Vad är pseudonymisering?

Pseudonymisering låter tekniskt, men idén är enkel och begreppet dyker upp så fort ett system ska hantera personuppgifter på ett säkrare sätt. Det förväxlas ofta med anonymisering, och den förväxlingen kan bli dyr. Här är vad pseudonymisering faktiskt är, och varför den skillnaden spelar roll.

Vad pseudonymisering är

Pseudonymisering innebär att du byter ut de uppgifter som direkt pekar ut en person – namn, personnummer, e-post – mot koder eller pseudonymer. I stället för “Anna Svensson” står det “AB-4471” i datan. Sambanden mellan raderna finns kvar, men vem varje rad gäller framgår inte längre av uppgifterna själva.

Kopplingen mellan koden och den verkliga personen finns i stället i en separat nyckel. Med nyckeln går det att återställa vem som är vem; utan den ser man bara koderna. Det är just den nyckeln som är hela poängen – och som gör att pseudonymisering skiljer sig fundamentalt från att göra data anonym.

Den avgörande skillnaden mot anonymisering

Här faller de flesta. Anonymisering och pseudonymisering låter snarlikt, men i lagens ögon är de motsatser.

Vid anonymisering kapas kopplingen för gott. Det finns ingen nyckel, ingen väg tillbaka, och uppgifterna kan inte längre knytas till en person av någon. Då är det inte längre personuppgifter, och GDPR gäller inte.

Vid pseudonymisering finns nyckeln kvar. Så länge någon – ni själva, en leverantör, vem som helst – kan återskapa kopplingen, är personen fortfarande identifierbar. Därför förblir datan personuppgifter, och hela regelverket gäller. Tumregeln: kan uppgiften i teorin kopplas tillbaka, är den inte anonym.

Ett praktiskt exempel: testdata och AI-träning

Ta ett vanligt fall. Ett utvecklingsteam behöver realistisk data för att testa ett nytt system, eller för att träna en AI-modell. Att låta dem arbeta mot skarpa kunduppgifter är onödigt riskabelt – men helt påhittad data beter sig inte som verkligheten.

Lösningen är ofta pseudonymisering. Kundregistret körs genom en process som byter namn, personnummer och e-post mot koder, medan strukturen och sambanden bevaras. Utvecklarna får data som ser och fungerar som den äkta, utan att veta vem varje post gäller. Risken sjunker rejält, samtidigt som testerna eller modellen blir meningsfulla.

Men – och det är den vanliga fällan – teamet tror ibland att den pseudonymiserade kopian är “avidentifierad” och därför fri från GDPR. Det är den inte.

Varför den fortfarande omfattas av GDPR

Eftersom nyckeln existerar är personerna alltjämt identifierbara, och då är uppgifterna personuppgifter i lagens mening. Det får konkreta följder:

• Du behöver fortfarande en laglig grund för att behandla dem, även i test- eller träningssyfte.
• Kraven på säkerhet, åtkomststyrning och gallring gäller den pseudonymiserade datan precis som originalet.
• Ett läckage av pseudonymiserad data är fortfarande en incident som kan behöva anmälas.

Det GDPR däremot gör är att uttryckligen belöna pseudonymisering som en skyddsåtgärd. Den sänker risken, kan mildra konsekvenserna vid ett intrång och vägs in positivt när myndigheten bedömer hur ansvarsfullt ni hanterat uppgifterna. Poängen är alltså inte att åtgärden är verkningslös – tvärtom – utan att den inte är en frizon.

En vanlig invändning är: “men om nyckeln ligger hos någon annan, är datan inte anonym för oss då?” Svaret är nej. Bedömningen av om någon är identifierbar utgår från alla medel som rimligen kan komma till användning – inklusive möjligheten att få tag på nyckeln, hos er själva eller hos en samarbetspartner. Så länge en sådan väg tillbaka existerar och inte är orimligt svår, är uppgifterna personuppgifter. Det är därför pseudonymisering nästan aldrig når hela vägen till anonymitet i praktiken: nyckeln finns ju kvar någonstans, och det är hela poängen med att välja pseudonymisering framför att förstöra kopplingen.

Så använder du det här

Bygg in pseudonymisering där det går, särskilt i test-, analys- och träningsmiljöer, men behandla resultatet som personuppgifter ändå. Håll nyckeln åtskild och strikt behörighetsstyrd, dokumentera var den finns och vilka som når den.

Framför allt: blanda aldrig ihop “pseudonymiserat” med “anonymt” i era rutiner eller avtal, för det är där dyra missförstånd uppstår. Vill ni bygga in dataskydd på rätt sätt från början, tar vi på Weapp gärna med det i systemarbetet redan i kravskedet.