Üldmääruse artikli 4 kohaselt on pseudonüümimine „isikuandmete töötlemine sellisel viisil, et isikuandmeid ei saa enam täiendavat teavet kasutamata seostada konkreetse andmesubjektiga, tingimusel et sellist täiendavat teavet hoitakse eraldi ja andmete tuvastatud või tuvastatava füüsilise isikuga seostamise vältimise tagamiseks võetakse tehnilisi ja korralduslikke meetmeid“. Seega asendatakse pseudonüümimisel kõik inimese otsest või kaudset tuvastamist võimaldavad andmed ehk identifikaatorid pseudonüümiga, misjärel ei ole ta enam tuvastatav.
Siiski on pseudonüümimine tagasipööratav. Üldmääruses nimetatud täiendava teabe – võtme, koodi või muu tuvastamist võimaldava info – abil saab taastada algupärase seose andmete ja isiku vahel. See täiendav teave võib kõige lihtsamal kujul olla näiteks tabel inimese tuvastamist võimaldavatest andmest ja nende asendamiseks määratud pseudonüümidest. Turvalisuse tagamiseks peab seda teavet hoolega kaitsma.
Niisiis on pseudonüümimine üldmõiste kõigi andmetöötlusmeetodite kohta, mis võimaldavad nii isiku deidentifitseerimist (umbisikustamist) kui ka reidentifitseerimist (taasisikustamist). Ei tohi unustada, et pseudonüümitud andmed on endiselt isikuandmed. Isegi kui teadlased ei suuda andmetele peale vaadates isikut tuvastada, tuleb neid andmeid kohelda samamoodi kui tuvastamist võimaldavaid andmeid ja järgida tuleb kõiki andmekaitsepõhimõtteid.
Eesti õigusruumis valitsevad pseudonüümitud andmete kohta eri arusaamad. Näiteks on Andmekaitse Inspektsioon juhtinud tähelepanu IGUS-e § 7 muutmise vajaduse kohta. Nimelt sätestatakse selles: „Pseudonüümitud koeproovide, pseudonüümitud DNA kirjelduste ja pseudonüümitud terviseseisundi kirjelduste töötlemise suhtes ei kohaldata isikuandmete töötlemist reguleerivaid sätteid juhul, kui koeproove, DNA kirjeldusi või terviseseisundi kirjeldusi töödeldakse hulgana ja tingimusel, et töödeldavaid proove või kirjeldusi on üheaegselt vähemalt viie geenidoonori kohta.“ Ent üldmääruse põhjenduses 26 on öeldud, et pseudonüümitud andmeid tuleks käsitleda teabena tuvastatava füüsilise isiku kohta. Seega ei saa pseudonüümitud geneetilisi ega terviseandmeid liigitada isikustamata andmeteks, millele üldmäärus ega IKS ei kohaldu.
Üldmääruse kohaselt suurendab pseudonüümimine isikuandmete töötlemise turvalisust ja lõimitud andmekaitset. Sealjuures tuleb järgida minimaalsuspõhimõtet: kui töötlemise käigus ei ole vaja teada isikut, kelle kohta andmed käivad, ei ole põhjendatud ka isikustatud andmete töötlemine. Seega ei puuduta pseudonüümimine vaid isikuandmete edastamist, vaid ka ühe teadusasutuse tööd või teadusprojekti, et vähendada nende teadlaste hulka, kes saavad andmete põhjal inimesi tuvastada.
Mida tundlikumad on andmed, seda vajalikum võib olla pseudonüümimine. Samuti tuleks seda kaaluda siis, kui andmeid edastatakse kolmandatele isikutele.
Isikuandmed tuleks pseudonüümida esimesel võimalusel. Näiteks mitme välismaise partneriga teadusprojektis tuleks seda teha vahetult pärast andmete kogumist ja enne analüüsiga alustamist või andmete edastamist projektipartneritele.
Nagu on öeldud Euroopa Liidu Küberturvalisuse Ameti (ENISA) 2019. aasta juhendis pseudonüümimisvõtete ja parimate tavade kohta, võib pseudonüümijaks olla kas vastutav töötleja, volitatud töötleja või usaldusväärne kolmas isik. Andmete töötlemise turvalisuse tagab aga alati vastutav töötleja.
Pseudonüümimine on kindlasti vajalik mitme asutuse ühise teadusuuringu puhul. Näiteks võivad kaks või enam partnerit olla kaasvastutavad töötlejad, kuid neil tuleb leppida kokku, et isikuandmeid koguv teadusasutus pseudonüümib andmed enne kaasvastutavatele partneritele edastamist. Sel viisil järgitakse andmetöötluse minimaalsus- ja turvalisuspõhimõtet. Samuti võib isikuandmed pseudonüümida volitatud töötleja (nt küsitlusettevõte), enne kui ta need teadusasutusele üle annab.
Asutuse või projektipõhiste pseudonüümimispõhimõtete kehtestamisel võib lähtuda ENISA juhendist pseudonüümimisvõtete ja parimate tavade kohta, kus soovitatakse pseudonüümimismeetodi valikule läheneda riskipõhiselt. Riskidena võetakse arvesse võimalikke ründeid pseudonüümitud andmestikele, andmete tundlikkust, käideldavust ja nende kaitsmise vajadust.
Enamasti ei piisa pseudonüümimiseks vaid inimese nime ja isikukoodi asendamisest pseudonüümiga, vaid kaaluma peab kõiki andmeid, mis on temaga lihtsasti seostatavad. Tähtis on ka andmete tüüp – näiteks ei sobi identifikaatorite pseudonüümimine kujutiste ja pildiliste andmete puhul, kuid see on kasulik, kui kujutiste failinimed või metaandmed sisaldavad identifikaatoreid, millel on isikute tuvastamist võimaldavad tunnused. Pseudonüümitud andmete töötleja ei tohi suuta andmete taga peituvaid isikuid tuvastada.
Identifikaatorite asendamiseks pseudonüümiga on eri viise:
Olenemata meetodist on oluline kaitsta pseudonüümimise saladust – võtit, koodi, meetodit või muid andmeid, mis võimaldavad ühendada pseudonüümi isikuga. Kui see saladus küberründe tulemusena lekib, on võimalik tuvastada inimesed kõigis andmestikes, mis on pseudonüümitud kujul koostatud. Veelgi ohtlikum on selline rünne juhul, kui kasutatakse alati ühesugust pseudonüümimismeetodit. Sel juhul võib tekkida väga tõsine privaatsuse riive.
Saladuse hoidmiseks peaks juurdepääs depseudonüümimisteabele olema võimalikult vähestel inimestel, kuid neid peaks olema rohkem kui üks, et olla valmis olukorraks, kus teabe valdajaga midagi juhtub või kui ta töölt lahkub.
[1] Kvaasiidentifikaator on sugu, vanus, rahvus või muu tunnus, mis eraldiseisvalt ei suuda isikut üheselt tuvastada, aga võimaldab koos teiste tunnustega luua otsese identifikaatori, mis viitab konkreetsele isikule.