EU-Domstolen har fastslået, at identifikationsmulighed skal vurderes fra modtagerens perspektiv. Data kan derfor være anonyme for én part, selv om en anden part kan identificere personerne. Det udvider rummet for datadeling og reducerer i visse tilfælde GDPR-kravene for modtagere.
Retten fastslår relativt persondatabegreb
En tidligere sag om en bank under rekonstruktion viste vejen. Kommentarer med identitet blev delt til et eksternt revisionsfirma efter udskiftning af identiteter med unikke nøgler. Revisionsfirmaet havde ikke adgang til nøglen og kunne derfor ikke koble ID’er til personer.
Retten accepterede, at datasættet var anonymt for modtageren, selv om afsenderen fortsat kunne identificere. Den efterfølgende prøvelse ved EU-Domstolen bekræfter fortolkningen: Persondatabegrebet er relativt og afhænger af, om modtageren med lovlige og rimelige midler faktisk kan identificere.
Praktiske kriterier for anonymitet
Vurderingen forankres i GDPR’s betragtning 26: spørgsmålet er, om identifikation for modtageren er realistisk med midler, der retligt og praktisk står til rådighed. Vurderingen er parts-specifik og situationsbestemt.
I praksis bør man teste, om modtageren kan identificere personer på følgende måder:
- Direkte identifikation, hvor navne eller entydige kendetegn fremgår.
- Indirekte identifikation, hvor modtageren har eller kan få adgang til supplerende oplysninger.
- Kontekstuel identifikation, hvor datamønstre gør personer genkendelige.
Den indirekte vinkel er ofte afgørende: Hvis nøgler eller “oversættelser” holdes adskilt, og modtageren ikke har retlig adgang, taler det for anonymitet. Omvendt kan adgangsrettigheder, kontrakter eller tekniske koblinger tippe vurderingen.
Konsekvenser for deling, forskning og AI
For dataudveksling, hvor modtageren kun ser deldatasæt, kan flere behandlinger nu ske uden for GDPR, fordi modtageren ikke kan identificere. Det rejser nye spørgsmål om fx IP adresser, detaljerede statistikker og transaktionsdata, som i visse opsætninger kan anses som anonyme for modtageren.
Forskning og AI kan få gavn af klarere grænser: træning på datasæt uden realistisk identifikationsrisiko hos modtageren kan falde uden for GDPR. Organisationer bør dog dokumentere vurderingerne i DPIA’er, opdatere datadelingaftaler, adskille nøgler, og styrke tekniske og organisatoriske foranstaltninger for at undgå reidentificering.
Læs den første dom på EUR-Lex. Se den nyere afgørelse på Curia. Datatilsynets nyhed findes her.
