Kuidas PDF-i isikuandmete kaitse üldmääruse järgi peita

Isikuandmete kaitse üldmääruse artikli 4 lõike 1 järgi on isikuandmed igasugune teave tuvastatud või tuvastatava füüsilise isiku kohta. Selles määratluses loeb sõna „tuvastatav”. See hõlmab otseseid tunnuseid ja kõike muud, mille põhjal saab inimese otse või kaudselt kindlaks teha: identifitseerimisnumbrit, asukohaandmeid, võrguidentifikaatorit ning tema füüsilise, füsioloogilise, geneetilise, vaimse, majandusliku, kultuurilise või sotsiaalse identiteedi tunnuseid.

Päris dokumendis on neid rohkem, kui esialgu meelde tuleb:

• Nimed, initsiaalid, allkirjad, fotod
• E-posti aadressid, telefoninumbrid, postiaadressid, IP-aadressid
• Isikukoodid, passinumbrid, maksukohustuslase numbrid, töötajanumbrid, toimikunumbrid
• Pangakontod, IBAN-id, kaardinumbrid, palgasummad
• Sünni-, tööle asumise ja töösuhte lõppemise kuupäevad
• Ametinimetus koos osakonna ja kontoriga, kui meeskond on nii väike, et see on üks inimene
• Vabas tekstis märkused, mis kirjeldavad inimest täpselt, teda nimetamata

Peitmine jääb enamasti pooleli just kahe viimase punkti juures. „Piirkonnajuht, kes oli märtsis haiguslehel” viitab organisatsiooni sees täpselt ühele inimesele. Isikuandmete kaitse üldmääruse põhjenduspunkti 26 järgi tuleb tuvastatavust hinnata nende vahendite põhjal, mida võidakse mõistlikult kasutada. Arvesse läheb ka saaja enda teadmine.

Nimede asendamine „töötaja A” ja „töötaja B” vastu tundub lahendusena. Isikuandmete kaitse üldmääruse artikli 4 lõike 5 järgi on see pseudonüümimine. Põhjenduspunkti 26 järgi on lisateabe abil isikuga seostatavad pseudonüümitud andmed endiselt isikuandmed. Need jäävad üldmääruse kohaldamisalasse, vajavad õiguslikku alust ja lähevad rikkumise korral arvesse.

Anonüümsed andmed on sellised, mille põhjal ei ole kedagi mõistlikult võimalik uuesti tuvastada. See on kõrge lävi. Järjekindel võtmel põhinev asendus seda ei ületa, eriti dokumendis, kus inimese tuvastab juba see, kus ja kui sageli ta esineb.

Kui peidad andmeid selleks, et dokumenti oleks turvaline avaldada, ei tohi teavet olla võimalik üleantavast failist taastada. Teksti peale tõmmatud must ristkülik jätab teksti sisuvoogu ning selle saab kopeerida. See ei ole peitmine. Nii „peidetud” dokument, mis jõuab soovimatu saajani, on isikuandmetega seotud rikkumine isikuandmete kaitse üldmääruse artikli 4 lõike 12 tähenduses. Siis hakkab kulgema artikli 33 kohane teavitamistähtaeg.

Eksporditud faili puhul peavad paika pidama kolm tingimust:

1. Nähtavat teksti ei ole enam sisuvoos. See ei ole lihtsalt kaetud.
2. Eemaldatud on ka metaandmed, märkused, kommentaarid, manused ja salvestatud versiooniajalugu.
3. Midagi ei ole jäänud nähtavast leheküljealast väljapoole, näiteks kärbitud pildi ülejäänud ossa.

Isikuandmete kaitse üldmääruse artikli 5 lõike 1 punkt c nõuab, et töödeldaks ainult seda, mis on asjakohane, oluline ja vajalik. Seda tõlgendatakse sageli dokumendi sisu kohta käiva reeglina, kuid oluline on ka töötlemisviis.

Kui laadid personalitoimiku veebiteenusesse, et peita üks palgasumma, saadad kolmandale isikule kogu dokumendi koos kõigi selles mainitud inimestega. Selleks edastuseks on vaja õiguslikku alust, isikuandmete kaitse üldmääruse artikli 28 kohast volitatud töötleja lepingut, kannet artikli 30 registris ning selgust serverite asukoha kohta. Seda kõike ühe numbri pärast.

Kui töötled faili seadmes, kus see juba asub, ei toimu edastust. Pole volitatud töötlejat, lepingut, registrikannet ega edastamise küsimust, sest midagi ei liikunud. See pole formaalsus. Vähem koopiaid vähemates kohtades on kõige töökindlam privaatsusmeede.

Enne alustamist pane kirja, kes dokumendi saab ja mida ta juba teab. Sellest sõltub, kui palju tuleb peita.

Tööta originaalfailiga, mitte väljaprinditud ja uuesti skannitud koopiaga. Nii jääb tekstikiht alles ja automaatne tuvastus saab aidata. Lase sel võimalikke kohti leida, kuid loe dokument ise läbi. Ükski reeglistik ei leia lauset, mis kirjeldab inimest teda nimetamata.

Peida andmed tööriistaga, mis sisu eemaldab, ekspordi dokument ja ava eksporditud fail uuesti. Vali peidetud alad ning kopeeri need. Otsi peidetud nime. Vaata dokumendi omadusi. Kas seal on autor, pealkiri või algne failinimi, mida ei kavatsenud saata? Kui on, eemalda need.

Seejärel pane kirja, mida peitsid ja miks. Isikuandmete kaitse üldmääruse artikli 5 lõige 2 nõuab vastutuse tõendamist. Lühike märge toimikus on palju lihtsam kui kümne kuu pärast oma kaalutlusi taastada.

Skannitud PDF-il puudub tekstikiht. Kopeerimine ei leia midagi ja lehekülg tundub turvaline. Kuid ei ole. Pikslid näitavad endiselt nime ning OCR muudab selle mõne sekundiga jälle tekstiks.

Skannitud dokumendi peitmisel peavad muutuma pikslid ise. Kui tööriist põletab musta kasti pildi sisse ja ehitab lehekülje muudetud pildi põhjal uuesti, toimib see. Kui tööriist joonistab kasti pildi peale, jääb alles sama probleem, ainult ühe lisasammuga.

---

See ei ole õigusnõustamine. Piir piisava ja ebapiisava peitmise vahel on hinnangu küsimus, mille peaks konkreetse dokumendi puhul otsustama sinu andmekaitsespetsialist või jurist. Tehniline pool ei vaja hinnangut: baidid on kas eemaldatud või alles. Seda saad kümne sekundiga ise kontrollida.