Afgørelsens kerne
EU-Domstolen præciserer, at pseudonymiserede oplysninger ikke nødvendigvis er personoplysninger for en modtager, hvis modtageren realistisk set ikke har adgang til de midler, der kræves for at identificere de berørte personer. Sagen udsprang af dataudveksling i forbindelse med afviklingen af Banco Popular, hvor SRB sendte et pseudonymiseret datasæt til en rådgiver. For afsenderen var oplysningerne personhenførbare, men modtageren havde ikke selvstændig adgang til de supplerende oplysninger, der skulle til for at koble svar til enkeltpersoner.
Dommen bekræfter sondringen mellem pseudonymisering og anonymisering og gør den kontekstuel: Vurderingen afhænger af den konkrete modtager. Er reidentifikation for modtageren praktisk, retligt og teknisk urealistisk med rimelige midler, kan data for den modtager betragtes som anonyme og falde uden for GDPR.
Praktiske konsekvenser
Afgørelsen kan lette forsvarlig dataudveksling, herunder til tredjelande, når modtageren ikke kan reidentificere data. Det kræver dog en dokumenteret, modtagerbaseret vurdering af identifikationsrisikoen samt robuste tekniske, organisatoriske og retlige barrierer. Vurderingen er konkret og skal løbende revurderes.
For at nærme sig anonymisering for modtageren bør virksomheder som minimum sikre følgende foranstaltninger og dokumentation:
- Streng separation af nøgler og koblingslister, så modtageren ikke har adgang til supplerende oplysninger.
- Stærk kryptering, adgangskontrol og andre tekniske kontroller, der effektivt hindrer reidentifikation.
- Kontraktuelle og retlige begrænsninger, der gør modtagers adgang til koblingsnøgler urealistisk og ulovlig.
- En risikobaseret analyse og test af reidentifikationsmuligheder samt opdaterede DPIA’er og logning.
Hvis data for modtageren reelt er anonyme, finder GDPR ikke anvendelse for modtagerens behandling, og pligter som oplysningspligt og overførselsmekanismer aktiveres som udgangspunkt ikke. Omvendt kræver enhver tvivl en konservativ tilgang: Kan modtageren med rimelige midler opnå adgang til koblingsoplysninger, skal reglerne om personoplysninger iagttages, herunder passende behandlingsgrundlag, sikkerhedsforanstaltninger og eventuelle overførselsgrundlag.
