Hvad er kvasi-personoplysninger?
GDPR artikel 4 omfatter alle data, der kan identificere en person. Dataene behøver ikke nævne nogen direkte. De skal blot gøre identificering mulig med få ekstra trin.
Interne medarbejder-ID'er er et tydeligt eksempel. Tag værdien "EMP-EU-123456." Den streng navngiver ingen. Men HR-systemet har en simpel opslagstabel. EMP-EU-123456 svarer til Maria Schmidt, Senior Engineer, München. Enhver med adgang til den tabel kan finde hende. Ifølge GDPR er ID'et personoplysning.
Den samme regel gælder for andre interne koder:
- Kundekontonumre, der kobler til CRM-poster
- Projektkoder, der kobler til klientnavne i kontraktsystemer
- Sagsnumre i juridiske filer
- Journalnumre, der kobler til patientposter
Det er ikke tilstrækkeligt at fjerne navne og e-mailadresser. Hvis interne ID'er forbliver i en fil, er gen-identificering kun to trin væk.
Hvorfor dette hul fører til bøder
34 % af alle GDPR-bøder vedrører utilstrækkelige tekniske foranstaltninger i henhold til artikel 32. Tallet stammer fra DLA Pipers GDPR-årsrapport 2025. Manglende detektion af kvasi-identificerende interne identifikatorer falder ind under denne kategori.
EDPB behandlede over 900 konsistensmekanismesager i 2024. Grænseoverskridende håndhævelse betyder, at ét hul i et fælles datasæt kan føre til koordineret handling på tværs af flere EU-medlemsstater.
Standard PII-værktøjer finder universelle mønstre: navne, e-mailadresser, telefonnumre, nationale ID-numre. De kender ikke dit interne ID-format. Intet værktøj gør det, før du fortæller det. Det er kløften.
Sådan fungerer den kodefrihænge mønsterbygger
Et globalt logistikfirma skal anonymisere medarbejderposter til et eksternt revision. Deres medarbejder-ID'er bruger dette format: EMP-[REGION]-[6 cifre]. Tre eksempler: EMP-EU-123456, EMP-APAC-789012, EMP-AMER-345678.
Overholdelsesholdet indtaster tre eksempler i AI-mønsterhjælperen. AI'en returnerer:
- Mønster:
EMP-[A-Z]{2,4}-\d{6} - Matcher alle tre eksempler
- Foreslået entitetsnavn: EMPLOYEE-ID
- Anbefalet næste trin: test med flere regionskoder
Holdet tester ti eksempler mere. Mønsteret virker på dem alle.
De gemmer den brugerdefinerede entitet i teamets fælles GDPR-forudindstilling. Alle 47 dokumenter i revisionspakken behandles i ét batch. Hvert medarbejder-ID erstattes med en rollebaseret etiket. Revisionsfirmaet modtager filer, der ikke længere kan knyttes til enkeltpersoner.
Ingen ingeniørhjælp er nødvendig. Den samlede opsætning tager under en time.
Hvad sker der derefter
Når den brugerdefinerede entitet er gemt i en fælles forudindstilling, bruger alle teammedlemmer den samme opsætning. Nye medarbejdere får den fra dag ét. Batchjobs, API-kald og manuelle uploads anvender alle det samme mønster.
Revisionssporet viser, hvilken forudindstilling der blev brugt til hver fil. Hvis en databeskyttelsesmyndighed beder om dokumentation for din anonymiseringsproces, kan du fremvise den.
For den fulde arbejdsgang til opsætning af brugerdefinerede entiteter, se brugerdefinerede PII-identifikatorer til organisatorisk anonymisering. For at sikre konsistens på tværs af teams, se anonymiseringskonsistensforudindstillinger til GDPR-revision.