Az Európai Adatvédelmi Testület (EDPB) 2025. január 16-án fogadta el az 1/2025. számú iránymutatást a pszeudonimizálásról, azaz az álnevesítésről.
Az Európai Adatvédelmi Testület (a továbbiakban: Testület) részletes útmutatást ad az adatkezelők számára az álnevesítés gyakorlati alkalmazásáról, annak technikai és szervezeti megvalósításáról, valamint a jogszerű adatkezelési követelményekkel való összehangolásáról, és konkrét példákon keresztül mutatja be az álnevesítés különböző helyzetekben történő alkalmazásának előnyeit.
Az alábbiakban néhány főbb pontot emelek ki a Testület 1/2025. számú iránymutatásából.
A GDPR (az Európai Parlament és a Tanács (EU) 2016/679 rendelete (2016. április 27.) a természetes személyeknek a személyes adatok kezelése tekintetében történő védelméről és az ilyen adatok szabad áramlásáról, valamint a 95/46/EK irányelv hatályon kívül helyezéséről (általános adatvédelmi rendelet) elsőként definiálja az álnevesítés fogalmát az uniós jogban
A GDPR 4. cikkének 5. pontja a következőképpen határozza meg az álnevesítés fogalmát: „személyes adatok olyan módon történő kezelése, amelynek következtében további információk felhasználása nélkül többé már nem állapítható meg, hogy a személyes adat mely konkrét természetes személyre vonatkozik, feltéve hogy az ilyen további információt külön tárolják, és technikai és szervezési intézkedések megtételével biztosított, hogy azonosított vagy azonosítható természetes személyekhez ezt a személyes adatot nem lehet kapcsolni „
A GDPR nem ír elő általános kötelezettséget az álnevesítés alkalmazására, de egyes esetekben ajánlott vagy kötelező lehet. Az adatkezelő feladata, hogy az elszámoltathatóság elvére tekintettel döntsön a kötelezettségei teljesítéséhez szükséges eszközök megválasztásáról, ugyanakkor az adatkezelés jellegétől, terjedelmétől, körülményeitől és céljaitól, valamint az azzal járó kockázatoktól függően előfordulhat, hogy az adatkezelőknek álnevesítést kell alkalmazniuk az uniós adatvédelmi jogszabályok követelményeinek való megfelelés érdekében, különösen az adattakarékosság elvének betartása (GDPR 5. cikk (1) bekezdés c.) pont), a beépített és alapértelmezett adatvédelem megvalósítása (GDPR 25. cikk), vagy a kockázatnak megfelelő biztonsági szint biztosítása érdekében. Ezen felül bizonyos különleges helyzetekben az uniós vagy tagállami jog előírhatja az álnevesítést.
Az álnevesített adatok már nem is minősülnek személyes adatnak?
Az álnevesített adatok, amelyek további kiegészítő információk segítségével visszavezethetők egy személyhez, még mindig személyes adatok. E körben nincs jelentősége annak, hogy a kiegészítő információk kinek a birtokában vannak, azaz az adatkezelő által kezelt álnevesített adat akkor is személyes adat, ha az adott adatkezelő maga – a kiegészítő infromációk hiányában- nem tudja visszavezetni egy adott személyhez az álnevestett adatokat.
Mivel az álnevesített adat is személyes adatnak minősül:
- az álnevesített adatok kezelése során is be kell tartani a GDPR előírásait
- az álnevesített adatok kezelése során az adatkezelőknek további technikai és szervezési intézkedések végrehajtásával megfelelő biztonsági szintet kell fenntartaniuk
- az álnevesített adatok kezelése során az adatkezelőknek biztosítaniuk kell az átláthatóságot, és elő kell segíteniük az érintettek GDPR III. fejezetében meghatározott jogainak gyakorlását, kivéve, ha a GDPR 11. cikkében és 12. cikkének (2) bekezdésében meghatározott kivétel alkalmazandó.
Az álnevesítés céljai és előnyei köréből három dolgot emelnék ki:
- Kockázatcsökkentés: A hatékony álnevesítés csökkenti a bizalmassági kockázatokat mind az álnevesített adatokhoz a címzettek által történő hozzáférése, mind az álnevesített adatok jogosulatlan nyilvánosságra hozatala vagy azokhoz történő jogosulatlan hozzáférés esetén azáltal, hogy a megakadályozza az érintettek közvetlen azonosítóinak megismerését. Ezen felül, illetve emellett az álnevesítés csökkenti annak a kockázatát, hogy egy adott célra gyűjtött adatokat később más, eredetileg nem tervezett célokra is felhasználják (function creep).
- Adatvédelmi követelmények teljesítése: Az álnevesítést az adatkezelők és az adatfeldolgozók a GDPR 25. cikk (1) bekezdése szerinti adatvédelmi elvek, különösen az adattakarékosság és a titoktartás megvalósítása érdekében számos technikai és szervezési intézkedés egyikeként alkalmazhatják, valamint az álnevesítés hozzájárulhat továbbá a jogszerűség, a célhoz kötöttség és a pontosság elvének védelméhez is legyen szó belső adatkezelésről vagy az adatokat külső címzettnek (aki lehet akár adatfeldolgozó vagy adatkezelő) történő megküldéséről.
- A jogos érdekre, mint jogalapra (GDPR 6. cikk (1) bekezdés f.) pont) történő hivatkozás megkönnyítése: Az álnevesítésből eredő kockázatcsökkentés lehetővé teheti az adatkezelők számára, hogy adatkezelésük jogalapjaként a GDPR 6. cikke (1) bekezdésének f) pontja szerinti jogos érdekekre hivatkozzanak, feltéve, hogy megfelelnek az említett albekezdés egyéb követelményeinek. Az adatkezelők az érdekmérlegelés elvégzése során figyelembe vehetik az érintettek jogait és szabadságait érintő kockázatok álnevesítéssel elért csökkentését, mint hatékony biztosítékot annak értékelése során, hogy jogos érdekeikkel szemben elsőbbséget élveznek-e az érintettek alapvető jogaihoz és szabadságaihoz fűződő érdekek.
A Testület egy külön fejezetet szentel az álnevesítés technikai megvalósításának és az adatvédelmi biztosítékoknak a bemutatására.
Mivel az álnevesített adatok nem tartalmazhatnak olyan közvetlen azonosítókat (pl. nemzeti azonosító számokat), amelyek felhasználhatók az adatoknak az érintettekhez való egyszerű hozzárendelésére, az álnevesítés során ezeket a közvetlen azonosítókat eltávolítják és olyan új azonosítókkal helyettesítik, amelyek csak kiegészítő információk felhasználásával rendelhetők hozzá az érintettekhez.
Az álnevesítéshez két fő eljárást alkalmaznak: titkosítási algoritmusokat és keresési táblákat.
A titkosítási algoritmusok esetében a kiegészítő információ titkos paraméterek vagy kulcsok formájában jelenik meg.
A keresési táblák esetében olyan keresési táblákat hoznak létre, amelyek megfeleltetik az azonosítókat a helyettesítésükhöz használt álneveknek. A Testület ennek az eljárásnak az alkalmazása esetén hatékony hardveres véletlenszám-generátor vagy kriptográfiailag biztonságos pszeudo-véletlenszám-generátor használatát javasolja, mint az álnevek generálásának biztonságosabb módját, figyelemmel arra, hogy a keresőtáblák személyes adatok, mivel lehetővé teszik az érintettek azonosítását.
Az érintetti jogok gyakorolhatók álnevesített adatok esetében is? Mivel az álnevesített adatok személyes adatok, az érintettek GDPR 3. cikkében biztosított jogai (pl. hozzáférési jog, törlési jog) továbbra is érvényesek, kivéve, ha az adatkezelő bizonyítani tudja, hogy nem képes az érintett azonosítására (GDPR 11. cikk (2) bek. és 12. cikk (2) bek.).
