O Regulamento Geral de Proteção de Dados e a Pseudonimização de Logs

Abstract

O novo Regulamento Geral de Proteção de Dados (RGPD) impõe que sejam utilizados vários níveis de proteção para garantir que os dados pessoais cumpram os requisitos de segurança da informação. Uma das técnicas recomendadas pelo RGPD para proteger dados pessoais é a Pseudonimização, que consiste em substituir, num documento, nomes reais por nomes fictícios (pseudónimos). Apesar de grande parte dos dados pessoais estarem contidos em documentos e bases de dados, ao nível da administração de sistemas é possível encontrar informações pessoais (endereços IP, e-mails e nomes de utilizador) nos ficheiros de registo recolhidos (logs), entre outros fins, para demonstrar a conformidade com o princípio da responsabilidade, imposto pelo regulamento. Numa primeira parte, este trabalho consiste no estudo dos processos de registo dos sistemas mais comuns e na caracterização da informação que é necessário pseudonimizar, de modo a que estes registos fiquem em conformidade com as diretivas impostas pelo RGPD. Em seguida, são apresentadas e analisadas algumas estratégias de pseudonimização possíveis, sendo avaliadas as respetivas vantagens e desvantagens de cada uma. Finalmente, são implementadas e testadas algumas soluções concretas de pseudonimização da informação contida nos ficheiros de registo dos sistemas e apresentadas as respetivas conclusões.