Pseudonymisering er defineret i GDPR artikel 4, nr. 5. Det er en behandling, hvor oplysningerne ikke længere kan henføres til en bestemt person uden brug af supplerende oplysninger, forudsat at de supplerende oplysninger opbevares separat og er beskyttet. Nøglen findes altså stadig. Den ligger bare et andet sted.
Forskellen på anonymisering
Anonymisering er ikke defineret i artiklerne. Præambelbetragtning 26 siger, at reglerne ikke bør gælde for anonyme oplysninger.
Det giver kerneforskellen, og den er ikke en gradsforskel:
- Pseudonymiserede oplysninger er stadig personoplysninger. GDPR gælder fuldt ud. Du skal have et behandlingsgrundlag, du skal slette, og den registrerede har sine rettigheder.
- Anonyme oplysninger falder helt uden for forordningen.
Datatilsynet stiller den betingelse, at anonymisering skal være uigenkaldelig for at falde uden for reglerne. Kan du selv finde tilbage til personen, er du ikke i mål.
De tre prøver
Artikel 29-gruppens Opinion 05/2014, WP216, opstiller tre prøver, en anonymisering skal bestå:
- Singling out. Kan en enkelt post isoleres til én person?
- Linkability. Kan poster kobles sammen på tværs af datasæt?
- Inference. Kan en egenskab udledes af det, der står tilbage?
Består datasættet ikke alle tre, er anonymiseringen ikke reel. Det er en hård prøve, og en del datasæt, der bliver kaldt anonyme, dumper på den første.
Retstilstanden er under afklaring
Her skal man være forsigtig. EDPB vedtog 16. januar 2025 sine Guidelines 01/2025 om pseudonymisering. Den 4. september 2025 afsagde EU-Domstolen dom i EDPS mod SRB, sag C-413/23 P, med en mere kontekstuel tilgang, der trækker i en anden retning end udkastet.
Det betyder ikke, at pseudonymiserede data nu er anonyme. Det betyder, at spørgsmålet om, hvornår oplysninger er personoplysninger for en modtager, der ikke selv har nøglen, ikke er endeligt afklaret. Bygger du en løsning på, at et datasæt falder uden for GDPR, står du på et grundlag, der kan flytte sig.
Ved identitetskontrol er nøglen næsten altid der
Det praktiske spørgsmål ved et KYC-forløb eller en aldersgrænse er ikke, om du kalder feltet pseudonymt. Det er, om koblingen findes.
Har du erstattet CPR-nummeret med et token, men gemt tabellen, er svaret ja. Så er det pseudonymisering, og dataminimering efter artikel 5, stk. 1, litra c gælder stadig. Den eneste måde at slippe helt uden om er ikke at få oplysningen ind i første omgang.