Kvasi-PII Problemet
GDPR Artikkel 4 definerer personopplysninger som "enhver informasjon som gjelder en identifisert eller identifiserbar fysisk person." Nøkkelordet er "identifiserbar" — ikke bare for tiden identifisert, men i stand til å bli identifisert gjennom ytterligere behandling. En verdi som ikke er direkte identifiserende, men som kan knyttes til en virkelig person gjennom interne systemer, er personopplysninger i henhold til GDPR.
Interne ansatt-ID-er er det vanligste eksemplet. "EMP-EU-123456" identifiserer ikke direkte noen. Men HR-databasen har en tabell: EMP-EU-123456 → Maria Schmidt, Senior Engineer, München. Ethvert dokument som inneholder EMP-EU-123456 kan knyttes til Maria Schmidt av alle med tilgang til HR-databasen. I henhold til GDPR er EMP-EU-123456 personopplysninger — det er informasjon som gjelder en identifiserbar fysisk person.
Den samme analysen gjelder for kundekontonumre (som knytter seg til CRM-poster), prosjektkoder (som knytter seg til klientidentitet i kontraktdatabaser), interne referansenummer for juridiske saker (som knytter seg til saksdeltakere i DMS), og medisinske journalnumre i eksterne systemer (som knytter seg til pasientjournaler i sykehusets EHR).
Organisasjoner som anonymiserer den åpenbare PII (navn, e-postadresser, nasjonale ID-er) men lar interne identifikatorer være urørt, har ikke oppnådd GDPR-kompatibel anonymisering. De har oppnådd de-anonymisering i to trinn i stedet for ett — noe som krever at en angriper (eller en overdrevent nysgjerrig ansatt) må konsultere HR-databasen i stedet for å lese dokumentet direkte.
Dekningsgapet i praksis
DLA Pipers 2025 GDPR Årsrapport fant at 34% av alle GDPR-bøtene involverer utilstrekkelige tekniske tiltak i henhold til Artikkel 32 — kravet om å implementere passende tekniske sikkerhetstiltak. Utilstrekkelig anonymisering, inkludert manglende evne til å oppdage og fjerne kvasi-identifiserende interne identifikatorer, er en dokumentert kategori av brudd på Artikkel 32.
EDPB behandlet 900+ konsistensmekanismecaser i 2024, noe som gjenspeiler det økende volumet av håndhevelseskoordinering på tvers av EU-landene. Grensekryssende håndhevelse (hvor den ledende tilsynsmyndigheten i ett land koordinerer med andre) betyr at et brudd på Artikkel 32 i et datasett delt på tvers av EU-grenser kan utløse koordinert håndhevelse.
No-Code Pattern-løsningen
For et globalt logistikkselskaps compliance-team som anonymiserer ansattregistre for en ekstern HR-revisjon:
Ansatt-ID-er følger formatet EMP-[REGION]-[0-9]{6} — EMP-EU-123456, EMP-APAC-789012, EMP-AMER-345678. Compliance-teamet gir 3 eksempler til AI-mønsterhjelperen. AI-en returnerer: oppdaget mønster EMP-[A-Z]{2,4}-d{6}; matcher alle gitte eksempler; foreslått enhetsnavn: EMPLOYEE-ID; test mot kanttilfeller inkludert forskjellige regionskoder.
Teamet tester mot 10 ytterligere prøver, inkludert EMP-DACH-000001 og EMP-APAC-999999. Mønsteret valideres korrekt. Den tilpassede enheten lagres i GDPR-kompatibilitetsinnstillingen delt med alle teammedlemmer. Alle 47 dokumentene i HR-revisjonspakken behandles i én batch. Alle ansatt-ID-er erstattes med rollebaserte pseudonymer. Revisjonsfirmaet mottar dokumenter som ikke kan knyttes til enkeltansatte gjennom noen intern database.
Kilder: