Anonymisering og pseudonymisering

Anonymisering og pseudonymisering er to forskellige teknikker til at fjerne eller skjule identificerende oplysninger i jeres data. Anonymisering fjerner alle oplysninger, så en person ikke kan genkendes efter behandling, og data falder normalt uden for GDPR. Pseudonymisering erstatter navne og id'er med en nøgle, så data stadig er persondata, men risikoen ved deling mindskes.

Sådan virker anonymisering og pseudonymisering i praksis

Anonymisering svarer til at rive navnelapperne af en bunke breve og smide dem væk, så ingen bagefter kan pege på, hvem der skrev hvad. I praksis betyder det at fjerne eller ændre alle direkte og indirekte identifikatorer, så kombinationen af oplysninger ikke kan føre tilbage til en person. Metoderne kan være at aggregere tal, fjerne navne og CPR-numre, generalisere alder til aldersgrupper eller helt slette følsomme felter.

Pseudonymisering er i stedet som at skifte navnelapperne ud med løbenumre, der gemmes i en separat, låst fil. Den grundlæggende forskel er, at en nøgle gør det muligt at genfinde identiteten i kontrollerede situationer. Derfor er pseudonymiserede data stadig omfattet af GDPR. Når du sender data til en AI-tjeneste, betyder det, at pseudonymisering reducerer risikoen, men den juridiske status kræver stadig kontrol af behandlingsansvar og databehandleraftaler.

Hvorfor anonymisering og pseudonymisering betyder noget for din virksomhed

Du støder på begreberne, når I vil lade AI behandle kundelister, sagsmapper eller supportlogs. Forskellen afgør, om I skal have samtykke, databehandleraftaler og måske en konsekvensanalyse (DPIA). I hverdagen betyder det, at du som leder skal kunne svare på to spørgsmål: Kan data blive genkendt efter behandling, og hvem har nøglen til eventuelle pseudonymer? Beslutningen påvirker både compliance og de tekniske krav til samarbejdspartnere.

Men ikke hvis du er lidt smart. Du kan ofte bruge pseudonymisering som et praktisk mellemtrin: holder nøglen internt, begrænser adgang og kombinerer med logging og aftaler med AI-leverandøren. Alligevel er der situationer, hvor kun ægte anonymisering fjerner GDPR-kravene, og det er ikke altid let at opnå i praksis.

Eksempel: Anonymisering hos en arkivar i en kommune

En arkivar i en kommunal boligforvaltning skal dele 1.200 lejekontrakter med et eksternt firma, der skal træne en AI til at genkende boligtyper og vedligeholdelsesbehov. Det er mandag morgen, og kontrakterne indeholder navne, adresser og fødselsår. Arkivaren laver først en gennemsnitlig oprydning: hun fjerner navne, erstatter adresser med postnumre og samler fødselsår til aldersgrupper. For mere detaljerede felter vælger hun pseudonymisering: hver lejer får et nummer i et krypteret regneark, som kun kommuneadministrationen har adgang til. Når datasættet sendes videre, er der stadig modstand. Den eksterne leverandør vil gerne have adgang til fulde adresser for kvalitetstjek, og det kræver en databehandleraftale og ekstra tid til sikker transmission. Det ender med, at processen tager to ekstra uger og en gennemgang af logning og adgangskontrol. Læringen er klar: fuldstændig anonymisering kan koste arbejde og reducere nytteværdien, og pseudonymisering kræver stram styring af nøgler og adgang.

Anonymisering er ikke det samme som pseudonymisering

En almindelig fejltagelse er at bruge ordene om hverandre. Pseudonymisering reducerer risikoen, men data kan stadig knyttes til en person, hvis nøglen findes. Anonymisering derimod skal være irreversibel i praksis. Igen, teknikken afgør resultatet: simpel fjernelse af navne kan være utilstrækkelig, hvis borgeren kan genkendes gennem en unik kombination af andre felter. Vær særlig opmærksom, når du kombinerer data med offentligt tilgængelige kilder; sådan krydskobling gør genidentifikation nemmere.

Sådan maskerer du data, før du bruger en AI-tjeneste

1. Identificer direkte og indirekte persondata. Start i et regneark og marker felter som navne, CPR, e-mail, adresser og unikke kombinationer.
2. Vælg metode: anonymiser hvis du kan tåle tab af detaljer, ellers pseudonymiser. Hvis du pseudonymiserer, opbevar nøglen adskilt og begræns adgang.
3. Fjern eller generaliser felter: saml alder, brug postnummer frem for adresse, fjern frit tekstfelter med følsomme oplysninger.
4. Test re-identifikation: prøv at krydse de rensede data med offentligt tilgængelige oplysninger og se, om personer stadig kan genkendes.
5. Lav klare aftaler: sørg for databehandleraftaler, og dokumentér valg af metode, adgangsbegrænsning og opbevaringsperiode.

Hvad du skal være opmærksom på

Pseudonymiserede data er stadig persondata, og deling kræver kontrol af databehandlerforhold og ofte en vurdering af behovet for en DPIA. Anonymisering skal være effektiv i praksis; hvis en teknisk eller statistisk metode lader en person genkendes, er data ikke anonym. Husk også, at eksterne AI-tjenester kan bruge data i deres egne forbedringsprocesser, så læs og forhandle leverandørens vilkår. For juridisk afklaring og konkrete krav bør du tjekke Datatilsynet.

Skal der køre noget med anonymisering og pseudonymisering hver dag og ikke kun i et forsøg, er det opgaven for et AI-team i huset. Skal I beslutte, hvor meget anonymisering og pseudonymisering må fylde hos jer, er det den slags valg, AI-rådgivning handler om.