Siedem milionów za dane uważane za anonimowe

Obrona firmy była najczęstsza w tej dziedzinie: dane są anonimowe, więc RODO nie ma zastosowania. Rozumowanie jest poprawne formalnie — motyw 26 istotnie mówi, że rozporządzenie nie dotyczy informacji anonimowych — i niemal zawsze błędne w faktach. Rzecz nie w tym, czy jest nazwisko: rzecz w tym, czy osobę da się odnaleźć.

Granica między anonimowym a pseudonimizowanym

W bazie każdy pacjent miał kod. Nie nazwisko, kod. Ale ten kod był stały: służył do śledzenia tej samej osoby w czasie, bo dokładnie to musi robić badanie podłużne. Identyfikator pozwalający łączyć ze sobą dane tej samej osoby nie jest środkiem anonimizacji: to definicja pseudonimizacji z art. 4 pkt 5. A dane pseudonimizowane pozostają danymi osobowymi.

• Motyw 26 każe oceniać środki, które z rozsądnym prawdopodobieństwem zostaną użyte do identyfikacji: koszt, czas, dostępną technologię, a nie absolutną niemożliwość.
• Stały kod na osobę pozwala łączyć zdarzenia w czasie i właśnie to czyni dane przypisywalnymi.
• Rok urodzenia, płeć, diagnozy, recepty i odniesienie terytorialne razem zawężają krąg do bardzo niewielu osób.
• Kto twierdzi, że dane są anonimowe, musi to wykazać, a wykazanie jest techniczne: analiza ponownej identyfikacji, nie zdanie w klauzuli informacyjnej.
• Jeśli dane nie są anonimowe, potrzebna jest podstawa prawna i informacja, a przy danych o zdrowiu także warunek z art. 9 ust. 2.

Jest też strona wcześniejsza. Dane pochodziły od lekarzy rodzinnych. Dla IOD obsługującego praktykę, laboratorium lub placówkę zdrowotną dzisiejsze pytanie brzmi, czy jakieś jego dane trafiają do baz badawczych lub wywiadowni gospodarczych, na jakiej podstawie prawnej i czy pacjenci o tym wiedzą. To, że przetwarza je podmiot trzeci, nie przenosi odpowiedzialności tego, kto je zebrał.

Co z tego wynieść. Słowo «anonimowe» w umowie albo w rejestrze czynności nie jest kwalifikacją prawną: to twierdzenie, które trzeba udowodnić. Gdziekolwiek się pojawia, warto zapytać o trzy rzeczy: kto to zweryfikował, jaką metodą i kiedy. Jeśli brakuje tych trzech odpowiedzi, ten wiersz rejestru opisuje przetwarzanie uważane za poza RODO, a w istocie będące wewnątrz, ze wszystkim, co z tego wynika.