The CJEU eases compliance burden - Pseudonymized data is not necessarily subject to the GDPR.

Identificerbarhed og pseudonymisering efter GDPR betragtning 26

EU-Domstolens praksis i SRB-sagen (T-557/20) præciserer, hvornår data er personoplysninger. Retten lægger til grund, at pseudonymiserede oplysninger ikke nødvendigvis er omfattet af GDPR, hvis modtageren ikke med rimeligt sandsynlige midler kan genidentificere den registrerede, og de nødvendige supplerende oplysninger ikke er tilgængelige.

Vurderingen er konkret og forankret i betragtning 26: der ses på tekniske, praktiske og juridiske muligheder for identifikation – både hos den dataansvarlige og hos andre. Afgørelsen kan lette compliance ved dataudveksling og aktindsigt, men forudsætter dokumenteret risikovurdering, passende kontraktuelle begrænsninger og effektive organisatoriske og tekniske foranstaltninger. Læs forordning 2016/679 på EUR-Lex.