Jak usunąć dane z PDF-a zgodnie z RODO

Art. 4 pkt 1 RODO definiuje dane osobowe jako informacje o zidentyfikowanej lub możliwej do zidentyfikowania osobie fizycznej. Kluczowe są słowa „możliwej do zidentyfikowania”. Chodzi nie tylko o bezpośrednie identyfikatory, lecz także o wszystko, co pozwala wskazać osobę bezpośrednio lub pośrednio, w tym numer identyfikacyjny, dane o lokalizacji, identyfikator internetowy czy cechy jej tożsamości fizycznej, fizjologicznej, genetycznej, psychicznej, ekonomicznej, kulturowej lub społecznej.

W praktyce lista jest dłuższa, niż podpowiada pamięć:

• Nazwiska, inicjały, podpisy, zdjęcia
• Adresy e-mail, numery telefonów, adresy zamieszkania, adresy IP
• Numery PESEL, numery paszportów, numery NIP, numery pracownika, sygnatury spraw
• Rachunki bankowe, numery IBAN, numery kart, kwoty wynagrodzeń
• Daty urodzenia, zatrudnienia i zakończenia współpracy
• Stanowisko razem z działem i biurem, gdy zespół jest na tyle mały, że to jedna osoba
• Notatki w wolnym tekście, które opisują kogoś dokładnie, nie podając nazwiska

Najczęściej umykają dwa ostatnie punkty. „Kierownik regionu, który w marcu był na zwolnieniu” może wskazywać w organizacji dokładnie jedną osobę. Motyw 26 RODO mówi wprost: przy ocenie możliwości identyfikacji bierze się pod uwagę środki, których użycie jest rozsądnie prawdopodobne, zarówno przez administratora, jak i inne osoby. Liczy się też wiedza odbiorcy.

Zamiana nazwisk na „Pracownik A” i „Pracownik B” może wyglądać jak rozwiązanie. Według art. 4 pkt 5 RODO jest to pseudonimizacja. Motyw 26 RODO wskazuje, że dane spseudonimizowane, które można przypisać osobie dzięki dodatkowym informacjom, nadal są danymi osobowymi. Nadal podlegają RODO, wymagają podstawy prawnej i są brane pod uwagę przy naruszeniu ochrony danych.

Dane anonimowe nie pozwalają na ponowną identyfikację przy użyciu środków, których zastosowanie jest rozsądnie prawdopodobne. To wysoki próg. Konsekwentne podstawianie danych według klucza go nie spełnia, zwłaszcza gdy sam układ informacji wskazuje, kto kryje się pod danym oznaczeniem.

Jeśli usuwasz dane, aby bezpiecznie udostępnić dokument, odbiorca nie może mieć możliwości odzyskania ich z przekazanego pliku. Czarny prostokąt narysowany na tekście zostawia go w strumieniu treści, skąd można go skopiować. To nie jest usunięcie danych. Dokument przygotowany w ten sposób, który trafi do niewłaściwego odbiorcy, stanowi naruszenie ochrony danych osobowych w rozumieniu art. 4 pkt 12 RODO. Wtedy biegnie termin zgłoszenia z art. 33 RODO.

W wyeksportowanym pliku muszą być spełnione trzy warunki:

1. Widocznego tekstu nie ma już w strumieniu treści, nie jest tylko przykryty.
2. Metadanych, adnotacji, komentarzy, załączników i zapisanej historii wersji też już nie ma.
3. Nic nie zostaje poza widocznym obszarem strony, na przykład w reszcie przyciętego obrazu.

Art. 5 ust. 1 lit. c RODO wymaga, aby przetwarzane dane były adekwatne, stosowne i ograniczone do tego, co niezbędne. Przepis kojarzy się z zakresem danych w dokumencie, ale dotyczy również samego przetwarzania.

Jeśli przesyłasz akta pracownicze do serwisu internetowego, by usunąć jedną kwotę wynagrodzenia, przekazujesz stronie trzeciej cały dokument i dane wszystkich osób, których dotyczy. Potrzebujesz wtedy podstawy prawnej tego przekazania, umowy powierzenia z art. 28 RODO, wpisu do rejestru z art. 30 RODO i odpowiedzi na pytanie, gdzie znajdują się serwery. Wszystko po to, by usunąć jedną liczbę.

Gdy praca odbywa się na urządzeniu, na którym plik już jest, nie dochodzi do przekazania. Nie pojawia się podmiot przetwarzający, umowa, wpis do rejestru ani pytanie o transfer, bo plik nigdzie nie trafia. To nie formalność. Mniej kopii w mniejszej liczbie miejsc to jeden z najpewniejszych sposobów ochrony prywatności.

Zanim zaczniesz, zapisz, kto dostanie dokument i co już wie. Od tego zależy zakres usuwania danych.

Pracuj na oryginalnym pliku, nie na skanie wydruku. Zachowasz warstwę tekstową, więc narzędzie może pomóc wykryć dane. Automatyczne wykrywanie wskaże kandydatów, ale dokument trzeba przeczytać samemu. Żaden zestaw reguł nie wychwyci każdego zdania, które opisuje osobę bez podawania jej nazwiska.

Użyj narzędzia, które usuwa treść, wyeksportuj dokument i otwórz wynikowy plik ponownie. Zaznacz miejsca po usuniętych danych i skopiuj je. Wyszukaj nazwisko, które usunąłeś. Sprawdź też właściwości dokumentu: autora, tytuł i pierwotną nazwę pliku. Jeśli nie miały trafić do odbiorcy, usuń je.

Zapisz też, co usunięto i dlaczego. Art. 5 ust. 2 RODO wprowadza zasadę rozliczalności. Krótka notatka w aktach jest łatwiejsza niż odtwarzanie toku rozumowania po dziesięciu miesiącach.

Skanowany PDF nie ma warstwy tekstowej. Kopiowanie niczego nie znajdzie, a strona może wyglądać bezpiecznie. Nie jest. Piksele nadal pokazują nazwisko, a OCR odczyta je jako tekst w kilka sekund.

W skanie muszą zmienić się same piksele. Jeśli narzędzie trwale nanosi pole na obraz i tworzy stronę od nowa ze zmodyfikowanego obrazu, działa prawidłowo. Jeśli tylko rysuje pole na obrazie, problem pozostaje, tylko ma dodatkowy krok.

---

To nie jest porada prawna. Granicę między wystarczającym a niewystarczającym usunięciem danych powinien ocenić IOD lub prawnik, znając konkretny dokument. Część techniczna nie wymaga takiej oceny: bajty albo zniknęły, albo nadal są w pliku. Da się to sprawdzić w dziesięć sekund.