Pseudonimizzazione.

Cosa fa davvero la pseudonimizzazione

La pseudonimizzazione è una tecnica di protezione dei dati, non uno stato che il dato raggiunge. Si prendono i campi che indicano direttamente una persona, il nome, l'indirizzo e-mail, il numero nazionale di identità, e li si sostituisce con un token: un identificativo casuale, un riferimento codificato, un valore cifrato. La corrispondenza che riconverte il token nell'identità reale, la chiave, è conservata separatamente e protetta con misure tecniche e organizzative proprie. Chiunque lavori con il set di dati pseudonimizzato può analizzarlo, condividerlo o eseguire test su di esso senza vedere a chi appartengono i record, mentre l'organizzazione conserva la capacità di reidentificare quando ha un motivo legittimo per farlo.

Il GDPR nomina esplicitamente questa tecnica e la tratta come una garanzia raccomandata. Compare come modo per soddisfare la protezione dei dati fin dalla progettazione e per impostazione predefinita, come misura in grado di ridurre il rischio residuo di un trattamento, e come fattore che le autorità di controllo valutano favorevolmente quando stabiliscono se hai fatto abbastanza. Usarla è un segnale che hai preso sul serio la sicurezza e la minimizzazione. È la buona disposizione a cui rimanda la definizione breve, ed è reale, ma non cambia la natura giuridica del dato.

La pseudonimizzazione non è anonimizzazione

Questa è la confusione che mette nei guai le organizzazioni. Poiché un record pseudonimizzato non porta più un nome visibile, si presume che sia uscito dall'ambito del regolamento. Non lo è. La pseudonimizzazione è reversibile per progettazione: la chiave esiste, quindi il dato può essere ricollegato a una persona identificabile, quindi resta un dato personale e ogni obbligo continua ad applicarsi. L'anonimizzazione è il patto opposto. È irreversibile, il collegamento con l'individuo è distrutto in modo così completo che la reidentificazione non è più ragionevolmente possibile con alcun mezzo che si possa verosimilmente utilizzare, e solo allora il dato esce del tutto dal GDPR.

Cosa fanno davvero i professionisti

In pratica la pseudonimizzazione è una disciplina di ingegneria e di governance più che un singolo interruttore. Lo scopo di separare la chiave è vanificato se lo stesso team, sistema o backup detiene sia i token sia la corrispondenza, quindi i controlli attorno alla chiave contano quanto la tokenizzazione stessa.

• Sostituire gli identificatori diretti con token, usando metodi come l'hashing con chiave, la cifratura o una tabella di consultazione di riferimenti casuali.
• Conservare la chiave di reidentificazione separatamente, sotto un controllo degli accessi più rigoroso rispetto al set di dati di lavoro, idealmente in capo a un team diverso.
• Premunirsi contro la reidentificazione indiretta, in cui combinazioni rare dei campi restanti (un codice postale, più una data di nascita, più una qualifica professionale) permettono di isolare qualcuno anche senza nome.
• Documentare la tecnica nel registro dei trattamenti e nella DPIA, e trattare il dato pseudonimizzato come dato personale ai fini della valutazione delle violazioni, della conservazione e dei diritti degli interessati.

Fatta bene, la pseudonimizzazione consente ad analisi, ricerca e test software di operare su dati realistici riducendo al contempo il raggio d'impatto di una violazione, perché un attaccante che ottiene i token senza la chiave dispone di molto meno. Fatta con noncuranza, con la chiave raggiungibile o gli identificatori indiretti ignorati, offre l'apparenza della protezione senza la sostanza, e l'organizzazione si fa comunque carico di ogni obbligo che credeva di aver eluso.