Anonymisera eller pseudonymisera: 20 miljoner euro i insats
Artikel 83 sätter maxböter till 20 miljoner euro eller 4 % av den globala årsomsättningen. En rättslig fråga driver den risken: gäller lagen för din datamängd?
Anonymisering tar bort tillämpningsområdet. Pseudonymisering gör det inte. Den skillnaden är stor.
De två definitionerna i klartext
Skäl 26 sätter ribban för anonymisering. En person måste vara "inte eller inte längre identifierbar". Testet är brett. Det täcker varje medel som "rimligen sannolikt kommer att användas". Det inkluderar den personuppgiftsansvarige. Det täcker även varje personuppgiftsbiträde och varje tredje part.
Artikel 4(5) definierar pseudonymisering. Uppgifter är pseudonymiserade när en nyckel kan reversera dem. Ta bort nyckeln, och uppgifterna finns kvar. Dessa extra uppgifter måste hållas åtskilda. Det är inte anonymisering.
Pseudonymiserade uppgifter är fortfarande personuppgifter. Lagen gäller fullt ut. Det finns inget undantag från tillämpningsområdet. Punktslut.
Vad en felaktig märkning kostar
Att behandla en pseudonymiserad datamängd som anonym skapar fem problem på en gång:
- Felaktiga ROPA-poster enligt Artikel 30
- Ingen process för registrerades rättigheter för tillgång, radering eller portabilitet
- Inget bevarandeschema — ingen raderingsutlösare finns
- Inga skyddsåtgärder för överföring vid gränsöverskridande arbete
- Ingen raderingsväg för begäran om rätt till radering
Varje lucka är ett separat brott. Alla fem kan finnas i en och samma datakedja.
Verkställighetssignalen från 2025
Under 2025 genomförde EDPB en samordnad verkställighetsåtgärd. Rapporten pekade ut ett återkommande misslyckande: "ineffektiva anonymiseringstekniker som alternativ till radering". Dataskyddsmyndigheter granskar nu kvaliteten på anonymisering. De kontrollerar mer än bara om ett steg finns. Steget måste fungera.
En tokeniserad datamängd med en uppslagstabell är pseudonymiserad. Den är inte anonym. Den har en nyckel. Nyckeln kan reversera den. Att kalla den anonym är exakt det misslyckande 2025 års rapport riktar in sig på.
Att välja rätt metod
Sann anonymisering — utanför tillämpningsområdet. Använd Redigera. PII är borta utan koppling tillbaka. Du kan också Hasha värden med hög entropi utan föravbildningsväg. Dokumentera grunden. Inga rättsliga skyldigheter är knutna till utdata.
Pseudonymisering — inom tillämpningsområdet. Använd Ersätt, Maskera eller Kryptera. Lagen gäller fullt ut. Pseudonymisering minskar skadan vid ett intrång. Den minskar inte de rättsliga skyldigheterna.
Kontrollerad reversibilitet — forskning eller revision. Använd Kryptera med klienthållna nycklar. Nyckelhanteringen måste uppfylla EDPB 05/2022:s regler om nyckelseparation. Notera domänen i konsekvensbedömningen.
Ett verkligt användningsfall
Ett företag säljer "anonymiserade" kunduppgifter till forskare. De tillämpar metoden Redigera. PII är borta. Ingen tokentabell. Ingen hashföravbildning. Återidentifiering har ingen väg.
DPO:n skriver detta i konsekvensbedömningen. Metod som använts. Identifierartyper. Varför det inte kan ångras. Nivå av kvarstående risk. Utdata faller utanför tillämpningsområdet. Registrerades rättigheter och överföringsregler gäller inte för forskningskopiorna.
Metoden stämmer överens med påståendet. Det är rätt process. Den håller i en revision.
Varför dokumentationen spelar roll
Ett företag kan inte bara hävda anonymisering. Påståendet måste ha en dokumentation. Konsekvensbedömningen måste visa fyra saker. Vilka identifierare som täcktes. Vilken metod som användes. Varför återidentifiering inte har någon väg. Vilken nivå av kvarstående risk det finns.
Utan den dokumentationen behandlar en revision datamängden som att den omfattas. Den fullständiga uppsättningen skyldigheter gäller. ROPA-posten måste finnas. Skyddsåtgärderna för överföring måste finnas. Raderingsvägen måste finnas. Inga skyldigheter försvinner utan bevis.
För hur raderingsrättigheter samspelar med anonymiserade uppgifter, se GDPR-rätten till radering och EDPB:s vägledning 2025. För överföringsregler vid gränsöverskridande delning, se efterlevnad av dataöverföring och TikTok-böterna.