Wat is pseudonimisering? Identificerende gegevens vervangen door een code, apart bewaard. Wanneer dat genoeg is en wanneer het tekortschiet.
Pseudonimisering vervangt identificerende gegevens door een code, terwijl de koppeling naar de persoon apart en beveiligd bewaard wordt. De werkstroom werkt dan met de code zonder de naam te zien. De gegevens blijven persoonsgegevens, want de brug bestaat nog. EIGHTY8 zet het in waar herleidbaarheid nodig blijft maar de verwerker de persoon niet hoeft te kennen.
Deconstructie is simpel: neem de naam uit de gegevens en zet er een onherkenbare verwijzing voor in de plaats. Klant B-4821 in plaats van een naam, een willekeurige code in plaats van een e-mailadres. De echte koppeling tussen code en persoon bewaar je op een aparte, beter beveiligde plek waar alleen een klein aantal mensen met een reden komt. Wie met de gegevens werkt, ziet het werk; wie de persoon moet bereiken, haalt de koppeling uit de kluis.
De AVG kent de techniek bij naam en noemt hem als beschermingsmaatregel. Belangrijk om wakker bij te blijven: gepseudonimiseerde gegevens blijven persoonsgegevens. De brug bestaat nog (anders was het anonimisering) en zolang die bestaat, gelden de plichten gewoon. Pseudonimisering verlaagt het risico en wordt als maatregel gewaardeerd, maar het is geen uitweg uit de wet; het is een manier om het risico kleiner te maken waar herleidbaarheid nodig blijft.
In AI-projecten heeft dat een concrete vorm. Een werkstroom die tickets samenvat hoeft geen namen te zien: de aanroep naar het model krijgt codes, de samenvatting komt terug met codes, en pas in het eigen systeem worden de codes weer vertaald naar de mensen erachter. Werkt het team zo, dan bevat de aanroep, de output en het logboek geen namen. En is het risico bij een fout in een schakel veel kleiner dan met volle namen in de kabel.
Genoeg is hij waar het werk de relatie tot de persoon nodig blijft houden maar de verwerker de persoon niet hoeft te kennen: serviceprocessen, samenvattingen, rapportages, analyses. De herleidbaarheid blijft in eigen beheer, de taak draait op de codes. In zulke opzetten is pseudonimisering de balans die klopt: het werk kan, de gegevens zijn in de keten beperkt, en de klant die vraagt wat er met zijn gegevens gebeurt, krijgt een antwoord dat tekenen verdient.
Niet genoeg is hij waar de naam zelf in de tekst moet blijven, want een brief aan een klant moet hem aan kunnen spreken, anders klopt de dienst niet. En tekortschietend is hij als beveiliging van de koppelingstabel het risico weer terugbrengt: ligt de tabel in dezelfde map als de codes, dan is er feitelijk niets gepseudonimiseerd. De maatregel leeft van de scheiding: apart bewaren, beperkte toegang, loggen wie de brug legt.
Waar een werkstroom persoonsgegevens raakt maar de identiteit voor de taak niet nodig heeft, bouwen we de omzetting er als stap in: velden worden vóór de aanroep vervangen door codes, de koppelingstabel blijft in de eigen omgeving met beperkte toegang, en de output wordt vóór levering weer vertaald. De keuze en de koppelingsregels staan in de scope, zodat de maatregel een vast onderdeel is en geen goedbedoelde gewoonte.
De koppeling bepaalt het verschil. Pseudonimiseren vervangt de identificerende gegevens door een code en bewaart de brug naar de persoon apart. De gegevens blijven persoonsgegevens, maar met een lager risico. Anonimiseren gooit die brug weg: er bestaat geen weg meer terug, en de verzameling valt buiten de AVG. Pseudonimisering kies je dus waar je de persoon later nog moet kunnen bereiken; anonimisering waar de persoon voor de taak niet meer nodig is.
Gescheiden van de gegevens zelf, met beperkte toegang en een logboek van wie de brug legt. De kopelingstabel hoort in een eigen omgeving met andere toegangsregels dan de werkdata, zodat wie de codes ziet niet automatisch de personen ziet. Daarnaast helpt het om het aantal mensen met toegang bewust klein te houden en periodiek te herzien. De kracht van pseudonimisering leeft in die scheiding; zodra tabel en codes bij elkaar liggen, is de maatregel vooral op papier.
Het zijn verwante maar verschillende maatregelen. Versleuteling beschermt de inhoud tegen wie de sleutel niet heeft; pseudonimisering vervangt de identificerende gegevens door een verwijzing, met de brug apart. Versleutel je het hele bestand, dan blijven de gegevens inhoudelijk in ere. Ontvanger met sleutel ziet gewoon namen. Combineer kan trouwens prima: codes in de werkbestanden, versleuteling op de koppelingstabel, toegangsbeheer eromheen. Welke mix past, hangt af van wie erbij moet kunnen en waarvoor.
Beperkt, en daar zijn we eerlijk over. Voor de meeste bedrijfsprojecten is trainen op eigen gegevens niet nodig (dat is het verhaal van trainingsdata) dus de vraag komt weinig voor. Waar het toch om gaat: pseudoniemen houden de patronen van het werk overeind maar de persoonsgegevens uit de set, wat het risico verlaagt; teksten die herkenbaar zijn door hun verhaal blijven echter kenmerkend, code of geen code. Beter is het om voor zulke doelen anonieme of kunstmatige voorbeelden te gebruiken en de echte gegevens buiten de set te houden.
EIGHTY8