Γενικές αρχές

Η προστασία της ιδιωτικότητας είναι ο βασικός στόχος της εφαρμογής τεχνικών και οργανωτικών μέτρων, όπως η ανωνυμοποίηση, και η διαχείρισή της πρέπει να διεξάγεται προληπτικά και όχι αντιδραστικά. Με άλλα λόγια, η προστασία της ιδιωτικής ζωής δε μπορεί να διασφαλιστεί εάν αντιμετωπίζεται ως το επιδιωκόμενο αποτέλεσμα της διόρθωσης των υφιστάμενων κενών που ευθύνονται για τυχόν ζημίες που έχουν ήδη προκληθεί. Επομένως είναι αναγκαίο να εξαλειφθεί η πιθανότητα επανασυσχετισμού των υποκειμένων των δεδομένων με τα ανωνυμοποιημένα δεδομένα. 

Ένα σημαντικό μέτρο για το αρχικό στάδιο σχεδίασης του συστήματος πληροφοριών που χρησιμοποιείται στις διαδικασίες ανωνυμοποίησης είναι η εκτέλεση μιας αρχικής ταξινόμησης των δεδομένων σε κλίμακα με βάση τη διαβάθμιση των ευαίσθητων δεδομένων. Αυτή η ταξινόμηση μπορεί να είναι ποιοτική ή ποσοτική και θα χρησιμεύσει ως σημείο αναφοράς στον οργανισμό. Για παράδειγμα, μπορεί να αναπτυχθεί ένα σύστημα ταξινόμησης που βασίζεται σε τουλάχιστον τρία επίπεδα ταυτοποίησης των προσώπων (μικροδεδομένα, έμμεσα δεδομένα ταυτοποίησης και ευαίσθητα δεδομένα - microdata, indirect identification data, and sensitive data). Η κλίμακα θα είναι γνωστή στο προσωπικό που εμπλέκεται στη διαδικασία ανωνυμοποίησης και θα αποτελεί το θεμελιώδες κλειδί που θα ληφθεί υπόψη στην ανάλυση κινδύνου ή στην εκτίμηση αντικτύπου σχετικά με την προστασία των προσωπικών δεδομένων.

Η ουσιαστική προτεραιότητα στον στάδιο του σχεδιασμού ενός συστήματος πληροφοριών, είναι η διασφάλιση της εμπιστευτικότητας των εμπλεκόμενων υποκειμένων. Ως εκ τούτου, είναι προτιμότερο να διασφαλίζεται η ιδιωτικότητα στο αρχικό αυτό στάδιο, λαμβάνοντας υπόψη την κλιμακωτή διαβάθμιση που πρέπει να έχουν τα ανωνυμοποιημένα δεδομένα. 

Ως αποτέλεσμα της κλιμακωτής ταξινόμησης των δεδομένων, θα δημιουργηθεί ένας δείκτης καθορισμού του αποδεκτού ορίου κινδύνου για την ασφαλή επεξεργασία των δεδομένων. Αυτός ο δείκτης κινδύνου λαμβάνεται υπόψη κατά τον σχεδιασμό της διαδικασίας ανωνυμοποίησης ή της λήψης άλλων τεχνικών και οργανωτικών μέτρων διασφάλισης των δεδομένων και το κατώτατο όριο του δείκτη αποτελεί το αντικειμενικά αποδεκτό ορίου κινδύνου που θα καθορίζει τις περαιτέρω απαιτούμενες ενέργειες που θα πρέπει να ληφθούν στην περίπτωση υπέρβασης αυτού του ορίου.

Από την αρχή του σχεδιασμού του συστήματος πληροφοριών λαμβάνεται υπόψη η τελική χρησιμότητα των ανωνυμοποιημένων δεδομένων, εξασφαλίζοντας, στο μέτρο του δυνατού, την απουσία στρεβλώσεων σε σχέση με τα μη ανωνυμοποιημένα δεδομένα. Με αυτόν τον τρόπο, θα διασφαλιστεί η χρησιμότητα των ανωνυμοποιημένων δεδομένων. Σε ορισμένες περιπτώσεις, προκειμένου να διασφαλιστεί η ιδιωτικότητα των ατόμων, μπορεί να είναι απαραίτητο να χρησιμοποιηθούν στρεβλώσεις γεωγραφικού εύρους, όπως στην περίπτωση ατόμων με παθολογικά ευρήματα εξαιρετικά σπάνια. Σε αυτές τις περιπτώσεις, ο αποδέκτης των πληροφοριών θα ενημερωθεί για τον λόγο αλλοίωσης του γεωγραφικού εύρους ή οποιοδήποτε άλλο είδος διακυμάνσεων που χρησιμοποιήθηκαν κατά τη διαδικασία ανωνυμοποίησης.

Τα μέτρα που εγγυώνται την ιδιωτικότητα των ενδιαφερόμενων μερών ισχύουν καθ’ όλη τη διάρκεια του κύκλου ζωής των πληροφοριών που βασίζονται στα δεδομένα χωρίς ανωνυμοποίηση. Για παράδειγμα, κατά την έναρξη της διαδικασίας ανωνυμοποίησης, οι μεταβλητές ταυτοποίησης που δεν θεωρούνται απαραίτητες ή που δεν είναι δυνατόν να ανωνυμοποιηθούν εξαλείφονται και, όταν χρειαστεί η αξιοποίηση των ανωνυμοποιημένων πληροφοριών, θα εξακολουθήσουν να λαμβάνονται μέτρα για να εξασφαλισθεί η ιδιωτικότητα των ενδιαφερομένων μερών, όπως για παράδειγμα εσωτερικοί έλεγχοι για την επαλήθευση της ορθής χρήσης των πληροφοριών κ.λπ.

Αναντίλεκτα για τη διασφάλιση της ιδιωτικότητας των ενδιαφερομένων μερών είναι απαραίτητη η εκπαίδευση και η σωστή ενημέρωση σχετικά με τα δεδομένα που διατίθενται στο προσωπικό που εμπλέκεται στη διαδικασία ανωνυμοποίησης, αλλά και στην εκμετάλλευση των ανωνυμοποιημένων πληροφοριών. Κατά τη διάρκεια του κύκλου ζωής των πληροφοριών, όλο το προσωπικό με πρόσβαση σε ανώνυμα ή μη ανωνυμοποιημένα δεδομένα προβλέπεται να είναι ειδικά εκπαιδευμένο και ενημερωμένο για τις υποχρεώσεις του και τον χειρισμό των δεδομένων. Ο σχεδιασμός του συστήματος πληροφοριών ή του προϊόντος που χρησιμοποιείται για τη διαδικασία ανωνυμοποίησης λαμβάνει υπόψη του την ανάγκη αυτή από το αρχικό στάδιο, αξιολογώντας τα προφίλ και τις ανάγκες όλων όσοι εμπλέκονται στη διαδικασία ανωνυμοποίησης.