Hva er kvasi-PII?
GDPR artikkel 4 dekker alle data som kan identifisere en person. Dataene trenger ikke navngi noen direkte. De trenger bare a gjore identifikasjon mulig gjennom ekstra trinn.
Interne ansatt-ID-er er et klart eksempel. Ta verdien "EMP-EU-123456". Den strengen navngir ingen. Men HR-systemet har en enkel oppslagstabell. EMP-EU-123456 tilsvarer Maria Schmidt, Senior Engineer, Munchen. Alle med tilgang til den tabellen kan finne henne. Under GDPR er ID-en personopplysninger.
Den samme regelen gjelder for andre interne koder:
- Kundekonto-numre som kobler til CRM-poster
- Prosjektkoder som kobler til klientnavn i kontraktsystemer
- Saksreferansenumre i juridiske filer
- Medisinske journalnumre som kobler til pasientjournaler
A fjerne navn og e-postadresser er ikke nok. Hvis interne ID-er forblir i en fil, er re-identifikasjon bare to trinn unna.
Hvorfor dette gapet forer til beter
34 % av alle GDPR-boter involverer utilstrekkelige tekniske tiltak under artikkel 32. Det tallet kommer fra DLA Pipers GDPR-arsrapport for 2025. Manglende evne til a oppdage kvasi-identifiserende interne identifikatorer faller inn i denne kategorien.
EDPB behandlet over 900 konsistensmekanisme-saker i 2024. Grenseoverskridende handhevelse betyr at ett gap i et delt datasett kan fore til koordinert handling pa tvers av flere EU-medlemsstater.
Standard PII-verktoy finner universelle monstre: navn, e-postadresser, telefonnumre, nasjonale ID-er. De kjenner ikke ditt interne ID-format. Intet verktoy gjor det for du forteller det. Det er gapet.
Hvordan den kodefrie monster-byggeren fungerer
Et globalt logistikkselskap trenger a anonymisere ansattjournaler for en ekstern revisjon. Ansatt-ID-ene deres bruker dette formatet: EMP-[REGION]-[6 sifre]. Tre eksempler: EMP-EU-123456, EMP-APAC-789012, EMP-AMER-345678.
Samsvarsgruppen legger inn tre eksempler i KI-monsthjelpen. KI-en returnerer:
- Monster:
EMP-[A-Z]{2,4}-\d{6} - Matcher alle tre eksemplene
- Foreslatt enhetsnavn: EMPLOYEE-ID
- Anbefalt neste trinn: test med flere regionkoder
Gruppen tester ti flere eksempler. Monsteret fungerer pa alle.
De lagrer den egendefinerte enheten i teamets delte GDPR-forhansinnstilling. Alle 47 dokumenter i revisjonspakken behandles i en batch. Hver ansatt-ID erstattes med en rollebasert etikett. Revisjonsfirmaet far filer som ikke lenger kobler til noen person.
Ingen ingeniorrhjelp er nodvendig. Hele oppsettet tar under en time.
Hva som skjer deretter
Nar den egendefinerte enheten er lagret i en delt forhansinnstilling, bruker alle teammedlemmer samme oppsett. Nye ansatte far det fra dag en. Batch-jobber, API-kall og manuelle opplastinger bruker alle det samme monsteret.
Revisjonssporet viser hvilken forhansinnstilling som ble brukt for hver fil. Hvis en DPA ber om bevis for anonymiseringsprosessen din, kan du vise det.
For den fullstendige arbeidsflyten for oppsett av egendefinerte enheter, se egendefinerte PII-identifikatorer for organisatorisk anonymisering. For a holde dette oppsettet konsistent pa tvers av team, se anonymiseringskonsistens-forhansinnstillinger for GDPR-revisjon.