Szerintem:

Az azonosíthatóság a kritérium, tök mindegy milyen jellegű az adat. Ez alapján pl ha az usernevem az, hogy 9m85tq6zi5dcn734y és semmi más adatpont nem kapcsolódik ehhez, az nem személyes adat, mert nem lehet az alapján azonosítani. Ha mellette a user táblában ott a rendes nevem, lakcímem, adószámom stb, akkor ezekkel együtt már a 9m85tq6zi5dcn734y is személyes adattá válik. Tehát nem lehet izolációban vizsgálni, hacsak nem izolált maga az adattörzs is. Ha én az user táblából kidumpolom a username oszlopot, és nincs mellette ott a többi adat és odaadom neked, akkor a te szemszögedből nem vagyok azonosítható, szóval szerintem önmagában nem is személyes adat, hiszen nem vagyok annak az adatnak a kontextusában azonosítható természetes személy. Ha az usernevem a teljes nevem, anyám neve és születési dátumom, akkor már más a dolog. És innentől kezdve eléggé nyitott a kérdés, hogy azonosítható vagy-e a nickneved alapján: hát attól függ, hogy mi az a nicknév, használod-e máshol nyilvánosan, joggal feltételezhető-e, hogy azt te használtad, nem más adta meg ugyanazt véletlenül stb. Ebből kategorikus igen válasz nem lesz, legfeljebb egyes esetekben lehet rámutatni, hogy a nickneved az önmagában kielégíti a személyes adat kritériumát, de az a kivétel és nem az általánosság se nem az alapértelmezés.

Az is érdekes, hogy a brute-force-olással történő adatkinyerés keletkezteti-e az érintett személy azonosíthatóságát. Szerintem ez sem fekete-fehér, ezt konkrét ügyben tudná csak eldönteni a bíróság, mert számtalan dologtól függ. Azt mondod kicsi a felhasználónevek entropiája, de tipikusan felhasználónév tetszőleges alfanumerikus azonosító lehet, és a hosszára sem szokott lenni szigorú megkötés. Szóval mi alapján mondod, hogy kicsi? Meg mi számít elégségesnek? 10 kör SHA-256 már elég lenne? Vagy 100, vagy 1000? Hol a határ? Lehet erre kategorikus választ adni, miközben látjuk, hogy a különbség valójában kvantitatív és nem kvalitatív?

Amúgy érdekes cikk, habár én úgy láttam másról szól: nevezetesen hogy más forrásból rendelkezésre álló adatokkal kiegészítve de-anonimizálható lehet egy adatbázis.

Amúgy ebben az értelemben eléggé hiányos a GDPR, mert sok esetben pont a benne foglalt kritériumok miatt nem az adat alapján dől el, hogy mi számít személyes adatnak: Ha én más forrásból származó adatokkal összevetésben be tudlak azonosítani,akkor személyes adat az én vonatkozásomban, de aki nem fér hozzá azokhoz a kiegészítő adatokhoz, annak számára továbbra sem az, ami röhely, mert ezzel azt mondja, hogy semmilyen adatról nem lehet eldönteni, hogy személyes adat-e önmagában, hanem mindig csak konkrét esetben és ugyanaz az adat lehet A személy kezében személyes adat, míg B kezében meg nem. Hát ezt így könnyű ám alkalmazni...