Je hashovaný údaj osobný údaj?

[Martin Sršeň]

Plánujeme informačný systém pre školenie zamestnancov a prišlo k otázke ukladania osobných údajov. Chceme nejakým spôsobom jednoznačne identifikovať osoby (kvôli právnym účelom) ale nechceme ukladať ich osobné údaje.

Napadla ma teda otázka. Ak sa uložia osobné údaje (číslo občianskeho, rodné číslo...) v zahešovanej podobe (SHA256 a podobne), berie sa to stále ako osobný údaj?

[Reklama]

[Filip Jirsák]

Pokud by z hashe nešlo získat původní údaj, osobním údajem by neměl být. Problém je, že rodná čísla i čísla OP jsou tak krátká, že vyzkoušením všech možností ten původní údaj z hashe snadno získáte.

Rodné číslo není dobrý identifikátor, protože existují duplicity. Číslo občanského průkazu se zase v čase mění.

[Jamie]

Jak píše Filip, takže raději bych použil Argon2, než planý SHA.
A ať to alespoň chroustá vteřinu (i na silným počítači). Ono by toho útočníka potom omrzelo čekat na pouhé jedno rodné číslo cca. 20 tisíc let.

[.]

A kam se přihlašuješ číslem občanky, že tě napadla taková otázka?

[Tomas2]

ano, hash čísla občanky je shodný pro zákon jako kdybyste měli uloženo samotné číslo.

Velice důležité v tomhle případě je, jestli text, který hashujete je možné získat dopředu. Mohu si nagenerovat všechna možná čísla občanek, udělat hashe a poté vlastně mám čísla vašich občanek a vy máte problém, došlo k jednoznačné identifikaci z vašich údajů a o tom to celé je.

Stejný problém nastává pokud takhle hashujete, jména, adresy, emaily atd. atd. Pokud vám jde o bezpečnost (chválím to) a nechce ukládat samotná čísla, přidejte k textů před hashováním unikátní seed pro každý takový záznam, stejně tak přidejte tajný dlouhý text, který máte někde bezpečně zašifrovaný. Pokud někdo nezvoře implementaci, je to dostatečné, abyste mohli být v klidu.

Pořád ale platí, že tím nevyhnete legislativě a bude na vás pohlíženo jako na zpracovatele osobních údajů, budete muset podstoupit všechny potřebné kroky, s GDPR těch kroků bude hodně.

Mluvím ze zkušeností z finančních a bankovního sektoru, kde podobné triky jsme se mnohokrát snažili použít, nelíbí se to soudům, úřadům, interním právníkům. Neprochází ani varianta s poměrně složitou strukturou takových údajů, kde je pro útočníka složité to dopředu složit (jméno, adresa, datum, číslo občanky atd.).

V německé pobočce jedné pojišťovny se používá zajímavé řešení. Na pobočce si skontrolují a ověří doklady (občanku, čísla atd.), podepíší smlouvu, kterou nechají podepsat před notářem (asi naše obdoba ověřeného podpisu na poště) a poté pojištěnci vydají ID kartičku s jeho unikátním číslem, zvolí si pin, sváží s telefonním číslem a to je vše. Ve svém systému nemají žádné osobní informace evidované o daném klientovi a až v případě pojistné události takové informace zjišťují a ověřují. Moc podrobnosti neznám, mám tohle jen z doslechu a berte to jako tip, kde by mohl být prostor se vyhnout ukládání údajů.

[Reklama]

[JardaK]

Rodné číslo není dobrý identifikátor, protože existují duplicity.

A kolik takových duplicit existuje Pokud se narazí na duplicitu, tak v zájmu dané osoby je ověřit si zda se jedná o duplicitu a hlavně si to velmi rychle vyřešit.

V rejstříku obyvatel (ROB) se rodné číslo používá jako jednoznačný identifikátor fyzické osoby.

PS: neříkám že k duplicitám nedošlo...

[JardaP .]

Rodné číslo není dobrý identifikátor, protože existují duplicity.

Ano, pry existuji. Uz jste nejakou osobne potkal? Kolik jich asi v CR bude, aby to muselo delat vrasky nekomu pro nejaka skoleni? Navic ty duplicity nejspis pochazeji z doby pred centralnim registrem, takze pokud neplanuji skoleni pro duchodce, tak to asi bude jeste mensi problem, nez by se na prvni pohled zdalo.

[?]

Pokud na základě těch údajů dokážeš identifikovat konkrétní osobou, což je účelem plánovaného systému, jedná se o osobní údaje.

Je jedno, jestli porovnáváš dvě rodná čísla, nebo dva hashe rodných čísel, neboť výsledek je stejný.

Můžeš to klidně zahashovat a osolit, ale až ti někdo sebere databázi i se solí, tak bude stejně schopen dostat se k původním osobním údajům.

Ve výsledku máš bezpečnější, když si ofotíš občanku (kde jsou všechny ty údaje) a hodiš to do trezoru. Alespoň se to neválí někde v počítači. Každej rok pak záznamy starší než rok/dva skartovat. Nemusíš tak alespoň řešit to, že jsou ty údaje v X let starých zálohách nějakýho počítače, který se pochopitelně mazat nemůžou.

[Filip Jirsák]

raději bych použil Argon2, než planý SHA.
A ať to alespoň chroustá vteřinu (i na silným počítači). Ono by toho útočníka potom omrzelo čekat na pouhé jedno rodné číslo cca. 20 tisíc let.

Dvacet tisíc let? Rodné číslo se skládá z data narození, pohlaví, trojmístného pořadového čísla a kontrolní číslice. Za rok se tedy teoreticky může vydat maximálně necelých 730 000 rodných čísel. (Teoreticky tedy dvojnásobek, protože pokud by rodná čísla v jeden den došla, k měsíci se ještě přičte 20, aby tak vznikla nová řada, ale pokud vím, takové rodné číslo nikdy nebylo vydáno. Ale pokud chcete, výsledek si klidně přenásobte dvěma.) Když budu počítat osoby od narození do sta let, dělá to tím tempem jedno rodné číslo za vteřinu necelého dva a půl roku. Na jednom počítači. To je 8 dní na stovce počítačů, necelý den na tisícovce. Ve skutečnosti se denně narodí zhruba 300 dětí, takže místo těch 2000 rodných čísel pro každý den mi jich stačí vyzkoušet třeba 400. Za půl roku budu mít vypočítané hashe rodných čísel pro celou ČR.

Ne, prostě když je na vstupu málo entropie, žádné hashování to nezachrání.

[Tomas2]

k duplicitám rodných čísel, potkal jsem v databázích již několik (jednotky) duplicitních rodných čísel, vše starší ročníky ještě z dob komančů. Dokonce existují čísla, která vůbec nesplňují pravidla, prostě je někdo asi omylem zapsal a zůstalo to tak, kdo ví, těm lidem to ale nezávidím, kdekoho napadne si validovat RČ a dále ho nepouštět.

Úřady dříve k jednoznačné identifikaci vždy přidávaly místo narození, jak je to dnes, netuším. V žádné databázi, kterou jsem potkal nemá RČ constraint na unique nebo nedej bože, aby to byl primární sloupec.

[Petr M]

Pokud jde o interní školení a zaměstnance, tak za ty se platí zákona daň, zdravotní, sociální,... Navíc co se týká školení, tak tam je "povinnost zaměstnavatele prokazatelně seznámit zaměstnance s ...." (BOZP,...) ze zákona a to bez osobních údajů nejde. Takže zaměstnavatel MUSÍ zpracovávat osobní údaje zaměstnanců, i kdyby nechtěl. Není cesta, jak to obejít

Navíc třeba v IS má každý zaměstnanec osobní číslo, podle kterýho se dá taky dělat prezenčka. Jenom ke školení uložit čísla zaměstnanců (tabulka datum-kód školení-ID zaměstnance) a spárovat to s tabulkou zaměstnanců v IS. Tím pádem tam nedržíš přímo ve školeních osobní údaje.

Mimochodem, nejčistší řešení by asi bylo modulem z/do firemního IS...

[Martin Sršeň]

Rodné číslo není dobrý identifikátor, protože existují duplicity.

Pre rozsah našej aplikácie to vadiť nebude

A kam se přihlašuješ číslem občanky, že tě napadla taková otázka?

Bolo by to len pre úvodné potvrdenie registrácie, prípadne reset hesla.

Pokud na základě těch údajů dokážeš identifikovat konkrétní osobou, což je účelem plánovaného systému, jedná se o osobní údaje.

Navíc co se týká školení, tak tam je "povinnost zaměstnavatele prokazatelně seznámit zaměstnance s ...." (BOZP,...) ze zákona a to bez osobních údajů nejde. Takže zaměstnavatel MUSÍ zpracovávat osobní údaje zaměstnanců, i kdyby nechtěl. Není cesta, jak to obejít

Ako vidím tak asi sa tomu problému nevyhneme.

Ďakujem všetkým za odpovede a tipy. Moc ste mi pomohli ujasniť si problematiku.

[Filip Jirsák]

Pre rozsah našej aplikácie to vadiť nebude

Pořád mi chybí informace, zda jde o nějaká interní školení např. zaměstnanců, nebo školení pro veřejnost. V prvním případě už je stejně někde evidované máte, v druhém případě tam klidně může přijít někdo, kdo rodné číslo nemá, navíc to rodné číslo vůbec nepotřebujete – pro takovéhle případy je ideální e-mail.

Bolo by to len pre úvodné potvrdenie registrácie, prípadne reset hesla.

Rodné číslo takhle použít nejde, není to tajný údaj a teoreticky ho může znát kde kdo. Máte nějaký důvod neudělat to stejně, jako všichni ostatní – tj. použít e-mail?

[Filip Jirsák]

Dokonce existují čísla, která vůbec nesplňují pravidla, prostě je někdo asi omylem zapsal a zůstalo to tak, kdo ví, těm lidem to ale nezávidím, kdekoho napadne si validovat RČ a dále ho nepouštět.

Nejčastější případ je, že při výpočtu kontrolní číslice vyšlo, že by to mělo být 10 – rodné číslo se v takovém případě mělo přeskočit a použít další. Ale někdy místo toho dali jako kontrolní číslici nulu.

To, že by validace kontrolní číslice rodného čísla měla být měkkou kontrolou se aspoň trochu ví. Ale pokud by se někdy přidělila rodná čísla s přičtenou dvacítkou k měsíci, to bych teprve těm lidem nezáviděl, protože s tím nepočítá skoro nikdo.

ČSSZ vydávala cizincům bez rodného čísla nějaké svoje číslo, které vypadalo jako rodné číslo, akorát se něco přičítalo myslím ke dni narození. A někteří lidé si myslí, že tohle je jejich rodné číslo.

Zkrátka s rodnými čísly je zábava a už aby byla zrušena. Ale jako pomocný čistě orientační údaj jsou fajn…

[Radovan.]

(BOZP,...) ze zákona a to bez osobních údajů nejde.

Školiteli jsem rodné číslo odmítl prozradit, spokojil se s datem narození.
To pro něj spolu se jménem byla dostatečná identifikace - v rámci těch pár tisíc lidí co má na starosti.