נקודות עיקריות
- פסאודונימיזציה אינה אנונימיזציה. מידע מפוסאודן נחשב מידע אישי לכל דבר, גם בדין האירופי.
- המבחן הוא יכולת קישור, לא כוונה. פסיקה בישראל אימצה גישה מרחיבה לסיווג מידע כאישי: די בכך שניתן לקשרו לאדם מסוים, גם בדרך של "הנדסה לאחור".
- צילוב מקורות הוא הסיכון המרכזי. שלושה שדות "לא מזהים" עלולים לזהות אדם בודד כשהם מוצלבים.
- אנונימיזציה אמיתית היא חד-כיוונית. אם שמרתם מפתח שמאפשר להחזיר את הזיהוי — לא ביצעתם אנונימיזציה.
- לפסאודונימיזציה יש ערך אמיתי כאמצעי הפחתת סיכון ומזעור מידע — רק אל תצהירו עליה כעל אנונימיזציה.
תוכן העניינים
- מהי אנונימיזציה של מידע אישי?
- מה ההבדל בין אנונימיזציה לפסאודונימיזציה?
- למה הסרת שם ותעודת זהות לא מספיקה?
- מתי כדאי להשתמש בכל אחת מהשיטות?
- איך מבצעים אנונימיזציה צעד אחר צעד?
- איך בודקים שהאנונימיזציה אכן עובדת?
- אילו שימושים עסקיים מתאימים לאנונימיזציה?
- שאלות נפוצות
אנונימיזציה של מידע אישי היא הנושא שעסקים רבים מנסים להישען עליו כדי לצאת מתחולת דיני הפרטיות — והנושא שבו ההנחות שגויות עולות הכי יקר. ההיגיון פשוט לכאורה: מידע שאינו מזוהה עם אדם אינו מידע אישי, ולכן הוא אינו מצריך הסכמה, אינו מקנה זכות עיון, ואינו מוגבל בהעברה. הקושי הוא שהרף ההוכחה למעבר הזה גבוה במיוחד, ורוב העסקים לא עוברים אותו. מי שבונה תשתית ציות מסודרת ימצא את המסגרת הכוללת במדריך תיקון 13 לבעלי עסקים ואתרים.
מהי אנונימיזציה של מידע אישי?
אנונימיזציה היא עיבוד בלתי הפיך שבסופו לא ניתן לזהות את האדם שמאחורי הנתונים — לא על ידי מי שמחזיק במידע ולא על ידי מי שישיג אותו בעתיד, גם בעזרת מקורות חיצוניים. שתי מילים בהגדרה עושות את כל העבודה: "בלתי הפיך" מוציאה מהמשחק כל פתרון ששומר מפתח זיהוי, ו"מקורות חיצוניים" מוציאה מהמשחק את ההנחה שדי לבדוק רק את הטבלה שלפניכם.
במחקר ובספרות המקצועית הודגש שהסרת רכיבים מזהים אינה מספקת תמיד הגנה מספקת מפני הסיכון שקישור נתונים יוביל בחזרה למידע מזוהה. לצד זאת, הפסיקה בישראל אימצה גישה מרחיבה לשאלה מה נחשב מידע אישי, ולפיה די בכך שניתן לקשר את המידע לאדם מסוים — גם אם הקישור דורש מאמץ של הנדסה לאחור.
מה ההבדל בין אנונימיזציה לפסאודונימיזציה?
ההבדל הוא הפיכות: בפסאודונימיזציה המזהה מוחלף במזהה אחר ונשמר מפתח שמאפשר לחזור אחורה, ובאנונימיזציה אין מפתח שכזה. זהו הבדל משפטי מהותי ולא סמנטי. מידע מפוסאודן נותר מידע אישי על כל המשתמע — גם לפי הגישה המקובלת בדין האירופי, ששם נקבע במפורש שמידע מפוסאודן אינו מידע אנונימי אלא מידע אישי הכפוף לרגולציה.
| מאפיין | מידע גולמי | פסאודונימיזציה | אנונימיזציה |
|---|---|---|---|
| ניתן לזהות אדם? | ישירות | כן, עם המפתח | לא |
| נחשב מידע אישי? | כן | כן | לא (אם בוצעה כראוי) |
| נדרשת הסכמה? | בד"כ כן | בד"כ כן | לא |
| חלות זכויות עיון ומחיקה? | כן | כן | לא |
| שימוש אופייני | תפעול שוטף | פיתוח, בדיקות, הפחתת סיכון | סטטיסטיקה, מחקר, פרסום |
למה הסרת שם ותעודת זהות לא מספיקה?
משום שזיהוי אינו נובע משדה אחד אלא מצירוף של שדות שאף אחד מהם אינו מזהה בפני עצמו. צירוף של יישוב, תאריך לידה, מקצוע ומצב משפחתי עשוי להשאיר אדם אחד בלבד במעגל הרלוונטי. במערכות מודרניות נוספים לכך שדות טכניים שנוח לשכוח — מזהה מכשיר, כתובת רשת, חותמות זמן מדויקות או נתוני מיקום — שהם מזהים לכל דבר.
שלוש טעויות שחוזרות בעסקים
- מספור רציף במקום שם. לקוח 1, לקוח 2 — והסדר זהה לסדר במערכת המקור, כך שהקישור טריוויאלי.
- שמירת המפתח "למקרה שנצטרך". ברגע שהמפתח קיים, המידע אינו אנונימי.
- שיארים קטנים מדי. שורה בדוח מצטבר שמייצגת אדם אחד חושפת אותו גם בלי שמו.
סיכון הקישור מתחדד במיוחד כשמדובר בקטגוריות רגישות. מה נכנס להגדרה המחמירה מפורט במאמר על מידע בעל רגישות מיוחדת.
מתי כדאי להשתמש בכל אחת מהשיטות?
פסאודונימיזציה מתאימה כשאתם עדיין צריכים לחזור לאדם בעתיד; אנונימיזציה מתאימה כשאתם צריכים רק את הדפוס, לא את האדם. בדיקה פשוטה שעוזרת להכריע: שאלו מה יקרה אם מחר מישהו יבקש לעיין במידע שלו או למחוק אותו. אם אתם מסוגלים לאתר אותו במאגר — המידע אינו אנונימי.
נקודה שעסקים מפספסים: אנונימיזציה היא גם כלי מחיקה לגיטימי. במקום למחוק דוחות היסטוריים שאתם צריכים לניתוח, אפשר לאנונים אותם ולשמור את הערך העסקי בלי להמשיך להחזיק מידע אישי. השיקול הזה נדון בהרחבה במאמר על מדיניות שמירה ומחיקה של מידע אישי.
איך מבצעים אנונימיזציה צעד אחר צעד?
התהליך מתחיל בהגדרת המטרה ומסתיים בבדיקת ניסיון זיהוי חוזר — לא במחיקת עמודות.
- הגדירו למה אתם צריכים את הנתונים. שאלה עסקית מדויקת מצמצמת את כמות השדות שצריך לשמר.
- מפו את כל השדות המזהים והמעין-מזהים. לא רק שם ות"ז אלא גם מזהה מכשיר, מיקום וחותמות זמן.
- הסירו או הכלילו. המרת תאריך לידה לקבוצת גיל או כתובת לאזור מפחיתה דראמטית את סיכון הזיהוי.
- בדקו שיארים קטנים. צירופי ערכים שמופיעים פעם אחת או פעמיים דורשים הכללה נוספת או השמטה.
- השמידו את המפתח. אם היה שלב ביניים של פסאודונימיזציה, השמדת המפתח היא הצעד שהופך אותו לאנונימיזציה.
- תעדו את השיטה ואת ההנחות. מסמך קצר שמסביר מה נעשה ולמה הוא הראיה שלכם בדיעבד.
- בצעו ניסיון זיהוי חוזר. נסו בעצמכם לשחזר זהות מתוך הקובץ, בעזרת מידע זמין נוסף.
איך בודקים שהאנונימיזציה אכן עובדת?
המבחן המעשי הוא לנסות לשבור את האנונימיזציה בעצמכם, באמצעות מידע שזמין לצד שלישי סביר. אם מי שמכיר את העסק יכול לזהות שורות בקובץ תוך דקות, המסקנה ברורה. בדיקה כזו צריכה להיעשות על ידי מי שלא ביצע את האנונימיזציה, כדי שלא תיבדקו את עצמכם.
שיקול נוסף שראוי לבדוק הוא לאן הקובץ עובר. קובץ שנשלח לספק ניתוח בחו"ל ואינו אנונימי באמת הוא העברת מידע אישי לכל דבר, עם כל התנאים שנלווים לכך. הנושא מפורט במאמר על העברת מידע אישי לחו"ל.
אילו שימושים עסקיים נפוצים מתאימים לאנונימיזציה?
ארבעה שימושים חוזרים בעסקים ישראליים מתאימים במיוחד לאנונימיזציה: ניתוח מגמות מכירות, סקרי שביעות רצון, בדיקות תוכנה בסביבת פיתוח, ודוחות שמועברים ליועצים חיצוניים. בכל אחד מהם הערך העסקי נמצא בדפוס ולא בזהות האדם, ולכן אין סיבה עסקית לשאת בסיכון של החזקת מידע מזוהה.
המקרה של סביבת הפיתוח הוא המעניין ביותר, משום שהוא גם הנפוץ ביותר וגם המוזנח ביותר. העתקת מסד הנתונים מהסביבה החיה לסביבת בדיקות היא פעולה שגרתית בהרבה ארגונים, והיא משכפלת את מספר העותקים של מידע אישי בלי שאף אחד קיבל החלטה מודעת על כך. סביבת בדיקות שעובדת על נתונים מאונונים מורידה את החשיפה בבת אחת, ולרוב אף לא פוגעת באיכות הבדיקות.
מתי אנונימיזציה אינה הפתרון
כשהשירות עצמו מחייב זיהוי — חיוב, משלוח, תמיכה אישית — אנונימיזציה אינה רלוונטית, והכלים הנכונים הם מזעור מידע, הגבלת הרשאות ומדיניות שמירה ברורה. השאלה הנכונה אינה "איך נאנונן הכל" אלא "אילו שימושים לא זקוקים לזהות בכלל".
שאלות נפוצות
האם הצפנה היא אנונימיזציה?
לא. הצפנה היא אמצעי אבטחה הפיך במהותו — מי שיש לו את המפתח רואה את המידע המלא. הצפנה מקטינה סיכון אבל אינה משנה את סיווג המידע כמידע אישי.
אם אנונימנו מידע, האם צריך עדיין לטפל בבקשת מחיקה?
אם האנונימיזציה בוצעה כראוי ואין דרך לקשר את הנתונים לאדם, לא ניתן מעשית לאתר אותו ולמחוק אותו, ובמקביל המידע כבר אינו מידע אישי. חשוב לוודא שהמערכות המקור שמהן נלקח המידע טופלו בנפרד.
האם מותר להשתמש במידע מאונון לאימון מודלי בינה מלאכותית?
אנונימיזציה אמיתית מסירה חלק גדול מהמחסום הרגולטורי, אבל צריך לזכור שמודלים עלולים לשנן דפוסים נדירים ולחשוף אותם בדיעבד. ראוי לבדוק את זה לפני האימון ולא אחריו.
מי צריך לאשר שהמידע אכן אנונימי?
אין גורם מאשר חיצוני מחייב. האחריות על העסק, ולכן ההגנה המעשית היא תיעוד של השיטה, ההנחות ובדיקת הזיהוי החוזר שבוצעה. במאגרים רגישים ראוי לערב אנשי מקצוע.
האם נתוני סטטיסטיקה מצטברת הם תמיד אנונימיים?
לא. נתונים מצטברים בפילוח עדין מדי עלולים לחשוף יחידים — למשל כשקבוצה מונה אדם אחד או שניים. לכן נהוג לקבוע סף מינימלי שמתחתיו לא מציגים פילוח.
לקריאה נוספת ומקורות
המידע במאמר זה הוא כללי ואינו מהווה ייעוץ משפטי. לפני קבלת החלטות יש להיוועץ בבעל מקצוע מוסמך.
