Im Juli hat der Europäische Datenschutzausschuss (EDSA) seinen Entwurf für Leitlinien zur Anonymisierung zur öffentlichen Konsultation veröffentlicht. Eine einheitliche Position auf europäischer Ebene wurde bereits lange erwartet, da die letzten Leitlinien zu diesem Thema aus dem Jahr 2014 stammen.
Relative Anonymität
Der zentrale Ansatz der Guideline ist, dass Anonymität relativ ist. Derselbe Datensatz kann in den Händen einer Partei personenbezogen sein und in den Händen einer anderen anonym. Ob eine Person identifizierbar ist, wird aus der Perspektive jeder relevanten Partei beurteilt. Das können Verantwortliche oder z. B. Empfänger wie Auftragsverarbeiter sein. In jedem Szenario werden die Mittel berücksichtigt, deren Einsatz vernünftigerweise zu erwarten ist. Wenn die Wahrscheinlichkeit, dass eine Re-Identifizierung „in der Praxis unerheblich“ ist, können die Daten als anonym angesehen werden.
Sonderfall Auftragsverarbeiter
Der EDSA führt mit den Leitlinien einen kontroversen Punkt in den Diskurs ein. So sollen Auftragsverarbeiter nicht wie andere Parteien isoliert, sondern aus der Perspektive des Verantwortlichen bewertet werden. Vermutlich möchte der EDSA verhindern, dass Verantwortliche ihre DSGVO-Verpflichtungen durch ein Auslagern der Datenverarbeitung an einen Auftragsverarbeiter umgehen können. Er weist zudem darauf hin, dass vertragliche Verbote der Re-Identifizierung technische Schutzmaßnahmen nicht ersetzen können und dass eine allgemeine Annahme der Rechtskonformität widerlegbar ist, wenn konkrete Risiken einer unrechtmäßigen Re-Identifizierung bestehen.
Bewertungsansätze
Die Leitlinie bietet für die Bewertung einer Datenverarbeitung zwei Bewertungsansätze an.
- Kontextbezogener Ansatz: Identifiziert einzelne Akteure und bewertet deren tatsächliche Re-Identifizierungsmöglichkeiten.
- Vereinfachter Ansatz: Lässt spezifische Unterschiede der Akteure außer Acht und wendet einen einheitlichen, konservativen Standard an. Dieser Ansatz ist ideal, wenn die Fähigkeiten der Empfänger nicht zuverlässig ermittelt werden können.
Verantwortliche müssen sich nicht ausschließlich für einen Ansatz entscheiden. Ein hybrider Ansatz, bei dem zunächst eine vereinfachte Analyse zur Prüfung der theoretischen Re-Identifizierung durchgeführt wird und anschließend eine kontextbezogene Analyse, wenn eine genauere Beurteilung erforderlich ist, wird ausdrücklich in Betracht gezogen.
Drei-Kriterien-Test
Grundsätzlich sind für beide Ansätze drei Kriterien zu prüfen. Nur wenn alle Kriterien erfüllt sind, können Daten als anonym gewertet werden.
- No Record Isolation: Es gibt keine einzigartige Kombination von Attributen in einem Datensatz, die eine Person identifizieren kann.
- No Linkage: Die Daten enthalten keinen Datensatz einer Person, der mit einem anderen Datensatz verknüpft werden könnte, der (a) sich ebenfalls auf dieselbe Person bezieht und (b) aus einem anderen Datensatz stammt
- No Inference: Aus dem Datensatz lassen sich keine spezifischen und aussagekräftigen Rückschlüsse ziehen, die eine Person identifizieren können.
Der EDSA warnt ausdrücklich davor, dass Schlussfolgerungen aus KI-Modellen und synthetischen Datensätzen gegen das „No Inference“-Kriterium verstoßen. Daten gelten in der Regel nur dann als anonym, wenn alle drei Anonymitätskriterien, einschließlich „No Inference“, gleichzeitig erfüllt sind. Dies ist eine Warnung an Organisationen, die solche Ergebnisse fälschlicherweise als von Natur aus anonym betrachten.
Trotz der Komplexität lässt sich festhalten, dass die Leitlinien praxisorientiert sind, aber in mehreren Bereichen strenger als die bisherige Praxis. Wir unterstützen Sie gerne bei der Anwendung der neuen Bewertungsansätze.