ГОСТ Р 55036—2012/ISO/TS 25237:2008
6.6.2.6 Неструктурированные компоненты данных
При наличии неструктурированныхданных вопрособ их разделении на идентифицирующие и обраба
тываемыеданные становится основным. Свободный текстдолжен считаться уязвимым и рассматриваться
как подлежащий удалению. Неструктурированные компоненты данных должны быть предметом следую
щих действий:
- определить, что вэтихкомпонентах всоответствии с политикой обеспечения конфиденциальности (и
желательным уровнем защиты конфиденциальности) может считаться идентифицирующей информацией:
- удалитьданные, не являющиеся необходимыми;
- включить в политики требование, согласно которому неструктурированные данные не должны со
держать непосредственно идентифицирующую информацию.
Те неструктурированные компоненты данных, которые всоответствии с политикой считаются неиден
тифицирующими. должны объединяться в качестве обрабатываемыхданных.
Свободный текст
При использовании существующих подходов к лсевдонимизации свободный текст нельзя рассмат
ривать как гарантированнообезличенный. Весь свободный текстдолжен быть предметом анализа угрозы
восстановления идентичности и соответствующей стратегии противодействия обнаруженным угрозам.
Противодействовать угрозам восстановления идентичности из оставленного свободного текста мож
но следующим образом.
- реализовывать политику, требующую, чтобы в свободном тексте не содержалась непосредственно
идентифицирующая информация (например, фамилии, имена, отчества пациентов, номера пациентов);
- проверять свободный текст на наличие в нем идентифицирующей информации (что можно сделать,
например в случае, когда свободный текст генерируется из структурированного текста):
- пересматривать, переписывать или превращатьданные в кодированную форму.
По мере развития процедур разбора и обработки текста на естественном языке для «очистки»данных
и алгоритмов лсевдонимизации угрозы восстановления идентичности из свободного теста могут сделать
приведенные требования менее строгими.
Свободный текстдолжен быть пересмотрен, переписан или каким-либо способом превращен вкоди
рованную форму.
Текстоаые/голосовые данные, содержание которых не может быть разобрано
Как и свободный текст, текстовые/голосоеые данные, содержание которых не может быть разобрано,
например речевые данные, должны быть удалены.
Медицинские изображения
Некоторые медицинские изображения содержат внутри себя идентифицирующую информацию (на
пример. наложение нарентгеновском снимке содержит идентификаторы пациента). При возникновении про
блемы с такими идентифицирующими данными, включенными в структурированный и кодированный заго
ловок сообщения в формате DICOM. необходимо применять указания, изложенные в дополнении 55 к
стандарту DICOM (Attribute Level Confidentiality — конфиденциальность на уровне атрибутов). Необходимо
также оценить угрозу восстановления идентичности по идентифицирующим характеристикам изображения
или по обозначениям, являющимся частью изображения.
6.6.2.7 Оценка угроз предположений
Следует понимать, что псевдонимизация не может полностью защитить персональные данные, по
скольку она не в полной мере противодействует атакам предположений. Применение служб псевдонимиза-
ции и обезличивания необходимодополнить оценкой угроз, стратегиями противодействия угрозам, полити
ками информированного согласия и другими средствами анализа данных, предварительной обработки,
последующей обработки. Администратор псевдонимизированных хранилищдолжен нести ответственность
за анализ содержания хранилищ данных на предмет угрозы предположений и за предотвращение раскры
тия содержания отдельных записей. Источникинформациидолжен нести ответственность за предваритель
ный анализ/предварительную обработку передаваемыхданных, защищающие эти данные от предположе
ний. основанных на наличии аномальныхданных, вложенных идентифицирующих данных и других нена
меренных раскрытий информации.
6.6.2.8 Конфиденциальность и безопасность
Всегда существует угроза, что псевдонимизированные данные могут бытьсвязаны с субъектом дан
ных. В свете этой угрозы собранныеданные должны рассматриваться как «персональныеданные» и дол
жны использоваться только для заявленных целей сбора. Во многих странах законодательство требует,
чтобы псевдонимизированные данные защищались наравне с идентифицирующими данными.
22