Seudonimizazioa datuen babesaren praktikan nahasmen gehien sortzen duen kontzeptuetako bat da. Egunero erabiltzen da txostenetan, esportazioetan, software-proba inguruneetan eta analisi-proiektuetan, eta askotan anonimizazioarekin nahasten da. Bien arteko aldea ez da ñabardura tekniko bat: RGPD datu horiei aplikatzen zaien ala ez zehazten du.
Bereizketa argia da arauan, baina askotan gaizki interpretatzen da. Seudonimizatutako datuek datu pertsonalak izaten jarraitzen dute: informazio gehigarria erabiliz pertsona bati berriro egotzi dakizkioke, eta, beraz, RGPD osorik aplikatzen zaie. Benetan anonimoak diren datuak soilik —berridentifikatzea itzulezina denak— geratzen dira RGPDren esparrutik kanpo. Eta benetako anonimizazioa lortzea uste ohi dena baino askoz zailagoa da.
Laburbilduz
- Seudonimizazioak (RGPDren 4.5 art.) identifikatzaileak seudonimo batez ordezkatzen ditu, baina pertsona berridentifikatzea ahalbidetzen duen informazioa bereizita mantentzen du.
- Seudonimizatutako datuek datu pertsonalak izaten jarraitzen dute eta RGPD osorik aplikatzen zaie (26. zioa).
- Anonimizazio erreala itzulezina da: lortzen denean, datuak jada ez dira pertsonalak eta RGPDren esparrutik kanpo geratzen dira. Teknikoki zorrotza da eta lortzen zaila.
- Seudonimizazioa segurtasun neurri indartu bat da (32. art.) eta diseinuzko datuen babesaren adibide bat (25. art.). Ez du betetzetik salbuesten, baina arriskua murrizten du.
Zer da seudonimizazioa RGPDren arabera (4.5 art.)
RGPDk seudonimizazioa berariaz definitzen du bere 4. artikuluko 5. apartatuan. Manu horren arabera, seudonimizazioa datu pertsonalak modu batez tratatzea da, non jada ezin diren interesdun bati egotzi informazio gehigarria erabili gabe, betiere informazio gehigarri hori bereizita agertzen bada eta datuak identifikatutako edo identifikagarria den pertsona fisiko bati egozten ez zaizkiola bermatzen duten neurri tekniko eta antolakuntzakoen mende badago.
Definizio legalaren ideia nagusia da seudonimizazioak ez duela lotura hausten datuaren eta pertsonaren artean: bereizi eta babesten du. Pieza bat dago —informazio gehigarria, ohikoa korrespondentzia-taula bat edo gako bat— prozesua desegin eta banako bakoitza berriro identifikatzea ahalbidetzen duena. Pieza hori nonbait dagoen bitartean, berridentifikatzea posible da.
Eguneroko adibide bat: enpresa batek bere analisi-datu baseko bezeroen izenak eta NANak kodeez ordezkatzen ditu (CLI-00817, CLI-00818…) eta kode bakoitza pertsona errealarekin lotzen duen taula fitxategi zifratu batean gordetzen du, sarbide mugatuarekin, beste zerbitzari batean. Analisi-datuak seudonimizatuta daude. Baina korrespondentzia-taula existitzen denez, erregistro horiek pertsona identifikagarriei erreferentzia egiten jarraitzen dute.
Zer da anonimizazioa eta zergatik den desberdina
Anonimizazioak helburu desberdin bat bilatzen du: datuak pertsona zehatz batekin lotzeko edozein aukera modu itzulezinean ezabatzea. Benetan anonimoa den datu bat identifikatutako edo identifikagarria den pertsona fisiko batekin jada harremanik ez duena da, ezta arrazoizko baliabide gehigarriak erabiliz ere.
RGPDk gai hori bere 26. zioan lantzen du, non ezartzen den datuen babesaren printzipioak ez zaizkiola informazio anonimoari aplikatzen, hau da, identifikatutako edo identifikagarria den pertsona batekin harremanik ez duen informazioari, ezta interesduna identifikagarria ez izateko edo izateari uzteko moduan anonimo bihurtutako datuei ere. Beste era batera esanda: anonimizazioa erreala denean, datu horiek jada ez dira datu pertsonalak eta RGPDren aplikazio-esparrutik kanpo geratzen dira.
26. zio berak norbait noiz den "identifikagarria" baloratzeko irizpide erabakigarria sartzen du: kontuan hartu behar dira arduradunak edo beste edozein pertsonak zuzenean edo zeharka pertsona identifikatzeko arrazoiz erabil ditzakeen baliabide guztiak, kostua, beharrezko denbora eta eskuragarri dagoen teknologia bezalako faktore objektiboak kontuan hartuta. Horregatik da benetako anonimizazioa hain zorrotza: ez da nahikoa izena ezabatzea; bermatu behar da gainerako datuen inolako konbinaziok, arrazoiz eskuragarri diren beste iturri batzuekin gurutzatuta, ez duela inor berriro identifikatzea ahalbidetzen.
Funtsezko aldea: zein datuk jarraitzen duten RGPDren pean eta zeinek ez
Hemen dago akats gehien eragiten dituen puntua. Bi tekniken ondorio juridikoa erabat desberdina da:
- Seudonimizatutako datuak → datu pertsonalak izaten jarraitzen dute. RGPDren 26. zioa esplizitua da: informazio gehigarria erabiliz pertsona fisiko bati egotzi dakizkiokeen datu pertsonal seudonimizatuak pertsona fisiko identifikagarri bati buruzko informaziotzat hartu behar dira. Beraz, RGPD osorik aplikatzen zaie: legitimazio-oinarria, informatzeko betebeharra, interesdunen eskubideak, segurtasun betebeharra, urraketen jakinarazpena, etab.
- Benetan anonimoak diren datuak → RGPDtik kanpo. Anonimizazioa erreala eta itzulezina bada, datu horiek jada ez dira datu pertsonalak eta ez daude Erregelamenduaren mende (26. zioa). Hala ere, datu multzo bati "anonimo" deitzeak ez du horrelako bihurtzen: berridentifikatzeko edozein bide arrazoizko existitzen bada, datu pertsonala izaten jarraitzen du.
Muga ez du prozesuari jartzen diogun etiketak markatzen, benetako itzulgarritasunak baizik. Pertsona berriro identifikatzeko bide arrazoizko bat existitzen den bitartean —edonoren esku, ez soilik arduradunaren—, datu pertsonalen aurrean gaude eta RGPD indarrean dago.
Konparazio-taula: seudonimizazioa vs anonimizazioa
| Irizpidea | Seudonimizazioa | Anonimizazioa |
|---|---|---|
| Itzulgarritasuna | Itzulgarria informazio gehigarriarekin | Itzulezina (erreala denean) |
| Datu pertsonala izaten jarraitzen du? | Bai, beti | Ez, izateari uzten dio |
| RGPD aplikatzen da? | Bai, osorik | Ez (26. zioa) |
| Arau-oinarria | RGPDren 4.5 art. (definizioa) | RGPDren 26. zioa |
| Izaera juridikoa | Segurtasun eta minimizazio neurria | Datuak RGPDren esparrutik baztertzeko bidea |
| Datuaren erabilgarritasuna | Ia osorik mantentzen da | Murriztu egiten da (granularitate galera) |
| Egikaritze zailtasuna | Ertaina | Handia: itzulezintasuna bermatzea zorrotza da |
Seudonimizazioa segurtasun eta minimizazio neurri gisa
Seudonimizatutako datuek RGPDren pean jarraitzen badute ere, seudonimizatzea ez da ahalegin antzua. Alderantziz: Erregelamenduak berak berariaz aipatzen dituen neurri teknikoetako bat da eta hainbat betebehar aldi berean betetzen laguntzen du.
Tratamenduaren segurtasun neurria (32. art.)
RGPDren 32. artikuluak, tratamenduaren segurtasunari eskainia, seudonimizazioa aipatzen du —zifratzearekin batera— arriskuari egokitutako segurtasun maila bermatzeko neurri tekniko eta antolakuntzako egokien adibideetako bat gisa. Bere logika eragina murriztea da: hirugarren batek modu ez-egokian seudonimizatutako datu multzo batera sartzen bada baina bereizita gordetzen den korrespondentzia-taula ez badu, pertsonentzako balizko kaltea nabarmen txikiagoa da datu osoetara sartuko balitz baino.
Diseinuzko datuen babesa (25. art.)
RGPDren 25. artikuluak, diseinuzko eta lehenetsitako datuen babesari buruzkoak, seudonimizazioa ere aipatzen du arduradunak bere tratamenduetan datuen babesaren printzipioak lehen unetik txertatzeko aplika dezakeen neurri zehatz baten adibide gisa. Datu zuzenen ordez identifikatzaile seudonimizatuekin lan egiten duen sistema bat diseinatzea printzipio hori aplikatzeko modu praktiko bat da.
Minimizazio printzipioaren babesa
Seudonimizazioak datuen minimizazioaren printzipioari ere laguntzen dio (RGPDren 5.1.c art.): eragiketa asko —analisia, barne estatistika, software garapena, txostenak— identifikatzaile zuzenak erabili beharrik gabe egitea ahalbidetzen du. Datu horiekin lan egiten duen langileriak ez du pertsona bakoitzaren benetako izena ikusi behar bere eginkizuna betetzeko, eta horrek esposizioa murrizten du.
"Ikusten dugun akatsik ohikoena ez da teknikoa, kontzeptuala baizik: izen bat kode batez ordezkatzeak datuak legetik kanpo jartzen dituela sinestea. Ez da horrela. Norbaitek, nonbait, prozesua alderantzikatzeko gakoa gordetzen badu, datu pertsonalak tratatzen jarraitzen duzu eta haiengatik erantzuten duzu. Seudonimizatzeak babesten du; benetan anonimizatzeak askatzen du. Bi gauzak nahastea neurtu ez den arrisku bat hartzea da."
Mario P. Talamillo · Zuzendari bazkidea, Certix®
Ohiko erabilera kasuak
Seudonimizazioa bereziki ondo egokitzen da pertsonen identitate zuzena agerian utzi gabe benetako datuekin lan egin behar den agertokietan:
- Software garatzeko eta probatzeko inguruneak. Bezeroen benetako datuak proba-ingurune batean isuri beharrean, identifikatzaileak seudonimizatzen dira arriskua murrizteko. Urrezko araua benetako datuak probetan ez erabiltzea da saihesgarria denean; erabiltzen badira, seudonimizazioa gutxieneko bat da.
- Analisia eta barne estatistika. Portaera, errendimendua edo segmentazioa aztertzen dituzten sailek identifikatzaile seudonimizatuen gainean jardun dezakete benetako izenetara sartu gabe.
- Ikerketa. Parte-hartzaileen datuak tratatzen dituzten proiektuek ohikoa dute erregistroak seudonimizatzea eta berridentifikatzea ahalbidetzen duen gakoa bereizita zaintzea, sarbide oso mugatuarekin.
- Datuak tratamenduaren enkargatzaileekin partekatzea. Informazioa hornitzaile bati zeregin zehatz baterako helarazten zaionean, seudonimizatzeak hark erabiltzen dituen datu identifikatzaileen bolumena murrizten du.
- Urraketen eragina murriztea. Arriskuan jarritako multzo seudonimizatu batek, informazio gehigarririk gabe, askoz gutxiago erakusten du identifikatzaile zuzenak dituen batek baino.
Seudonimizazio teknika ohikoenak
Seudonimizatzeko modu desberdinak daude, berme desberdinekin. Oro har, gehien erabiltzen direnak hauek dira:
- Korrespondentzia-taularen bidezko ordezkapena. Identifikatzaile bakoitza kode batez ordezkatzen da eta kodea eta pertsona lotzen dituen taula bereizita, zifratuta, gordetzen da. Definizioz itzulgarria da taula hori existitzen den bitartean.
- Tokenizazioa. Identifikatzaileak token-ez ordezkatzen dira, token eta jatorrizko datuaren arteko harremana biltegi babestu batean gordetzen duen sistema batek sortu eta kudeatuak.
- Gakodun hash funtzioak. Identifikatzailea eraldatzen duen funtzio kriptografiko bat aplikatzen da. Bere sendotasuna teknika zehatzaren eta gakoaren kudeaketaren araberakoa da: behar diren neurriak hartu gabe, hash batzuk indar gordineko edo hiztegi-erasoen aurrean ahulak izan daitezke, eta, beraz, haien egokitasuna kasuz kasu baloratzen da.
- Identifikatzaileen zifratzea. Identifikatzaileak bereizita zaintzen den gako batekin zifratzen dira. Gakoa ez duenak ezin du prozesua alderantzikatu.
Guztietan, elementu kritikoa ez da soilik algoritmoa, baizik eta informazio gehigarria nola babesten eta bereizten den (taula, tokena, gakoa). Pieza hori gaizki gordetzen bada —sistema berean, sarbide kontrolik gabe, zifratu gabe—, seudonimizazioak bere baliotik zati handi bat galtzen du.
Ohiko akatsak: seudonimizatzea anonimizatzea dela uste denean
Gaizki-ulertu zabalduena, eta ondorio handienak dituena, seudonimizatutako datuak anonimoak balira bezala tratatzea da. Hortik beste akats ohiko batzuk eratortzen dira:
| Akatsa | Zergatik den arazo bat |
|---|---|
| Seudonimizatutako datuei "anonimo" deitzea | Oker suposatzen da RGPDtik kanpo geratzen direla eta bere bermeak aplikatzeari uzten zaio (informazioa, eskubideak, segurtasuna). |
| Korrespondentzia-taula datuen ondoan gordetzea | 4.5 art.-ak informazio gehigarria bereizita eta babestuta mantentzeko eskatzen duena hausten du. Seudonimizazioak eraginkortasuna galtzen du. |
| Izena ezabatzea nahikoa dela uste izatea | Gainerako datuen konbinazioek (posta kodea, data, sexua, etab.) berridentifikatzea ahalbidetu dezakete. Identifikagarritasuna arrazoizko baliabide guztien bidez ebaluatzen da (26. zioa). |
| Berridentifikagarria den multzo bat "anonimo" gisa argitaratzea | Berridentifikatzeko edozein bide arrazoizko existitzen bada, datu pertsonala izaten jarraitzen du eta bere zabalkundea RGPDren mendeko tratamendua da. |
| Seudonimizazioa zifratzearekin nahastea | 32. art.-ko neurri desberdinak dira helburu desberdinekin; komeni da bakoitzak zer ekartzen duen ulertzea eta, askotan, konbinatzea. |
Egiaztapen zerrenda praktikoa
Datu multzo bat seudonimizatutzat edo anonimizatutzat eman aurretik, komeni da puntu hauek berrikustea:
| ✓ | Egiaztapena | Erreferentzia |
|---|---|---|
| □ | Helburua seudonimizatzea (arriskua murriztu, tratatzen jarraitu) edo anonimizatzea (RGPDtik atera) den zehaztea | 4.5 art. · 26. zioa |
| □ | Informazio gehigarria bereizita, zifratuta eta sarbide mugatuarekin mantentzea | RGPDren 4.5 art. |
| □ | Seudonimizatutako datuak datu pertsonal gisa tratatzea RGPDren ondorio guztietarako | RGPDren 26. zioa |
| □ | Anonimizazioan, berridentifikazioa arrazoizko baliabide guztien bidez baloratzea (beste iturri batzuekin gurutzatzea) | RGPDren 26. zioa |
| □ | Erabilitako teknika eta bere justifikazioa segurtasun neurrien barruan dokumentatzea | RGPDren 32. art. |
| □ | Seudonimizazioa sistema eta tratamendu berrien diseinuan txertatzea | RGPDren 25. art. |
| □ | Aldizka berrikustea teknika egokia den berridentifikatzeko gaitasun berrien aurrean | 32. art. (arriskuan oinarritutako etengabeko ebaluazioa) |
Seudonimizazioa, anonimizazioa eta RGPDren gainerakoa
Bi teknika hauek ez dute hutsean funtzionatzen: Erregelamenduaren betebehar multzoarekin lotzen dira. Marko osoan kokatu nahi badituzu —5. art.-ko printzipioak, legitimazio-oinarriak, interesdunen eskubideak, segurtasun betebeharrak eta zigor erregimena—, gure RGPDren gida osoa kontsulta dezakezu, tratamenduaren segurtasuna (32. art.) eta diseinuzko datuen babesa (25. art.) arauaren sistema orokorrean nola txertatzen diren garatzen duena.
Seudonimizatzeko edo anonimizatzen saiatzeko erabakia, eta teknika zehatzaren aukeraketa, tratamenduaren, arriskuaren eta bilatzen den helburuaren araberakoak dira. Ez da erabaki meramente tekniko bat: ondorio juridiko zuzenak ditu RGPD aplikatzen jarraitzen den ala ez eta erakundeak zer betebehar hartzen dituen zehazteari dagokionez.
Seudonimizazioari eta anonimizazioari buruzko ohiko galderak
Seudonimizatutako datuak RGPDtik kanpo daude?
Ez. Seudonimizatutako datuek datu pertsonalak izaten jarraitzen dute eta RGPD osorik aplikatzen zaie. RGPDren 4.5 artikuluak eta 26. zioak argitzen dute informazio gehigarria erabiliz pertsona bati egotzi dakiokeen informazio seudonimizatua pertsona identifikagarri bati buruzko informaziotzat hartzen dela. Anonimizazio erreal eta itzulezinak soilik uzten ditu datuak Erregelamenduaren esparrutik kanpo.
Zer alde dago seudonimizazioaren eta anonimizazioaren artean?
Seudonimizazioak identifikatzaileak seudonimo batez ordezkatzen ditu baina berridentifikatzea ahalbidetzen duen informazio gehigarria bereizita gordetzen du; horregatik datuak pertsonalak izaten jarraitzen dute. Anonimizazioak berridentifikatzeko edozein aukera modu itzulezinean ezabatzen du, eta, beraz, datuak jada ez dira pertsonalak eta RGPDtik kanpo geratzen dira (26. zioa). Benetako anonimizazioa teknikoki zorrotza da eta lortzen zaila.
Seudonimizatzea datuak zifratzearen gauza bera da?
Ez dira gauza bera, biak RGPDren 32. artikuluan aipatutako segurtasun neurriak diren arren. Zifratzeak datuak gako batekin eraldatzen ditu, gakorik ez duenarentzat irakurtezin bihurtzeko. Seudonimizazioak identifikatzaile zuzenak seudonimo batez ordezkatzen ditu, datuaren erabilgarritasuna tratamendurako mantenduz. Askotan konbinatu egiten dira: multzoa seudonimizatzen da eta prozesua alderantzikatzea ahalbidetzen duen korrespondentzia-taula zifratzen da.
Zergatik da baliagarria seudonimizazioa datuak pertsonalak izaten jarraitzen badute?
Pertsonentzako arriskua murrizten duelako eta RGPDren hainbat betebehar betetzen laguntzen duelako: 32. artikuluan berariaz aipatutako segurtasun neurria da, 25. artikuluko diseinuzko datuen babesaren adibide bat eta minimizazio printzipioa babesten duen teknika bat. RGPD betetzetik salbuesten ez badu ere, balizko urraketa baten eragina murrizten du eta arduradunaren posizioa indartzen du.
Eduki hau orientagarria eta dibulgaziozkoa da soilik; ez du inolaz ere aholkularitza juridiko espezializatua osatzen. Araudia kasu konkretu bakoitzari aplikatzeak azterketa indibidualizatua behar du. Zure erakundeak tratamendu konkretu bat seudonimizatu edo anonimizatu behar duen, eta zer teknikarekin, ebaluatzeko, datuen babeseko espezialista batekin harremanetan jarri.