چالش‌های حقوقی ناشناس‌سازی و بازشناسایی داده‌های شخصی

قربان نیا, امیرمحمد; شاکری, زهرا

doi:10.22034/bs.2025.2056995.3090

چالش‌های حقوقی ناشناس‌سازی و بازشناسایی داده‌های شخصی

نوع مقاله : پژوهشی (توصیفی- تحلیلی)

نویسندگان

امیرمحمد قربان نیا ¹

زهرا شاکری ²

¹ دانش آموخته کارشناسی ارشد، حقوق خصوصی، دانشگاه تهران، تهران، ایران

² دانشیار دانشکده حقوق وعلوم سیاسی دانشگاه تهران-تهران- ایران

10.22034/bs.2025.2056995.3090

چکیده

ناشناس‌سازی داده‌‌های شخصی، یکی از راه‌کارهای کلیدی در حفاظت از حریم خصوصی و رعایت الزامات قانونی پردازش داده‌ها است؛ لکن چالش‌هایی مثل پیچیدگی فنی و هزینه‌های اجرای صحیح این روش‌ها، کاهش دقت و کاربرد داده‌ها و وجود حجم زیادی از داده‌های مکمل راجع به اشخاص و امکان بازشناسایی ایشان، مانع تاثیرگذاری حداکثری ناشناس‌سازی می‌شوند. مقاله حاضر از نوع کاربردی و با روش توصیفی-تحلیلی، با عنایت به سکوت قوانین ایران درمورد ناشناس‌سازی و اختلاف بین تعاریف خارجی و همینطور عدم پرداخت به جزییات و کاستی‌های آن در مقررات بین‌المللی، به معرفی ناشناس‌سازی و پاسخ‌دهی به مسائلی مانند اینکه معیار تشخیص داده‌های ناشناس از منظر قانونی چیست و اینکه چگونه می‌توان ریسک افشای هویت را کاهش داد و چه روش‌های فنی برای اجرای ناشناس‌سازی مناسب‌تر است؛ می‌پردازد. یافته‌‌ها و نتایج نشان می‌دهد که ناشناس‌سازی در برابر داده‌های مکمل، بسیار آسیب‌پذیر است. در نتیجه سیاست‌گذاران و فعالان حوزه داده باید به‌ جای اتکا به ناشناس‌سازی به‌عنوان راه‌‌حلی قطعی، با رویکردی چندلایه برای کاهش ریسک بازشناسایی به تدوین سیاستی نوین برای اشتراک‌گذاری یا انتشار داده‌های شخصی بپردازند

کلیدواژه‌ها

بازشناسایی داده‌ها / حریم خصوصی اطلاعاتی / داده‌های شخصی / ناشناس‌سازی داده‌ها

موضوعات

حقوق

عنوان مقاله English

Legal Challenges of Anonymization and Re-identification of Personal Data

نویسندگان English

Amirmohammad Ghorbannia ¹

zahra shakeri ²

¹ Master’s Graduate in Private Law, University of Tehran, Tehran, Iran

² Associate Professor, Faculty of Law and Political Science, University of Tehran

چکیده English

Anonymization of personal data is a key mechanism for privacy protection and compliance with legal requirements in data processing. However, challenges such as the technical complexity and cost of proper implementation, reduced data accuracy and usability, and the existence of vast amounts of auxiliary data about individuals, which may enable re-identification, undermine the effectiveness of anonymization. This study, employing a descriptive-analytical method, addresses the legal gap in Iranian law regarding anonymization, the discrepancies in international definitions, and the lack of detailed regulations and the associated shortcomings in international legal frameworks. The article examines issues such as the legal criteria for determining whether data is truly anonymized, how the risk of identity disclosure can be minimized, and which technical methods are most suitable for anonymization. The findings indicate that anonymization is highly vulnerable to re-identification when auxiliary data is available. Consequently, policymakers and data governance stakeholders should move beyond reliance on anonymization as a definitive solution and adopt a multi-layered approach to mitigate re-identification risks, thereby formulating a novel policy for the sharing and disclosure of personal data.

کلیدواژه‌ها English

Data Anonymization / Data Re

identification / Informational Privacy / Personal Data

اکبری، علی و فلاحیان، مهدی، (1400)، حریم خصوصی در نظام حقوقی ایران و اسلام، فصلنامه تمدن حقوقی، 4(9)، صص 361-382. doi: 10.22034/lc.2022.137509.

اوسط، امیرعلی و امام، سید محمد رضا و وزیری، مجید، (1402)، تحلیل و بررسی مفهوم حریم خصوصی و تاثیر آن بر سلامت اجتماعی از منظر فقه امامیه، سبک زندگی اسلامی با محوریت سلامت، 7(2)، صص 545-552.

امیری، فاطمه، (۱۳۹۹)، حفظ حریم خصوصی در برون‌سپاری داده‌های سامانه‌های اطلاعاتی با تکیه بر سودمندی داده، پژوهشنامه پردازش و مدیریت اطلاعات، ۳۶(۱), صص ۲۱۱-۲۴۲، doi: 10.35050/JIPM010.2020.019.

حسینی، مهدی و برزویی، محمدرضا، (1396)، مبانی و مؤلفه‌های فقهی حمایت از حریم خصوصی افراد در فضای مجازی، مطالعات حقوق بشر اسلامی، 6(13)، صص ۱۱۵-۱۳۷.

عباس نیا، حامد، (۱۴۰۲)، حق پاک کردن داده‌های شخصی از فضای مجازی، پایان نامه کارشناسی ارشد، دانشکده حقوق و علوم سیاسی دانشگاه تهران.

فرحزادی، علی اکبر و ناصر، مهدی، (۱۴۰۰)، حق بر تبادل داده‌های خصوصی و راه‌کارهای رفع چالش‌های آن در سازوکار عملکرد ابزارهای اینترنت اشیا، بررسی‌های بازرگانی، ۱۹(۱۰۹)، صص ۱۱۵-۱۲۹، doi: 10.22034/bs.2021.247050.

لطیف زاده، مهدیه و قبولی درافشان، سید محمد مهدی و محسنی، سعید و عابدی، محمد، (1402)، حمایت از دادۀ شخصی در حقوق اتحادیۀ اروپا و امکان‌سنجی آن در نظام حقوقی ‏ایران، فصلنامه مطالعات حقوق عمومی دانشگاه تهران، 53(2)، صص 981-1005. doi: 10.22059/jplsq.2021.324694.2786.

مرادی، عباس، (1400)، تعادل بین دسترسی کاربران به ریزداده‌ها و حفظ حریم خصوصی واحدهای آماری در آمار رسمی، بررسی‌های آمار رسمی ایران، 32(1)، صص 125 -150.

ناصر، مهدی و تاج، سید امیر علی، (۱۳۹۹)، ارائه مدلی فناورانه برای حل چالش‌های حاصل از عدم تقارن اطلاعات در بیمه مالکیت صنعتی، بررسی‌های بازرگانی، ۱۸(۱۰۱), صص ۴۵-۶۲.

نخجوانی، نرگس، (1400)، حقوق حمایت از داده‌های شخصی، چاپ اول، کتاب طه، قم.

هدایت نظری، فائزه و محمدی، اکبر، (۱۴۰۳)، موردپژوهی توسعه تجارت الکترونیک کشورهای پیشرو در عصر اقتصاد دیجیتال، بررسی‌های بازرگانی، ۲۲(۱۲۸)، صص ۲۷-۵۰، doi: 10.22034/bs.2024.2027427.2959.

Abbasnia, Hamed, (1402), The Right to Delete Personal Data from Cyberspace, Master’s Thesis, Faculty of Law and Political Science, University of Tehran, [In Persian].

Abdul, Majeed & Sungchang, Lee, (2020), Anonymization Techniques for Privacy Preserving Data Publishing: A Comprehensive Survey, IEEE Access, 9, pp 8512-8545, doi: 10.1109/ACCESS.2020.3045700.

Akbari, Ali & Fallahian, Mehdi, (1400), Privacy in the Iranian and Islamic Legal System, Journal of Legal Civilization, 4(9), pp 361-382. doi: 10.22034/lc.2022.137509, [In Persian].

Amiri, Fatemeh, (1399), Privacy protection in outsourcing information systems data based on data usefulness, Journal of Information Processing and Management, 36(1), pp. 211-242, doi: 10.35050/JIPM010.2020.019, [In Persian].

Bourdillon, Stalla & Alison, Sophie and Knight, (2017), Anonymous Data v. Personal Data, A False Debate: An EU Perspective on Anonymization, Pseudonymization and Personal Data, Wisconsin International Law Journal, 34(2), pp 1-38.

Bourdillon, Stalla & Burt, Andrew, (2023), The definition of ‘anonymization’ is changing in the EU: Here’s what that means, Available at: (https://iapp.org/news/a/the-definition-of-anonymization-is-changing-in-the-eu-heres-what-that-means) Visited 2025/01/29.

Boté Vericad, Juan José & Termens, Miquel, (2019), Reusing Data: Technical and Ethical Challenges, DESIDOC Journal of Library & Information Technology. 39(6), pp 329-337, doi: 10.14429/djlit.39.6.14807.

Brasher, E, (2018), Addressing the Failure of Anonymization: Guidance from the European Union’s General Data Protection Regulation, Columbia Business Law Review, (1), pp 209-253, Doi: 10.7916/cblr.v2018i1.1217.

Chawla, Shuchi et al, (2005), Toward Privacy in Public Databases, In: Kilian, J. (eds) Theory of Cryptography. TCC 2005. Lecture Notes in Computer Science, 3378. Springer, Berlin, Heidelberg, Doi: 10.1007/978-3-540-30576-7_20.

Chunchun, Ni & Li, Shan Cang & Prosanta, Gope & Geyong, Min, (2022), Data anonymization evaluation for big data and IoT environment, Information Sciences, 605, pp 381-392, doi: 10.1016/j.ins.2022.05.040.

Devane, Heather, (2024), What Are the Top Data Anonymization Techniques? Available at: (https://www.immuta.com/blog/data-anonymization-techniques/) Visited 2025/02/13.

Dwork, C, (2006), Differential Privacy, In: Bugliesi, M., Preneel, B., Sassone, V., Wegener, I. (eds) Automata, Languages and Programming. ICALP 2006, Lecture Notes in Computer Science, 4052, Springer, Berlin, Heidelberg, doi: o/10.1007/11787006_1.

Farahzadi, Ali Akbar and Nasser, Mehdi, (1400), The right to exchange private data and solutions to overcome its challenges in the functioning mechanism of Internet of Things devices, Commercial Survays, 19(109), pp. 115-129, doi: 10.22034/bs.2021.247050, [In Persian].

Gadotti, Andrea et al, (2024), Anonymization: The imperfect science of using data while preserving privacy, Sci. Adv, 10(29), pp 1-22, doi: 10.1126/sciadv.adn7053.

Germany Foundation for Data Protection, (2022), Practice Guide to Anonymising Personal Data, pp 1-59.

Groos, D. & Veen, E, (2020), Anonymised Data and the Rule of Law, European Data Protection Law Review, 6, pp 498-508, Doi: 10.21552/edpl/2020/4/6.

Gruschka, Nils & Mavroeidis, Vasileios & Vishi, Kamer & Jensen, Meiko, (2018), Privacy Issues and Data Protection in Big Data: A Case Study Analysis under GDPR, IEEE International Conference on Big Data pp 5027-5033, Doi: 10.1109/BigData.2018.8622621.

Hedayat Nazari, Faezeh and Mohammadi, Akbar, (1403), Case study of e-commerce development in leading countries in the era of digital economy, Commercial Survays, 22(128), pp. 27-50, doi: 10.22034/bs.2024.2027427.2959, [In Persian].

Hosseini, Mehdi & Borzoei, Mohammad Reza, (2017), Jurisprudential Principles and Components of Protecting Individuals’ Privacy in Cyberspace, Islamic Human Rights Studies, 6(13), pp 115-137, [In Persian].

Ji, S & Mittal, P & Beyah, R, (2017), Graph Data Anonymization, De-Anonymization Attacks, and De-Anonymizability Quantification: A Survey, IEEE Communications Surveys & Tutorials, 19(2), pp 1305-1326, doi: 10.1109/COMST.2016.2633620.

Latifzadeh, Mahdieh & Qabouli Dorafshan, Seyed Mohammad Mahdi & Mohseni, Saeed & Abedi, Mohammad, (1402), Protection of Personal Data in European Union Law and Its Feasibility in the Iranian Legal System,Journal of Public Law Studies, University of Tehran, 53(2), pp 981-1005. doi: 10.22059/jplsq.2021.324694.2786, [In Persian].

Moradi, Abbas, (1400), Balance between users’ access to microdata and maintaining the privacy of statistical units in official statistics, Iranian Official Statistics Reviews, 32(1), pp. 125-150, [In Persian].

Nasser, Mehdi and Taj, Seyed Amir Ali, (1399), Presenting a Technological Model to Solve the Challenges Resulting from Information Asymmetry in Industrial Property Insurance, Commercial Survays, 18(101), pp. 45-62, [In Persian].

Ohm, Paul, (2009), Broken Promises of Privacy: Responding to the Surprising Failure of Anonymization, UCLA Law Review, 57, pp 1701-2010.

Owsat, Amir Ali & Imam, Seyyed Mohammad Reza & Waziri, Majid, (1402), Analysis and investigation of the concept of privacy and its impact on social health from the perspective of Imamiyyah jurisprudence, Islamic Lifestyle with a Health Focus, 7(2), pp 545-552, [In Persian].

Richman, Amitai, (2024), Data Anonymization vs Data Masking: Definitions and Use Cases, Available at (https://www.k2view.com/blog/data-anonymization-vs-data-masking/#Data-anonymization-defined) Visited 2025/01/19.

Richman, Amitai, (2023), Re-Identification of Anonymized Data: What You Need to Know, Available at: (https://www.k2view.com/blog/re-identification-of-anonymized-data) Visited 2025/02/15.

Rubinstein, Ira & Hartzog, Woodrow, (2015), Anonymization and Risk, Public Law Research Paper, 15(36), pp 1-59.

Rupp, Valentin & Grafenstein, Max von, (2024), Clarifying personal data and the role of anonymisation in data protection law: Including and excluding data from the scope of the GDPR (more clearly) through refining the concept of data protection, Computer Law & Security Review, 52, pp 1-25, Doi: 10.2139/ssrn.4409587.

Stam, A & Kleiner, B, (2020), Data anonymization: legal, ethical, and strategic considerations, FORS Guide, 11(1.0.), pp1-15, doi:10.24449/FG-2020-00011.

Stummer, Sarah, (2022), Issues of Verifying Anonymity: An Overview, Gesellschaft für Informatik (Jahrestagung) Conference, pp 179-194, doi: 10.18420/inf2022_17.

Usercentrics, (2024), Everything you need to know about data anonymization, Available at: (https://usercentrics.com/knowledge-hub/data-anonymization/) Visited 2025/01/20.

VicenÃ, Torra, & Guillermo, Navarro-Arribas, (2016), Big Data Privacy and Anonymization, pp 15-26, DOI: 10.1007/978-3-319-55783-0_2.

Vokinger, K & Stekhoven, D & Krauthammer, M, (2020), Lost in Anonymization - A Data Anonymization Reference Classification Merging Legal and Technical Considerations, J Law Med Ethics, 48(1), pp 228-231, Doi: 10.1177/1073110520917025.