Infoturbe nõuded (EN ISO 19650-5)
Infoturbe nõuded (EN ISO 19650-5)
Triage process for publication or disclosure of information
4.2 Does information contain any personal data?
Isikuandmed hõlmavad ainult teavet füüsiliste isikute kohta, kes:
- keda saab või kes on tuvastatavad otseselt kõnealuse informatsiooni kaudu;
- keda saab kaudselt tuvastada ühe informatsiooni kombineerimise läbi teise informatsiooniga.
Selleks, et hinnata, kas teave sisaldab isikuandmeid, on vaja teada, mis on muu info või mis info võib olla koosesitatav. Ei piisa, kui püütakse otsustada, kas teave on isiklik või mitte, kasutades absoluutseid kriteeriume (nt andmete endi mittesuhtelisi omadusi). Seega tuleks hinnangu andmisel, kas teave sisaldab isikuandmeid, kaaluda, millises kontekstis ja täpsemalt millises infokeskkonnas see avaldataks.
GDPR-i artiklis 4 on isikuandmetel järgmine määratlus:
„isikuandmed“ – igasugune teave tuvastatud või tuvastatava füüsilise isiku („andmesubjekti“) kohta; tuvastatav füüsiline isik on isik, keda saab otseselt või kaudselt tuvastada, eelkõige sellise identifitseerimistunnuse põhjal nagu nimi, isikukood, asukohateave, võrguidentifikaator või selle füüsilise isiku ühe või mitme füüsilise, füsioloogilise, geneetilise, vaimse, majandusliku, kultuurilise või sotsiaalse tunnuse põhjal;
See on lai määratlus, eriti kuna koondamise kaudu teave, mis eraldiseisvalt ei tuvasta ega muuda isikut tuvastatavaks, võib koondamise või seostamise kaudu viia isiku tuvastamiseni või muuta isiku tuvastatavaks.