ГОСТ Р 55036—2012/ISO/TS 25237:2008
Персональныеданные можно разделить на две части в соответствии с критериями идентификации
(см. рисунок 2):
- обрабатываемыеданные: частьданных, содержащая характеристики, по которым субъект данных
не может бытьоднозначно идентифицирован; концептуально эти данные являются обезличенными;
- идентифицирующие данные: часть данных, содержащая совокупность характеристик, по которым
субъект данных может бытьоднозначно идентифицирован (напримердемографическиеданные).
(Пчнюютж! ■ диним)Сошиутаюотъжшржгарштш
Рисунок 2 — Разделение персональных данных
Следует обратить внимание, что концептуальное разделение персональныхданных на «идентифици
рующие» и «обрабатываемые» может вести к противоречию, а именно в случае, когда непосредственно
идентифицирующиеданные втоже время являются обрабатываемыми. При разработке метода псевдони-
мизации необходимо стремиться к снижению уровня непосредственно идентифицирующихданных, напри
мер, агрегируя эти данные в группы. В отдельных случаях, когда это невозможно (например для даты
рождения новорожденного), риск идентификации должен бытьотражен вдокументе политики безопаснос
ти. В следующем разделе настоящегостандарта разделение данных на обрабатываемые и идентифициру
ющие обсуждается скорее с практической точки зрения, нежели концептуальной. С концептуальной точки
зрения достаточно того, что такое разделение в принципе возможно. Важно отметить, что различие между
обрабатываемыми и идентифицирующими данными не является абсолютным.Для научного исследования
могут требоваться некоторые данные, которые принадлежат к числу идентифицирующих, например, год и
месяц рождения.
5.1.4.3 Концепция псевдонимизации
Для развития медицины важно, чтобы элементы данных конфиденциальных медицинских карт были
доступны для ведения научной работы, контроля качества медицинской помощи, образования и других
приложений. Согласно требованиям конфиденциальности и требованиям к научным исследованиям эти
элементыдолжны быть модифицированы таким образом, чтобы идентичность субъекта была скрыта.
Никакая процедура де-идентификации не может удовлетворить различным требованиям применения
персональных данных в медицине и в то же время гарантировать сокрытие идентичности. Для каждого
процесса обработки медицинских карт должна быть построена модель угроз, учитывающая следующие
факторы:
- цель обработки данных (например анализ):
- минимально необходимую информацию, которая должна быть предоставленадля достижения этой
цели;
- угрозы распространения персональныхданных (включая восстановление идентичности).
- существующие правила доступа к персональным данным.
Исходя из этих факторов, должны быть определены детали процесса доступа и модели угроз, а также
стратегия сокрытия идентичности. Эту процедуру необходимо проводить для каждого нового процесса
доступа к персональнымданным, хотя для многих различных процессовдоступа могут требоваться общая
стратегия и общие детали. Во многих случаях при использовании персональных данных в образовании
существуют общие цели и требования к минимально необходимой информации. Во многих клинических
испытаниях лекарственных средств используется общая стратегия, адетали процесса доступа могут ме
няться. Де-идентификация может требоваться не толькодля обеспечения конфиденциальности, но и при
других обстоятельствах, например при проведении простых и двойных слепых исследований, когда иден
тичностьсубъекта должна быть скрыта. Такие обстоятельства влияют на решение о предоставлении персо
нальных данных.
В настоящем подпункте приведена терминология, используемая для описания сокрытия идентифици
рующих данных.
7