Il servizio di taxi danese Taxa 4 × 35 è soggetto a una multa di 1,2 milioni di corone (circa € 160.000) per non aver cancellato o reso anonimo i dati dei suoi utenti. Lo studio di questo esempio fa luce sul modo in cui le agenzie di protezione dei dati applicano i requisiti del GDPR per l'anonimizzazione dei dati.
Taxa 4 × 35 è un servizio danese che consente ai suoi utenti di chiamare un taxi a Copenaghen con un'app simile a Uber. Quando un utente chiama un taxi, il sistema Taxa raccoglie un assortimento di dati, tra cui il nome del cliente, il numero di telefono, la data del viaggio, l'ora di inizio e di fine del viaggio, il numero di chilometri percorsi, il pagamento, il GPS coordinate di inizio e fine del viaggio, nonché indirizzo scritto e altre coordinate. Taxa 4 × 35 collega quindi questi dati alle informazioni fiscali dell'utente per garantire che venga riscosso il giusto importo delle imposte.
Nell'ottobre del 2018, l'agenzia danese per la protezione dei dati, Datatilsynet , ha scoperto che Taxa aveva conservato i dati di quasi 9 milioni di corse in taxi per cinque anni, ben dopo che erano ancora necessari. Questa raccolta di dati va contro l' articolo 5 del regolamento generale sulla protezione dei dati dell'UE, in base al quale i dati personali devono essere "adeguati, pertinenti e limitati a quanto necessario in relazione agli scopi per i quali vengono elaborati" e "conservati in un modulo che consente l'identificazione delle persone interessate per un periodo non superiore a quello necessario per le finalità per le quali i dati personali sono trattati. "
La direzione di Taxa 4 × 35 riteneva di essere esenti da queste due sezioni dell'articolo 5, che rappresentano i principi di minimizzazione dei dati e limitazione della memorizzazione, poiché stavano anonimizzando i dati eliminando i nomi associati ai record di viaggio dal loro database dopo due anni. (I dati rimanenti sono stati quindi eliminati dopo cinque anni.) Datatilsynet ha ritenuto inadeguato questo tentativo di anonimizzazione dei dati, sottolineando che anche senza il nome dell'utente, Taxa 4 × 35 aveva ancora informazioni personali sufficienti per identificare un individuo. L'agenzia ha concluso che "Le informazioni sulla tassazione del cliente (compresi gli indirizzi di raccolta e consegna) possono quindi essere ancora attribuite a una persona fisica tramite il numero di telefono, che viene eliminato solo dopo cinque anni".
Puoi leggere la dichiarazione completa di Datatilsynet su Taxa 4 × 35 qui . (In danese)
Requisiti GDPR per l'anonimizzazione dei dati
Il GDPR fa differenze fondamentali tra dati personali , dati pseudonimizzati e dati anonimi. Il ragionamento di Taxa 4 × 35 secondo cui i dati anonimi possono essere utilizzati molto più a lungo dei dati personali era corretto. Secondo il considerando 26 , "I principi di protezione dei dati non dovrebbero pertanto applicarsi alle informazioni anonime, vale a dire informazioni che non si riferiscono a una persona fisica identificata o identificabile o ai dati personali resi anonimi in modo tale che l'interessato non sia o no più identificabile. "
Tuttavia, Taxa 4 × 35 non è riuscito a soddisfare gli elevati standard stabiliti dal GDPR per l'anonimizzazione dei dati. Precedentemente nel considerando 26, si afferma che non solo un'organizzazione deve considerare se può identificare un individuo utilizzando i dati che ha nel suo database, ma deve anche considerare:
tutti i mezzi ragionevolmente probabili da utilizzare, come la scelta, da parte del responsabile del trattamento o da parte di un'altra persona per identificare la persona fisica direttamente o indirettamente. Per accertare se i mezzi sono ragionevolmente probabili da utilizzare per identificare la persona fisica, è necessario tenere conto di tutti i fattori oggettivi, quali i costi e il tempo necessario per l'identificazione, tenendo conto della tecnologia disponibile al momento della elaborazione e sviluppi tecnologici.
Poiché è relativamente facile cercare un numero di telefono e abbinarlo a un individuo, il set di dati Taxa non è anonimo. Poiché i record non sono anonimi, sono comunque soggetti alle protezioni complete elencate nel GDPR, il che significa che Taxa 4 × 35 avrebbe dovuto eliminare i dati dopo due anni e disporre della documentazione per dimostrarli.
Anonimizzazione dei dati reali
L'anonimizzazione dei dati efficace è composta da due parti:
- È irreversibile.
- Viene fatto in modo tale che sia impossibile (o estremamente impraticabile) identificare l'interessato.
Nel WP 216 , il gruppo di lavoro ai sensi dell'articolo 29 ha esaminato diversi metodi di anonimizzazione dei dati e chiarito quali misure devono prendere i responsabili del trattamento e dei responsabili del trattamento. In particolare affermano che “la rimozione degli elementi di identificazione diretta in sé non è sufficiente per garantire che l'identificazione dell'interessato non sia più possibile. Spesso sarà necessario adottare misure aggiuntive per impedire l'identificazione, ancora una volta a seconda del contesto e delle finalità del trattamento a cui sono destinati i dati anonimi. "
Nell'esempio di Taxa 4 × 35, la giustificazione per il mantenimento del database per cinque anni è stata lo sviluppo del business. In questo caso, avrebbero potuto realizzare modelli accurati di quando e dove avevano bisogno di conducenti e rendere anonimi i loro dati eliminando tutti gli altri dati oltre alla data del viaggio, l'ora di inizio e fine del viaggio, il numero di chilometri percorsi e le coordinate GPS dell'inizio e della fine del viaggio. Quindi, avrebbero potuto raggruppare questi dati per giorno o posizione anziché per account. Ciò avrebbe consentito a Taxa di identificare gli hot spot geografici e le ore di punta per i suoi autisti, ma non gli avrebbe consentito di identificare singoli interessati.
Conclusione
Il GDPR ha lo scopo di dare alle persone il controllo sui propri dati personali, non per impedire alle aziende e alle organizzazioni di raccogliere i benefici che l'analisi dei big data può offrire. Comprendendo appieno i requisiti del GDPR relativi all'anonimizzazione dei dati, le organizzazioni possono continuare a elaborare i dati e ridurre la loro esposizione alle multe GDPR. Taxa 4 × 35 ha tentato di anonimizzare i suoi dati, ed è stato scoperto.
Il GDPR ha molti requisiti per la gestione dei dati personali. Può essere scoraggiante, ma abbiamo creato questo sito Web per aiutare le aziende con le basi della conformità al GDPR. Consulta la nostra lista di controllo del GDPR e una panoramica della legge per iniziare.