Dzienniki Urzędowe - rok 2020 poz. 14

Na podstawie art. 35d ust. 4 ustawy z dnia 29 czerwca 1995 r. o statystyce publicznej (Dz. U. z 2020 r. poz. 443) zarządza się, co następuje:

1) szyfrowanie za pomocą tajnego klucza, które polega na przechowywaniu danych osobowych w zbiorze danych w formie zaszyfrowanej, przy czym tylko posiadanie klucza szyfrującego pozwala na pełen dostęp do danych osobowych i ich odszyfrowanie;

2) funkcja skrótu (funkcja hashująca), która polega na skróceniu każdej wielkości w danej liście atrybutów do stałej określonej wartości, przy czym funkcji tej nie można odwrócić do prawidłowego zapisu bez znajomości zakresu wartości, jakie zostały poddane skracaniu oraz sposobu w jakim skracanie zostało wykonane;

3) funkcja skrótu z kluczem przechowywanym, polegająca na rozbudowaniu funkcji skrótu, która dodatkowo wykorzystuje do ochrony prywatności tajny klucz, przy czym do odszyfrowania danych i powrotu do pierwotnej formy danych niezbędne jest wykorzystanie tajnego klucza;

4) szyfrowanie deterministyczne lub funkcja skrótu z kluczem usuwanym, które polegają na wygenerowaniu pseudonimu w postaci losowej liczby (numeru) dla każdego atrybutu w bazie danych, a następnie usunięciu tabeli korelacji;

5) tokenizacja, która polega na wykorzystaniu jednokierunkowych mechanizmów szyfrujących lub na przypisaniu danych za pomocą funkcji indeksu, sekwencji, liczb lub losowo wygenerowanych liczb, które nie zostały w sposób matematyczny uzyskane z danych pierwotnych.

2. Decyzja o możliwości pseudonimizacji danych osobowych i wybór sposobu ich pseudonimizacji przy uwzględnieniu celu i zakresu przetwarzania danych, aktualnych możliwości technicznych, ryzyka naruszenia danych oraz praw lub wolności osób fizycznych wynikających z przetwarzania, następuje na etapie projektowania i przygotowywania procesu przetwarzania danych osobowych w celu statystycznym.

3. Informacje o wybranym sposobie pseudonimizacji danych osobowych oraz sposobie jej odwrócenia są informacją podlegającą szczególnej ochronie.

1) zebrane dane osobowe do momentu pseudonimizacji są przechowywane i przetwarzane wyłącznie w bezpiecznym, szczególnie chronionym środowisku;

2) przed pseudonimizacją dane są sprawdzane pod względem formalnym, a następnie, po zatwierdzeniu, są niezwłocznie pseudonimizowane, jeżeli pozwala na to cel przetwarzania;

3) przed pseudonimizacją dopuszcza się poddanie zebranych danych osobowych procesom standaryzacji i integracji w bezpiecznym, szczególnie chronionym środowisku, o ile wymaga tego cel i zakres przetwarzania;

4) odwrócenie pseudonimizacji może nastąpić wyłącznie w zakresie niezbędnym do uzyskania celu statystycznego.

Prezes Dominik Rozkrut