Anonimizacija i pseudonimizacija: spriječiti ponovnu identifikaciju

Anonimizovani podaci više nisu obuhvaćeni GDPR-om kada se fizička osoba više ne može identifikovati sredstvima čija je upotreba razumno vjerovatna. Pseudonimizovani podaci ostaju lični podaci kada je pripisivanje moguće uz dodatne informacije. Naziv metode zato sam po sebi ne odlučuje da li su podaci lični.

Ovaj članak razlikuje oba pojma za preduzeća. Objašnjava iz čije perspektive treba procijeniti identifikaciju, kako se mogu primijeniti tri EDPB kriterija No Record Isolation, No Linkage i No Inference te koji dokazi trebaju postojati prije upotrebe ili otkrivanja podataka. Sama tehnička mjera ne zamjenjuje pravnu i praktičnu procjenu.

Prema članu 4. stav 1. GDPR-a, lični podaci su informacije koje se odnose na identifikovanu ili odredivu fizičku osobu. Uvodna izjava 26. procjenjuje identifikaciju prema sredstvima čija je upotreba razumno vjerovatna i prema objektivnim faktorima. To može obuhvatiti sredstva koja druga strana može koristiti ili staviti na raspolaganje.

Član 4. stav 5. GDPR-a opisuje pseudonimizaciju kao obradu kojom se podaci bez dodatnih informacija više ne mogu pripisati određenoj osobi. Dodatne informacije moraju se čuvati odvojeno i zaštititi. Veza s osobom ostaje. Šifrovanje, maskiranje ili zamjena imena zato ne stvaraju automatski anonimizovane podatke.

Podaci su anonimni samo kada osoba iz relevantne perspektive više nije identifikovana niti odrediva. Rezultat zavisi od sadržaja, svrhe, primaoca, pristupa i dostupnih podataka za poređenje. Obrada može biti anonimna za jednog primaoca, a lični podaci za drugu stranu.

Smjernice EDPB 02/2026 on Anonymisation procjenjuju pitanje iz perspektive svakog relevantnog subjekta. Najprije odredite za koga podaci trebaju biti anonimni. To može biti voditelj koji anonimizuje, primalac ili druga strana koja ima pristup podacima.

Dodatno znanje može doći iz internih datoteka, javnih izvora, poslovnog partnera, pružaoca usluge ili tehničke metode kojoj se realno može pristupiti. Uklanjanje imena je zato samo jedan korak. Kombinacije starosti, mjesta, vremena, ponašanja ili rijetkih događaja i dalje mogu izdvojiti osobu.

Pouzdana odluka bilježi objektivne faktore: svojstva i preciznost skupa podataka, uslove pristupa, moguće dodatne informacije, vrijeme i trošak identifikacije te dostupnu tehnologiju. Ako je osoba već identifikovana, podaci nisu anonimni iz te perspektive.

Smjernice EDPB 02/2026 strukturiraju tehničku procjenu kroz tri kriterija. No Record Isolation pita mogu li se pojedinci ili zapisi izdvojiti. Rijetka svojstva, visoka preciznost ili jedinstvena kombinacija mogu to omogućiti.

No Linkage pita mogu li se informacije povezati s drugim skupovima podataka ili opažanjima. Uzmite u obzir veze unutar skupa, javne izvore i druge strane. No Inference pita mogu li se iz preostalih vrijednosti izvesti dodatne informacije o osobi.

Sumnja u jedan kriterij ne znači automatski da su podaci anonimni. Smjernice predviđaju dalju analizu u takvoj situaciji. Preduzeća trebaju simulirati konkretne puteve napada ili zaključivanja, odrediti relevantnu perspektivu i sačuvati obrazloženje konačne procjene.

Odgovarajuća obrada počinje svrhom. Grupisanje može spojiti pojedinačne vrijednosti u grupe. Generalizacija može precizne vrijednosti zamijeniti širim kategorijama. Brisanje, maskiranje ili smanjenje mogu skratiti skup podataka. Potrebna kombinacija zavisi od analitičke vrijednosti i preostalog rizika identifikacije.

Pseudonimizacija je često zaštitna mjera za internu analizu, razvoj ili kontrolisanu saradnju. Može otežati direktno pripisivanje i predstavlja mjeru u smislu članova 25. i 32. GDPR-a. Ne stvara prostor bez primjene GDPR-a. Ključeve, dodatne informacije, dozvole i kopije i dalje treba kontrolisati.

Kvalitet podataka utiče na procjenu u oba smjera. Netačne vrijednosti mogu otežati direktnu identifikaciju, dok mnoge naizgled bezazlene osobine u kombinaciji mogu izdvojiti osobu. Zabilježite preciznost, dozvoljenu upotrebu i pretpostavke na osnovu kojih je metoda ocijenjena kao dovoljna.

Član 5. stav 2. GDPR-a traži da voditelj obrade može dokazati usklađenost s načelima. Članovi 24. i 25. povezuju tu odgovornost s odgovarajućim mjerama i provjerom njihove djelotvornosti. Dosije odobrenja treba sadržavati svrhu, izvorne podatke, metodu, primaoce, perspektivu, provjerene veze, preostale rizike i odgovornost.

Kod pseudonimizovanih podataka ključevi za pripisivanje moraju biti posebno zaštićeni. Uloge, dozvole, evidencija, otkrivanje, brisanje i obnova moraju odgovarati stvarnom riziku. Kod anonimizovanih podataka sigurnosna i organizacijska pitanja prvobitne obrade ostaju važna dok se čuvaju izvorni podaci ili druge kopije ličnih podataka.

Ponovo procijenite stanje kada se promijene primaoci, obim ili preciznost podataka, javni podaci za poređenje, tehničke mogućnosti ili svrha. EDPB ukazuje na periodičnu procjenu vjerovatnoće ponovne identifikacije. Jedno odobrenje zato nije trajni dokaz za svaku kasniju upotrebu.

Ime se ukloni i skup se objavi: Rijetke kombinacije, vremenske vrijednosti ili vanjski podaci za poređenje nisu provjereni.

Ključ se nazove anonimizacijom: Pripisivanje ostaje moguće uz dodatne informacije i GDPR se i dalje primjenjuje.

Procjenjuje se samo vlastiti pogled: Primaoci, pružaoci usluga ili dostupne druge strane mogu imati druga sredstva.

Grupisanje se smatra anonimnošću: Grupne vrijednosti i dalje mogu otkriti podatke o pojedincima ili omogućiti zaključivanje kroz kombinaciju.

Metoda se bira bez provjere svrhe: Šire kategorije mogu odgovarati jednoj analizi, a biti nedovoljne za drugu.

Odobrenje se više ne mijenja: Novi izvori, bolja tehnologija ili drugi krug primalaca mogu oslabiti raniju procjenu.

Počnite opisom podataka i svrhe. Šta treba ostati moguće, koje osobe su obuhvaćene i ko dobija pristup? Zabilježite izvorne podatke, kopije, ključeve i izvore za poređenje. Odvojite pitanje korisnosti zaštitne mjere od pitanja da li je veza s osobom prestala.

Zatim provjerite tri EDPB kriterija iz svake relevantne perspektive. Testirajte rijetke zapise, realne veze i moguća zaključivanja. Zabilježite koja bi se sredstva razumno mogla koristiti i zašto se rizik identifikacije smatra neznatnim ili i dalje relevantnim.

Prije odobrenja moraju biti jasni metoda, zaštita pristupa, primaoci, odgovornost i ponovna procjena. Kod pseudonimizacije i dalje važe pravni osnov, ograničenje svrhe, prava ispitanika, sigurnost i brisanje. Kod anonimizacije provjerite da li se izvorni lični podaci i obrada još uvijek zasebno obrađuju.

Sa Vama provjeravamo izvorne podatke, svrhu, primaoce, dodatne informacije, metodu obrade i tri EDPB kriterija. Za prvu procjenu pomažu matrica podataka, planirani tok podataka, ključevi ili izvori za poređenje, tehnički opis i postojeće odobrenje. Tako se može pokazati da li je zaštitna mjera dovoljna ili se podaci i dalje moraju tretirati kao lični.