Псевдонимизация или анонимизация: в чём разница

Псевдонимизация или анонимизация: в чём разница

Эти два термина часто используют как синонимы, хотя разница между ними принципиальная. При псевдонимизации данные можно связать с человеком через ключ, при анонимизации такая связь должна быть утрачена. От выбора зависит, какие требования применяются к хранению и передаче.

Разберём, как не перепутать эти режимы.

Определения

Псевдонимизация заменяет прямые идентификаторы на условные обозначения. Соответствие хранится отдельно и доступно ограниченному кругу лиц.

Анонимизация необратима: восстановить связь с человеком разумными средствами нельзя.

Ключевое слово — «разумными»: оценка зависит от доступных данных и технологий.

Зачем нужна псевдонимизация

Она позволяет сохранить связь между визитами и наблюдениями одного человека.

Исследователь может объединять данные продольного наблюдения, не видя имени.

Это удобно для анализа, но требует защиты ключа.

Когда нужна анонимизация

Когда данные планируется публиковать или передавать широкому кругу.

Когда связь с человеком не нужна для анализа.

Когда требования требуют именно анонимных данных.

Ключ и его защита

Ключ соответствия — самое уязвимое место.

Его хранят отдельно от данных, с ограниченным доступом.

Если ключ утрачен, связь восстановить нельзя, и продольный анализ может стать невозможным.

Обратимость

Псевдонимизированные данные остаются персональными, потому что связь существует.

Анонимизированные — нет, если риск повторной идентификации оценён как приемлемый.

Эта разница влияет на правовой режим и на обязанности.

Риск повторной идентификации

Даже анонимизированные данные могут быть сопоставлены с внешними источниками.

Маленькие выборки и редкие признаки повышают риск.

Поэтому анонимизацию оценивают, а не принимают на веру.

Практика в исследованиях

Для продольных исследований чаще используют псевдонимизацию.

Для публикации наборов данных — анонимизацию или синтетические данные.

Решение фиксируют в плане управления данными.

Документирование

Опишите, какие идентификаторы заменены, где хранится ключ и кто имеет доступ.

Укажите, какие методы применялись.

Зафиксируйте оценку риска.

Ошибки

• хранение ключа вместе с данными;
• уверенность, что удаление имени делает данные анонимными;
• отсутствие оценки риска;
• передача псевдонимизированных данных как анонимных;
• утрата ключа без резервной копии.

Практический сценарий

Исследование наблюдает пациентов в течение года, и нужно связать визиты одного человека. В этом случае подходит псевдонимизация: каждому участнику присваивается код, а таблица соответствия хранится отдельно под контролем ответственного. Исследователь работает с кодами и не видит имён, но может объединять записи.

Если тот же набор планируется выложить в открытый репозиторий, одного кода недостаточно. Нужно либо удалить связь полностью, либо публиковать агрегированные данные, либо предоставлять доступ по заявке. Решение зависит от согласия участников и требований организации.

Ошибка, которая встречается чаще всего, — публикация псевдонимизированного набора под видом анонимного. Формально идентификаторов нет, но ключ существует, а значит, данные остаются персональными. Перед публикацией стоит письменно зафиксировать, какой режим используется и почему.

Как выбрать режим на практике

Начните с вопроса: нужна ли связь между записями одного человека. Если да, без псевдонимизации не обойтись. Если нет, можно сразу переходить к анонимизации или агрегации.

Затем проверьте, что допускает согласие. Если участник согласился на обработку в исследовательских целях, публикация набора может требовать отдельного основания.

Наконец, оцените риск. Для маленькой выборки с редкими признаками даже анонимизированный набор может быть узнаваем. В этом случае помогает огрубление или ограниченный доступ.

Как объяснить разницу коллегам

Проще всего через вопрос «есть ли ключ». Если существует таблица, позволяющая вернуть имена, данные псевдонимизированы. Если такой таблицы нет и восстановление невозможно разумными средствами, можно говорить об анонимизации.

Это объяснение не заменяет юридическую оценку, но помогает команде не путать режимы. Ошибка в терминах часто приводит к ошибке в мерах защиты.

Что фиксировать в документации

Укажите режим, метод замены идентификаторов, место хранения ключа и срок его хранения. Опишите, кто имеет доступ к ключу и как он передаётся при смене сотрудника.

Отдельно зафиксируйте оценку риска повторной идентификации и основания для вывода об анонимности, если он делается.

Документация должна быть понятна человеку, который не участвовал в проекте. Иначе при проверке или передаче набора придётся восстанавливать логику решений по памяти.

Как поступить при запросе участника

Если участник просит удалить свои данные, сначала проверьте, можно ли найти их по ключу. При псевдонимизации это возможно, при анонимизации — обычно нет.

Это ограничение сообщают заранее, при получении согласия. Обещать удаление любых данных после анонимизации было бы неверно.

Если данные ещё не обезличены, запрос выполняется по обычной процедуре. Решение и дата фиксируются в журнале.

Чек-лист

• Режим выбран осознанно.
• Ключ защищён.
• Риск оценён.
• Документация есть.
• Передача соответствует режиму.
• Публикация проверена.

Частые вопросы

Псевдонимизированные данные можно публиковать?

Обычно нет: они остаются персональными.

Что делать, если ключ утерян?

Связь с человеком утрачена; это влияет на анализ и должно быть зафиксировано.

Всегда ли нужна анонимизация?

Нет, если задача требует связи между наблюдениями.