Vi hanterar bara anonymiserade personuppgifter, då kan vi väl bortse från GDPR?
Bara om informationen verkligen är anonym. GDPR gäller inte anonym information. Men att anonymisera personuppgifter är en personuppgiftsbehandling som GDPR ska tillämpas på.
Det innebär bland annat att de berörda personerna har rätt till information om anonymiseringsprocessen. Om anonymiseringsprocessen sannolikt kan medföra en hög risk för fysiska personers rättigheter och friheter, så måste även en konsekvensbedömning göras.
Enskildas rätt till information
Vad menar vi med anonym information och anonymisering?
I GDPR definieras inte begreppet anonym information. Med anonyma uppgifter menar vi personuppgifter som har gjorts anonyma på ett sådant sätt så att den registrerade inte längre kan identifieras. Behandling av personuppgifter som resulterar i anonym information kallar vi för anonymisering.
GDPR är tekniskt neutral och säger inget om hur anonymisering ska uppnås.
Blanda inte ihop anonymisering med pseudonymisering
Pseudonymisering är inte en metod för anonymisering utan en säkerhetsåtgärd. Pseudonymisering innebär att personuppgifterna ersätts med något annat, till exempel en kod. Det innebär också att det krävs kompletterande uppgifter för att det ska vara möjligt att binda uppgiften till en specifik person.
Pseudonymiserade uppgifter räknas fortfarande som personuppgifter eftersom det går att koppla dem till en enskild person – även om det krävs extra information för att göra det. Därför gäller GDPR för pseudonymiserade uppgifter. GDPR gäller också för processen att att pseudonymisera personuppgifter då det också är en behandling av personuppgifter.
Syntetiska data
Det pågår mycket försök med datorgenererad data, så kallad syntetiska data, som skulle kunna bli ett alternativ till anonymisering. När personuppgifter behandlas i processen att ta fram syntetisk data gäller GDPR. Finns det inga personuppgifter kvar efter den så kallade syntetiseringen och det inte heller går att återskapa uppgifterna är inte GDPR tillämplig på behandlingen av den syntetiska datan.
Arbete med EU-vägledning pågår
Den Europeiska dataskyddsstyrelsen (European Data Protection Board, EDPB) arbetar med en vägledning om anonymiserings- och pseudonymiseringstekniker som när den är färdig kommer finnas att ta del av tillsammans med andra vägledningar.