brak procedur anonimizacji danych

Brak procedur anonimizacji danych to zaniedbanie zgodności zwiększające ryzyko przy wykorzystaniu danych do celów testowych lub analitycznych.

Brak procedur anonimizacji danych – czym jest to zaniedbanie

Brak procedur anonimizacji danych oznacza sytuację, w której nie ustalono jasnego sposobu przygotowywania informacji przed ich użyciem w testach, analizach, szkoleniach, prezentacjach lub pracach rozwojowych. Dane mogą być wtedy przekazywane dalej w postaci pozwalającej na rozpoznanie osoby, firmy, urządzenia albo konkretnego zdarzenia. Problem nie polega wyłącznie na braku pojedynczego dokumentu. Istotne jest także to, że nie wiadomo, kto podejmuje decyzję o usunięciu identyfikatorów, jakie pola należy zmienić, jak sprawdza się skuteczność anonimizacji oraz co należy zrobić z kopią roboczą utworzoną przed rozpoczęciem analizy.

Anonimizacja powinna prowadzić do takiej zmiany zbioru, aby ponowne ustalenie tożsamości osoby nie było racjonalnie możliwe przy użyciu dostępnych środków i informacji. Jeżeli usunięto tylko imię i nazwisko, lecz pozostawiono dokładną datę, kod pocztowy, stanowisko, numer zgłoszenia lub opis nietypowego zdarzenia, rozpoznanie osoby nadal może być łatwe. Dlatego potrzebna jest ocena całego zestawu danych, a nie tylko sprawdzenie kilku oczywistych kolumn.

W praktyce brak procedur anonimizacji danych może dotyczyć dokumentów tekstowych, arkuszy, zrzutów ekranowych, logów, kopii baz, eksportów z aplikacji, plików diagnostycznych i wiadomości e-mail. Ryzyko pojawia się zarówno przy ręcznym przekazywaniu plików, jak i przy automatycznym tworzeniu kopii do celów testowych. Szczególnej uwagi wymagają dane opisujące zdrowie, finanse, lokalizację, zachowanie użytkownika, dane kontaktowe oraz informacje powiązane z identyfikatorami urządzeń.

Brak procedur anonimizacji danych a pseudonimizacja i usuwanie informacji

W kontekście technicznym należy odróżnić anonimizację od pseudonimizacji. Pseudonimizacja polega na zastąpieniu bezpośredniego identyfikatora innym oznaczeniem, na przykład kodem. Jeżeli istnieje osobny klucz pozwalający połączyć kod z konkretną osobą, zbiór nadal może być uznawany za związany z osobą. Taki mechanizm ogranicza ekspozycję danych, ale nie daje tego samego skutku co trwała anonimizacja.

Usunięcie kolumny również nie zawsze wystarcza. Zbiór może zawierać identyfikatory pośrednie, takie jak rzadkie połączenie wieku, regionu, zawodu i czasu zdarzenia. W logach technicznych podobną funkcję może pełnić adres urządzenia, identyfikator sesji, nazwa konta, ścieżka pliku lub fragment komunikatu błędu. W obrazie ekranu rozpoznawalne mogą być nazwy folderów, adresy poczty, miniatury dokumentów albo powiadomienia. W nagraniu głosowym identyfikacja może wynikać z brzmienia wypowiedzi, a nie z metadanych pliku.

Właściwa procedura powinna więc obejmować klasyfikację informacji, określenie celu wykorzystania danych, wybór metody zmiany oraz kontrolę wyniku. Stosuje się między innymi usuwanie pól, uogólnianie wartości, grupowanie przedziałów, ograniczanie precyzji dat i lokalizacji, zastępowanie tekstu neutralnymi symbolami oraz generowanie danych syntetycznych. Każda metoda ma ograniczenia. Zbyt szczegółowy zbiór może ułatwiać identyfikację, natomiast zbyt mocne uproszczenie może pozbawić analizę wartości użytkowej.

Warto porównać dane produkcyjne, testowe i syntetyczne. Dane produkcyjne odzwierciedlają rzeczywiste zdarzenia, ale mogą zawierać informacje wymagające ochrony. Dane testowe po zmianach mogą zachować realistyczne zależności, lecz muszą być kontrolowane pod kątem możliwości odtworzenia pierwotnych wartości. Dane syntetyczne tworzy się bez bezpośredniego kopiowania konkretnych rekordów, jednak także w tym przypadku potrzebna jest ocena, czy rozkłady i rzadkie przypadki nie ujawniają cech źródła.

Brak procedur anonimizacji danych i typowe miejsca występowania problemu

Najczęściej problem ujawnia się przy przygotowywaniu kopii do testów aplikacji. Pełny eksport może trafić do środowiska, do którego dostęp ma większa grupa osób niż w przypadku danych pierwotnych. W plikach mogą pozostać rekordy usunięte z widoku użytkownika, komentarze, właściwości dokumentu, informacje o autorze oraz historia zmian. Przywrócenie starej wersji pliku może ponownie odsłonić dane, które uznano za usunięte.

Drugim obszarem są logi i materiały diagnostyczne. Komunikat o błędzie może zawierać nazwę konta, identyfikator profilu, lokalizację pliku, fragment zapytania, adres sieciowy lub dane wprowadzone do formularza. Jeżeli plik jest przekazywany do analizy bez przeglądu, informacje te mogą zostać skopiowane do kolejnych raportów. Podobne ryzyko dotyczy zrzutów ekranu, nagrań pulpitu oraz zdjęć dokumentów wykonanych podczas zgłoszenia usterki.

Trzecia grupa przypadków obejmuje analizy statystyczne i raportowanie. Nawet gdy nie wykorzystuje się nazwisk, mała liczebność grupy może umożliwiać domysł dotyczący konkretnej osoby. Dotyczy to zwłaszcza raportów tworzonych dla małych zespołów, nietypowych stanowisk lub pojedynczych lokalizacji. Udostępnienie kilku raportów z różnych okresów może dodatkowo pozwolić na połączenie informacji, których oddzielnie nie dałoby się przypisać.

Do częstych oznak braku uporządkowania należą: brak właściciela procesu, niejednoznaczne nazwy plików, przechowywanie wielu kopii, ręczne maskowanie bez drugiej kontroli, brak rejestru zmian, brak testu ponownej identyfikacji oraz przekonanie, że samo usunięcie imienia rozwiązuje problem. Niepokojące jest także wykorzystywanie jednego pliku do wielu celów bez ponownej oceny zakresu informacji potrzebnych w danym zadaniu.

Brak procedur anonimizacji danych – praktyczne wskazówki organizacyjne

Pierwszym krokiem jest opisanie przepływu danych. Należy ustalić, skąd pochodzi zbiór, jakie informacje zawiera, kto go przygotowuje, do czego ma służyć, komu będzie udostępniony i jak długo ma być przechowywany. Pomaga podział na pola bezpośrednio identyfikujące, pola pośrednio identyfikujące, dane wrażliwe oraz informacje techniczne. Taki spis ułatwia zauważenie elementów pomijanych podczas pobieżnego przeglądu.

Następnie trzeba opisać reguły dla konkretnych typów danych. Dla numerów kontaktowych można ustalić zastępowanie całej wartości neutralnym znacznikiem, dla dat – przejście na tydzień lub miesiąc, a dla lokalizacji – ograniczenie dokładności do większego obszaru. W opisach zgłoszeń należy usunąć nazwiska, nazwy kont, adresy, numery spraw i nietypowe szczegóły, jeżeli nie są niezbędne do testu. Przy plikach graficznych trzeba sprawdzić nie tylko widoczną treść, ale też metadane i warstwy możliwe do ponownego włączenia.

Ważna jest kontrola jakości po zmianach. Należy sprawdzić losowe rekordy, wartości skrajne, rzadkie kombinacje oraz możliwość połączenia zbioru z informacjami dostępnymi w innych źródłach. Dobrą praktyką jest zastosowanie zasady dwóch osób: jedna przygotowuje materiał, druga niezależnie ocenia, czy pozostałe elementy nie umożliwiają rozpoznania. Przy danych o wysokiej szczegółowości warto przeprowadzić próbę identyfikacji z użyciem informacji, które realnie mogą znajdować się w otoczeniu organizacji.

Procedura powinna określać także przechowywanie pliku źródłowego, dostęp do kluczy pseudonimizacji, sposób przesyłania materiału, usuwanie kopii tymczasowych i postępowanie w razie wykrycia ujawnienia. Instrukcja nie powinna ograniczać się do ogólnego zalecenia „usunąć dane osobowe”. Potrzebne są przykłady, odpowiedzialności, formularz kontroli oraz kryteria akceptacji. Dzięki temu przygotowanie danych staje się powtarzalne i możliwe do odtworzenia podczas późniejszej weryfikacji.

Kiedy brak procedur anonimizacji danych wymaga zgłoszenia do serwisu

Do serwisu warto zgłosić się wtedy, gdy problem jest związany z komputerem lub laptopem wykorzystywanym do przechowywania, kopiowania albo przygotowywania materiałów zawierających dane. Dotyczy to między innymi sytuacji, w których system działa niestabilnie, pliki znikają, nośnik jest błędnie odczytywany, pojawiają się nieznane kopie dokumentów albo nie można bezpiecznie otworzyć archiwum roboczego. Przed przekazaniem urządzenia należy opisać, jakie dane mogą się na nim znajdować, i wskazać, których plików nie należy otwierać bez uzgodnienia.

Warszawskie Pogotowie Komputerowe 24/7 może zostać wskazane jako miejsce konsultacji przy technicznym przygotowaniu komputera do dalszej pracy z materiałami, na przykład przy porządkowaniu nośnika, analizie problemu z dostępem do plików lub ocenie sposobu wykonywania kopii. Sama naprawa urządzenia nie zastępuje jednak procedury anonimizacji. O tym, jakie informacje wolno wykorzystać, kto może je otrzymać i kiedy materiał jest wystarczająco zmieniony, powinny decydować przyjęte zasady ochrony danych oraz osoba odpowiedzialna za konkretny proces.

Jeżeli doszło do omyłkowego przekazania niezmienionego pliku, nie należy tworzyć kolejnych kopii ani samodzielnie nadpisywać pierwotnego materiału bez ustalenia dalszego postępowania. Trzeba zabezpieczyć informacje o czasie zdarzenia, odbiorcach, zakresie pliku i wykonanych działaniach. Następnie należy przeanalizować, czy zbiór można skutecznie zmienić, czy potrzebne jest wycofanie udostępnienia oraz jakie reguły należy wprowadzić, aby podobna sytuacja nie powtórzyła się przy następnym teście lub raporcie.