AmazeAmaze
← Wróć do bloga

Anonimizacja PII lokalnie vs w chmurze — co jest bezpieczne wg RODO?

8 min czytania

Lokalna (on-device) anonimizacja PII przetwarza dane w całości na Twoim komputerze, więc żaden podmiot zewnętrzny ich nie otrzymuje — nie ma nowego podmiotu przetwarzającego, z którym trzeba zawrzeć umowę, nie ma transferu do państwa trzeciego, ani dodatkowej powierzchni wycieku. Anonimizacja w chmurze wysyła surowe, wciąż identyfikowalne dane na serwer firmy zewnętrznej, zanim zostaną zamaskowane — a to według RODO dodaje podmiot przetwarzający (art. 28), możliwy transfer międzynarodowy (rozdział V) i kolejne miejsce, z którego dane mogą wyciec. Dla danych wrażliwych rozwiązanie lokalne to bezpieczniejszy domyślny wybór.

TL;DR

  • Anonimizacja lokalna = dane nigdy nie opuszczają urządzenia. Dostawca nic nie przetwarza, więc dla samego kroku anonimizacji nie potrzebujesz umowy powierzenia (DPA), nie stosują się przepisy o transferach, a całość działa nawet z odłączoną siecią.
  • Anonimizacja w chmurze = wysyłasz niezanonimizowane dane osobowe do dostawcy, żeby je zanonimizował. Ten upload to czynność przetwarzania przez nowy podmiot przetwarzający, często w państwie trzecim, jeszcze zanim cokolwiek zostanie zamaskowane.
  • Paradoks anonimizacji w chmurze: żeby chronić dane, najpierw musisz je ujawnić innej firmie.
  • Chmura bywa w porządku dla danych o niskiej wrażliwości, przy solidnej umowie powierzenia i legalnej podstawie transferu. Dla danych klientów, pacjentów lub danych szczególnej kategorii bezpieczniejszy jest wariant lokalny.
  • Amaze wykonuje całą anonimizację lokalnie — może działać w pełni w trybie air-gap, więc nic nie jest wysyłane po to, by zostać zamaskowane.

Jak faktycznie działa anonimizacja PII w chmurze?

Chmurowe narzędzie do anonimizacji PII działa według prostego schematu: wgrywasz dokument, ich serwer wykrywa i maskuje dane osobowe, a następnie odsyła zredagowaną wersję. Kluczowe słowo to wgrywasz. Maskowanie odbywa się na infrastrukturze, której nie kontrolujesz — co oznacza, że niezanonimizowane dane, czyli wersja wciąż zawierająca każde nazwisko, numer PESEL i adres e-mail, muszą trafić i znaleźć się (choćby w pamięci) w systemach firmy zewnętrznej, zanim cokolwiek zostanie usunięte.

Ta jedna decyzja projektowa ma według RODO cztery konsekwencje:

  1. Nowy podmiot przetwarzający. Dostawca przetwarza dane osobowe w Twoim imieniu, więc jest podmiotem przetwarzającym w rozumieniu art. 28 RODO. Artykuł 28 wymaga wiążącej umowy na piśmie (umowy powierzenia), która określa przedmiot, czas trwania, charakter i cel przetwarzania, rodzaj danych oraz obowiązki podmiotu przetwarzającego — w tym działanie wyłącznie na Twoje udokumentowane polecenie i stosowanie odpowiednich zabezpieczeń zgodnie z art. 32.
  2. Łańcuch podprzetwarzających. Większość dostawców SaaS działa na cudzej chmurze (AWS, Azure, GCP) i korzysta z kolejnych usług. Zgodnie z art. 28 zaangażowanie podprzetwarzającego wymaga Twojej wcześniejszej zgody, a pierwotny podmiot przetwarzający pozostaje w pełni odpowiedzialny za to, co robią podprzetwarzający. Każde ogniwo to kolejny podmiot dotykający Twoich danych.
  3. Możliwy transfer transgraniczny. Jeśli dostawca lub którykolwiek podprzetwarzający przechowuje albo przetwarza dane poza EOG, masz transfer międzynarodowy w rozumieniu rozdziału V (art. 44 RODO). Taki transfer jest legalny tylko przy decyzji o adekwatności albo odpowiednich zabezpieczeniach z art. 46, np. standardowych klauzulach umownych (SCC) — a po wyroku Schrems II SCC mogą dodatkowo wymagać oceny skutków transferu.
  4. Nowa powierzchnia wycieku. Dane w tranzycie oraz dane w spoczynku na cudzych serwerach to kolejne miejsce, które można źle skonfigurować, objąć nakazem sądowym albo naruszyć. Odpowiedzialności administratora nie da się scedować na dostawcę.

Jak działa anonimizacja lokalna (on-device)?

Anonimizacja lokalna wykonuje wykrywanie i maskowanie na Twoim własnym komputerze lub infrastrukturze, więc surowe dane nigdy nie opuszczają maszyny. Otwierasz plik lokalnie, narzędzie skanuje go na miejscu i powstaje wyłącznie zamaskowana wersja — nic nie jest przesyłane do przetworzenia. Amaze działa dokładnie tak: wykrywa i maskuje dane osobowe „w całości na Twoim komputerze lub infrastrukturze” i jest gotowy na tryb air-gap — możesz całkowicie odłączyć komputer od sieci, a anonimizacja nadal działa, bez żadnych połączeń wychodzących podczas przetwarzania dokumentu.

Ponieważ żaden podmiot zewnętrzny nigdy nie otrzymuje danych:

  • Nie ma podmiotu przetwarzającego, z którym trzeba zawrzeć umowę dla kroku anonimizacji — art. 28 dotyczy podmiotu, który otrzymuje dane, a tutaj nikt ich nie otrzymuje.
  • Nie ma transferu — dane nie przekraczają granicy, bo nie opuszczają urządzenia.
  • Narzędzie nie tworzy dodatkowej powierzchni wycieku — powierzchnią ataku pozostaje maszyna, którą i tak kontrolujesz i zabezpieczasz.

To najczystszy wyraz zasady minimalizacji danych i ochrony w fazie projektowania (art. 25, art. 32): najbezpieczniejszy sposób przetwarzania danych osobowych to w ogóle nigdzie ich nie wysyłać.

Czy anonimizacja PII w chmurze jest zgodna z RODO?

Może być — ale nigdy nie jest zgodna automatycznie. Legalne korzystanie z chmurowego narzędzia do anonimizacji oznacza, że musisz co najmniej:

  • podpisać z dostawcą umowę powierzenia z art. 28,
  • potwierdzić i autoryzować cały łańcuch podprzetwarzających,
  • zapewnić legalną podstawę transferu, jeśli jakiekolwiek przetwarzanie odbywa się poza EOG (adekwatność lub zabezpieczenia z art. 46 wraz z oceną ryzyka transferu tam, gdzie jest potrzebna),
  • upewnić się, że zabezpieczenia dostawcy z art. 32 są odpowiednie,
  • oraz uwzględnić dodatkową powierzchnię wycieku w ocenie ryzyka i — gdy to zasadne — w ocenie skutków dla ochrony danych (DPIA).

Nic z tego nie jest niemożliwe. To po prostu praca i ryzyko szczątkowe, które anonimizacja lokalna eliminuje w całości — bo wyzwalaczem tego wszystkiego jest otrzymanie danych przez dostawcę, a narzędzia lokalne nigdy ich nie otrzymują.

Anonimizacja lokalna vs w chmurze — tabela porównawcza

KryteriumLokalna (on-device)W chmurze
Gdzie przetwarzane są surowe daneNa Twoim komputerze / infrastrukturzeWgrywane na serwery dostawcy
Nowy podmiot przetwarzający (art. 28)?Nie — dostawca nie otrzymuje danychTak — dostawca to podmiot przetwarzający; wymagana umowa powierzenia
Łańcuch podprzetwarzających?Narzędzie żadnego nie wprowadzaZwykle tak (dostawca chmury + usługi)
Transfer transgraniczny (rozdział V)?Nie — dane nie opuszczają urządzeniaMożliwy — zależy od lokalizacji dostawcy/podprzetwarzającego
Umowa powierzenia dla kroku anonimizacji?NieTak (art. 28)
Dodatkowa powierzchnia wyciekuBrak poza Twoim urządzeniemDane w tranzycie + w spoczynku w systemach zewnętrznych
Działa offline / w trybie air-gap?TakNie — potrzebuje połączenia, by wgrać dane
Kto pozostaje odpowiedzialny jako administratorTyTy (odpowiedzialności nie da się przekazać)

Kiedy anonimizacja w chmurze jest akceptowalna?

Wariant lokalny jest bezpieczniejszym domyślnym wyborem, ale anonimizacja w chmurze bywa rozsądna, gdy:

  • dane mają niską wrażliwość (nie są danymi szczególnej kategorii, materiałem klienta/pacjenta/prawnym),
  • masz już z tym dostawcą zweryfikowaną umowę powierzenia i legalną podstawę transferu do innych celów,
  • potrzebujesz przetwarzania po stronie serwera na dużą skalę, którego lokalny sprzęt nie udźwignie, lub
  • anonimizacja jest częścią pipeline’u, który i tak legalnie działa w chmurze.

Anonimizację w chmurze trudno uzasadnić, gdy: przetwarzasz dane klientów, pacjentów lub dane szczególnej kategorii; nie masz umowy powierzenia ani podstawy transferu; działasz pod tajemnicą zawodową (prawnicy, lekarze); albo po prostu chcesz najmniejszej możliwej powierzchni ataku. W tych przypadkach zostaw dane na urządzeniu.

Przed i po: jak wygląda anonimizacja

Anonimizacja zastępuje każdy identyfikator spójnym znacznikiem, dzięki czemu tekst pozostaje użyteczny, a dane osobowe znikają.

Przed (surowe — to właśnie wgrałoby narzędzie chmurowe):

Pacjentka Anna Nowak (PESEL 85010212345), e-mail [email protected], przyjęta 12 marca z bólem w klatce piersiowej.

Po (zamaskowane — lokalnie, zanim cokolwiek zostanie wysłane):

Pacjentka [OSOBA] (PESEL [PESEL]), e-mail [EMAIL], przyjęta [DATA] z bólem w klatce piersiowej.

Przy anonimizacji lokalnej wersja „przed” nigdy nie opuszcza komputera. Przy anonimizacji w chmurze wersja „przed” to dokładnie to, co przesyłasz do firmy zewnętrznej — niezanonimizowany oryginał — po to, by odzyskać wersję „po”.

FAQ

Czy anonimizacja PII lokalnie jest bardziej zgodna z RODO niż w chmurze? Nie tyle jest „bardziej zgodna” w oderwaniu, ile usuwa kilka obowiązków. Ponieważ żaden podmiot zewnętrzny nie otrzymuje danych, dla kroku anonimizacji nie powstaje relacja podmiotu przetwarzającego z art. 28, nie ma transferu z rozdziału V ani dodatkowej powierzchni wycieku — jest po prostu mniej do udokumentowania i mniej rzeczy, które mogą pójść źle.

Czy przy narzędziu lokalnym nadal potrzebuję umowy powierzenia? Nie dla kroku anonimizacji, bo dostawca nigdy nie przetwarza Twoich danych. Nadal realizujesz własne obowiązki administratora (rejestr czynności, bezpieczeństwo, prawa osób), ale nie ma podmiotu, z którym trzeba zawrzeć umowę dla samego lokalnego maskowania. Zawsze potwierdź, że narzędzie faktycznie działa lokalnie i nic nie wysyła.

Czy anonimizacja w chmurze zawsze oznacza transfer międzynarodowy? Nie — tylko wtedy, gdy dostawca lub podprzetwarzający przechowuje albo przetwarza dane poza EOG. Musisz to jednak zweryfikować w całym łańcuchu podprzetwarzających, a sytuacja może się zmieniać w czasie. Wariant lokalny całkowicie omija to pytanie.

Czy dane nie są chronione w tranzycie do chmurowego anonimizera? Szyfrowanie w tranzycie i w spoczynku ogranicza ryzyko, ale go nie usuwa: dostawca i tak otrzymuje, przetwarza i może uzyskać dostęp do niezanonimizowanych danych — a to właśnie tworzy relację podmiotu przetwarzającego i powierzchnię wycieku. Szyfrowanie to zabezpieczenie, a nie brak transferu.

Czy anonimizacja lokalna działa w ogóle bez internetu? Tak. Poprawnie lokalne narzędzie działa w trybie air-gap — Amaze działa z odłączoną siecią i nie nawiązuje żadnych połączeń wychodzących podczas przetwarzania dokumentu, więc nadaje się nawet do środowisk izolowanych lub niejawnych.

Trzymaj wrażliwe dane na swoim komputerze

Jeśli Twoje dane są wrażliwe, najbezpieczniejsza anonimizacja to taka, która ich nigdy nie wysyła. Amaze wykrywa i maskuje dane osobowe — imiona i nazwiska (w tym polskie nazwiska we wszystkich przypadkach gramatycznych), adresy e-mail, numery telefonów oraz polskie identyfikatory jak PESEL, NIP, REGON i KRS — w całości na Twoim urządzeniu, dzięki czemu prawnicy, lekarze i analitycy mogą korzystać z ChatGPT, Claude i Gemini bez wysyłania danych klientów do chmury. Działa w pełni offline, a każde maskowanie jest odwracalne lokalnie Twoim prywatnym kluczem.

Powiązane materiały: