Postopek anonimizacije podatkov o lokaciji in gibanju vozil na avtocestah oziroma na hitrih cestah + - Opozorilo: Mnenje je bilo izdano na podlagi določb Zakona o varstvu osebnih podatkov (ZVOP-1, Uradni list RS, št. 94/07 - uradno prečiščeno besedilo), ki je z dnem
- 2023 prenehal veljati in ga je nadomestil nov Zakon o varstvu osebnih podatkov (ZVOP-2, Uradni list RS, št. 163/22), zato mnenje ni več nujno aktualno. Mnenja po ZVOP-2 so na voljo tukaj. Datum: 25.02.2021 Številka: 07121-1/2021/322 Kategorije: --> Kategorije: Definicija OP, Profiliranje in avtomatizirano odločanje, Anonimizacija/psevdonimizacija, Statistika in raziskovanje Informacijski pooblaščenec (v nadaljevanju: IP) je prejel vaše zaprosilo za mnenje in sicer nas prosite za mnenje glede postopka anonimizacije podatkov o lokaciji in gibanju vozil na avtocestah oziroma na hitrih cestah v upravljanju v vašem upravljanju. Kot ste pojasnili želite ugotoviti statistične podatke o zasedenosti počivališč z namenom boljšega upravljanja in morebitnih razširitev. Na zanima vas torej konkretno vozilo temveč podatki o številu določenega tipa na določeni lokaciji v določenem obdobju. Opisali ste tehnični postopek (psevdo)anonimizacije podatkov o gibanju in lokaciji vozila v analitični bazi, in sicer: Prvi korak algoritma (psevdo)anonimizacije je generiranje poljubnega naključnega števila. Vsak zagon procesa za (psevdo)animizacijo vrne novo naključno število, ki je vhod v algoritem za mapiranje vrednosti ključa, torej za pretvorbo originalnega ključa v umetnega. V drugem koraku, ko imate ustvarjeno naključno izbrano število iz predhodne točke, izvedete postopek generiranja umetnega ključa s pomočjo nepovratne matematične funkcije). V tretjem koraku z novo vrednostjo prepišete originalno. V zadnjem koraku v celoti pobrišete mapirno tabelo. Možnost povezave med novimi umetnimi in originalnimi ključi na tej točki ni več mogoča. Ključne lastnosti tega nepovratnega in neponovljivega načina (psevdo)anonimizacije, kot ga imenujete, so naslednje: Po izvedbi postopka (psevdo)anonimizacije občutljivih transakcij ni več možno povezati s konkretno stranko, računom stranke, računom vozila stranke, registrsko tablico ali OBU enoto. Lahko pa ugotovite, katere transakcije pripadajo neki (psevdo)anonimizirani stranki, računu stranke, računu vozila stranke, registrski tablici ali OBU enoti. Ti podatki so ključni za izvajanje poslovnih analiz, ki so potrebne za spremljanje delovanja sistema in sprejemanje pomembnih poslovno-strateških odločitev v podjetju. Poslovne analize se v praksi vedno delajo na podlagi podatkov za več mesecev za nazaj, kvartalno in letno, s čimer se zagotovi zanesljivost rezultatov, različne primerjave, analize trendov, itd., vse to pa je bistvenega pomena, da lahko odločevalci na podlagi teh rezultatov sprejemajo čimbolj pravilne poslovne odločitve. Postopek (psevdo)anonimizacije izvajate z mapiranjem trenutnih vrednosti poslovnih ključev (angl. “business key“) v nove (psevdo)anonimizirane vrednosti, iz katerih ni možno razbrati originalnih vrednosti. Rezultat postopka (psevdo)anonimizacije ni ponovljiv, vsak zagon postopka (psevdo)anonimizacije vrne naključen rezultat. (Psevdo)anonimizacija se izvede s pomočjo mapirne tabele, ki je v bazi zapisana kratek čas, in sicer samo toliko časa, kolikor traja sam postopek (psevdo)anonimizacije. Njena vsebina se pobriše takoj po uspešno zaključenem postopku. Na podlagi informacij, ki ste nam jih posredovali, vam v nadaljevanju na podlagi
- člena Uredbe (EU) 2016/679 Evropskega parlamenta in Sveta z dne
- aprila 2016 o varstvu posameznikov pri obdelavi osebnih podatkov in o prostem pretoku takih podatkov ter razveljavitvi Direktive 95/46/ES (v nadaljevanju: Splošna uredba),
- točke prvega odstavka
- člena Zakona o varstvu osebnih podatkov (Uradni list RS, št. 94/07, uradno prečiščeno besedilo, v nadaljevanju ZVOP-1) ter
- člena Zakona o informacijskem pooblaščencu (Uradni list RS, št. 113/05, v nadaljevanju ZInfP) posredujemo naše neobvezno mnenje v zvezi z vašim vprašanjem. Informacijski pooblaščenec (v nadaljevanju IP) uvodoma pojasnjuje, da izven inšpekcijskega postopka ne more presojati ustreznosti ali postopkov anonimizacije osebnih podatkov, lahko pa vas opozorimo na določene pomembne elemente in podamo priporočila in opozorila. Najprej je treba poudariti, da je nujno ločevati med anonimiziranimi in psevodnimiziranimi osebnimi podatki – vmesna stopnja (»psevodoanonimizirani«) namreč pravno gledano ne obstaja. Glede na določbe Splošne uredbe sodijo psevdonimizirani osebni podatki med osebne podatke in se zanje v celoti uporabljajo določbe Splošne uredbe. Uvodna določba 26 določa, da osebne podatke, ki so bili psevdonimizirani in ki jih je mogoče z uporabo dodatnih informacij pripisati posamezniku, bi bilo treba obravnavati kot informacije o določljivem posamezniku. Glede na določbo
- točke člena 4 Splošne uredbe „psevdonimizacija“ pomeni obdelavo osebnih podatkov na tak način, da osebnih podatkov brez dodatnih informacij ni več mogoče pripisati specifičnemu posamezniku, na katerega se nanašajo osebni podatki, če se take dodatne informacije hranijo ločeno ter zanje veljajo tehnični in organizacijski ukrepi za zagotavljanje, da se osebni podatki ne pripišejo določenemu ali določljivemu posamezniku. Gre torej v grobem za operacije nad podatki tipa 1:1, kar vključuje šifriranje podatkov, računanje zgoščenih vrednosti ali uporabo drugih matematičnih operacij, kjer matematična operacija posameznemu osebnemu podatku določi novo vrednost (npr. izračun zgoščene vrednosti za posamezno številko naprave vozila, pretvorba imena in priimka posameznika v npr. »stranka512« itd., tudi z uporabo naključnih vrednosti in/ali t.i. uporabe soljenja, angl. salt). Psevdonimizacija je uporaben postopek, ki lahko zagotovi minimizacijo obdelave osebnih podatkov (ne potrebujejo namreč vsi zaposleni in sistemi dostopa do »surovih« osebnih podatkov, saj lahko svoje naloge opravijo tudi na psevdonimiziranih podatkih), s tem pa tudi poveča varnost podatkov, saj je za dostop do neobdelanih podatkov posameznika oz. njegove identitete potreben dodaten korak. Na tem mestu je treba poudariti, da uporaba (nepovratnih) enosmernih algoritmov, kot so npr. enosmerne zgoščevalne funkcije, kjer iz rezultata ni mogoče samo po sebi pridobiti izvorne vrednosti podatka, še ne pomeni, da gre za anonimizacijo. Vedno je namreč treba upoštevati, predvsem, ali je še vedno možna določljivost posameznika, pri tem v obzir vzeti tudi vse ostale podatke in informacije, zbirke in možnosti, ki so na voljo. Prav tako je treba upoštevati, da je razrešitev enosmernih zgoščevalnih algoritmov ob obstoju izvornih podatkov in poznavanju uporabljenega algoritma trivialna – primer: določena registrska številka ob uporabi npr. algoritma AES 256 vedno dala isti rezultat (isto zgoščeno vrednost). Podobno velja za metode, kjer se iz tabel izbrišejo le določene vrednosti (npr. identifikacijski in kontaktni podatki posameznika ali pa mapirna tabela, ohranijo pa njegovi transakcijski podatki – podatki o uporabi storitev, gibanju, opravilih ipd.), saj je bilo v praksi veliko primerov, ko se je izkazalo, da je določljivost posameznika tudi samo iz transakcijskih podatkov povsem možna (npr. s primerjavo z drugimi zbirkami podatkov), tveganje pa narašča s količino podatkov. Več o razlikah med psevdonimizacijo in anonimizacijo ter opis metod in thenik za anonimizacijo je na voljo v mnenju Delovne skupine za varstvo podatkov iz člena 29: »Mnenje št. 5/2014 o anonimizacijskih tehnikah« (WP216;
- 2014), dostopno na: https://ec.europa.eu/justice/article-29/documentation/opinion-recommendation/files/2014/wp216_sl.pdf Kot je pojasnjeno v mnenju so ključna tri tveganja: možnost izločitve posameznika (angl. singling out), možnost povezljivosti (ang. linkability) ter možnost sklepanja (angl. inference) in jasno poudarjeno, da psevdnimizacija ne sodi med metode anonimizacije. Glede na vaše navedbe (»lahko gotovimo, katere transakcije pripadajo neki (psevdo)anonimizirani stranki, računu stranke, računu vozila stranke, registrski tablici ali OBU enoti.« ne gre za postopek anonimizacije, vendar pa se sprašujemo, ali je anonimizacija v vašem primeru glede na cilje, ki jih zasledujete, sploh potrebna. Ob navedenem pojasnjujemo, da
- člen ZVOP-1 dopušča uporabo osebnih podatkov v statistične namene –
- odstavek
- člena ZVOP-1 določa, da se glede na prvotni namen zbiranja se lahko osebni podatki nadalje obdelujejo za zgodovinsko, statistično in znanstveno-raziskovalne namene. Glede na vaša pojasnila torej lahko v okviru zakonitega roka hrambe osebnih podatkov za statistične namene obdelate podatke in izračunate potrebne statistike (kot npr. koliko vozil določenega tipa je bilo v določenem obdobju na določeni lokaciji). S spoštovanjem, Mojca Prelesnik, univ.dipl.prav., informacijska pooblaščenka Pripravil: mag. Andrej Tomšič, namestnik informacijske pooblaščenke O NAS Informacijski pooblaščenec Dunajska cesta 22 1000 Ljubljana, Slovenija Zemljevid (vir: najdi.si) Telefon: 01 230 97 30 Poštni in varni e-predal: gp.ip(at)ip-rs.si Odgovorna oseba za informacije za medije: dr. Jelena Virant Burnik. Kontakt za medije: Barbara Repovš, mediji@ip-rs.si ali 01 230 97 30 Prijava kršitev (Navodila in obrazci) URADNE URE PON - PET 9.00 - 12.00 POVEZAVE Informacije javnega značaja Priročniki in smernice Obrazci Politika zasebnosti Informacije o obdelavi osebnih podatkov Izjava o dostopnosti Podpora za majhna podjetja Pravice posameznikov Prijava na prejemanje e-novic Informacijski pooblaščenec | 2026