают соответствующее использование и способность продемонстрировать, что вы действительно можете сдержать свои обещания. Такие технологии, как псевдонимизация, которые обеспечивают защиту данных по дизайну и по умолчанию, показывают отдельным субъектам данных, что помимо разработки новых способов извлечения ценности из данных, организации применяют не менее инновационные технические подходы к защите конфиденциальности данных - это особенно деликатная и актуальная проблема. эпидемия нарушений безопасности данных по всему миру.

Яркие и растущие области экономической деятельности - «экономика доверия», исследования в области наук о жизни, персонализированная медицина / образование, Интернет вещей, персонализация товаров и услуг - основаны на уверенности людей в том, что их данные являются конфиденциальными, защищенными и используются только для соответствующих целей, которые приносят им и обществу максимальную ценность. Это доверие невозможно сохранить, используя устаревшие подходы к защите данных. Псевдонимизация, как новое определение в GDPR, - это средство, помогающее достичь защиты данных по дизайну и по умолчанию для завоевания и поддержания доверия и более эффективного обслуживания предприятий, исследователей, поставщиков медицинских услуг и всех, кто полагается на целостность данных.

Псевдонимизация, совместимая с GDPR, не только обеспечивает большее использование данных с соблюдением конфиденциальности в сегодняшнем мире «больших данных» обмена и объединения данных, но также позволяет контроллерам и обработчикам данных получать явные преимущества в соответствии с GDPR для правильно псевдонимизированных данных. Псевдонимизированные данные выделены в нескольких статьях GDPR, в том числе:

  • Статья 6 (4) в качестве гарантии, помогающей обеспечить совместимость обработки новых данных.
  • Статья 25 как техническая и организационная мера, помогающая обеспечить соблюдение принципов минимизации данных и соблюдения обязательств по защите данных по дизайну и по умолчанию.
  • Статьи 32, 33 и 34 в качестве меры безопасности, помогающей предотвратить утечки данных, «вряд ли приведшие к риску для прав и свобод физических лиц», тем самым снижая ответственность и обязательства по уведомлению в случае утечки данных.
  • Статья 89 (1) в качестве гарантии в связи с обработкой в ​​архивных целях в общественных интересах; научные или исторические исследовательские цели; или в статистических целях; более того, преимущества псевдонимизации в соответствии со статьей 89 (1) также обеспечивают большую гибкость в отношении:
    1. Статья 5 (1) (b) в отношении ограничения цели;
    2. Статья 5 (1) (e) в отношении ограничения хранения; и
    3. Статья 9 (2) (j) в отношении преодоления общего запрета на обработку специальных категорий персональных данных, предусмотренных статьей 9 (1).
  • Кроме того, должным образом псевдонимизированные данные признаются в Мнении Рабочей группы по статье 29 06/2014 как играющие «… роль в оценке потенциального воздействия обработки на субъект данных ... склоняющий чашу весов в пользу контролера. ”Для поддержки обработки законных интересов в качестве правовой основы согласно статье 6 (1) (f) GDPR. Выгоды от обработки персональных данных с использованием псевдонимного законного интереса в качестве правовой основы согласно GDPR включают, помимо прочего:
    1. В соответствии со статьей 17 (1) (c), если контролер данных показывает, что у него «преобладающие законные основания для обработки», подкрепленные техническими и организационными мерами для удовлетворения критерия сбалансированности интересов, он имеет большую гибкость в выполнении требований о праве на забвение. .
    2. В соответствии со статьей 18 (1) (d), контролер данных может гибко удовлетворять требования об ограничении обработки персональных данных, если он может показать, что у него есть технические и организационные меры, чтобы права контролера данных должным образом преобладали над правами субъект данных, потому что права субъектов данных защищены.
    3. В соответствии со статьей 20 (1) контроллеры данных, использующие обработку законных интересов, не подпадают под право на переносимость, которое применяется только к обработке на основе согласия.
    4. В соответствии со статьей 21 (1), контроллер данных, использующий обработку законного интереса, может показать, что у него есть соответствующие технические и организационные меры, чтобы права контроллера данных должным образом преобладали над правами субъекта данных, поскольку права субъектов данных защищены; однако субъекты данных всегда имеют право в соответствии со статьей 21 (3) не получать прямую маркетинговую информацию в результате такой обработки.

Смотрите также

использованная литература

  1. ^ Наука о данных в соответствии с GDPR с псевдонимизацией в конвейере данных Опубликовано Dativa, 17 апреля 2018 г.
  2. ^ Псевдонимизация против анонимности и как они помогают с GDPR Опубликовано: января 2017 г. Дата обращения 20 апреля 2018 г.
  3. ^ http://dud.inf.tu-dresden.de/literatur/Anon_Terminology_v0.31.pdf Анонимность, невозможность связывания, необнаруживаемость, ненаблюдаемость, псевдонимность и управление идентификацией - сводное предложение по терминологии
  4. ^ Neubauer, T; Heurix, J (март 2011 г.). «Методология псевдонимизации медицинских данных». Int J Med Inform. 80 (3): 190–204. Дои:10.1016 / j.ijmedinf.2010.10.016. PMID  21075676.
  5. ^ «Деидентификация данных - более простой способ обеспечить соответствие требованиям HIPAA». www.truevault.com.
  6. ^ http://www.xylem-technologies.com/2011/09/07/privacy-preserving-storage-and-access-of-medical-data-through-pseudonymization-and-encryption Хранение медицинских данных с сохранением конфиденциальности и доступ к ним с помощью псевдонимизации и шифрования
  7. ^ Неаматулла, Ишна; Дуглас, Маргарет М; Ли-вэй; Lehman, H; Рейснер, Эндрю; Вильярро, Маурисио; Лонг, Уильям Дж; Соловиц, Петр; Муди, Джордж Б; Марк, Роджер Джи; Клиффорд, Гари Д. (2008). «Автоматическая деидентификация произвольных медицинских записей». BMC Медицинская информатика и принятие решений. 8: 32. Дои:10.1186/1472-6947-8-32. ЧВК  2526997. PMID  18652655.
  8. ^ org / Physiotools / deid / doc / ishna-meng-thesis.pdf
  9. ^ Делегер, Л; и другие. (2014). «Подготовка аннотированного корпуса золотого стандарта для передачи его заочным следователям для исследования деидентификации». Дж Биомед Информ. 50: 173–183. Дои:10.1016 / j.jbi.2014.01.014. ЧВК  4125487. PMID  24556292.