Pseudonymisointi korvaa nimen koodilla, jonka voi purkaa; anonymisointi katkaisee yhteyden henkilöön pysyvästi. Ero ei ole teknistä saivartelua. Pseudonymisoitu tieto on edelleen henkilötietoa, ja GDPR koskee sitä täysimääräisesti. Anonymisoitu tieto ei ole enää henkilötietoa, eikä siihen sovelleta GDPR:ää eikä vaitiolovelvollisuutta. Siksi anonymisoitua tietoa saa laillisesti yhdistellä, lisensoida ja myydä. On tärkeää tietää, kumpi näistä omille tiedoillesi tapahtuu.
Esimerkki arjesta
Psykologi Mikko Laine (keksitty esimerkki) haluaa käyttää tekoälytyökalua terapiaistuntojen yhteenvetojen kirjoittamiseen. Hän pitää sitä turvallisena, koska hän korvaa asiakkaan nimen merkinnällä "Asiakas 17".
Se on pseudonymisointia. Mikolla on edelleen lista, josta näkee, kuka "Asiakas 17" on, ja muistiinpanoissa on ikä, asuinpaikka, ammatti ja perhetilanne. Tiedot ovat yhä henkilötietoja, ja vieläpä terveystietoja.
Kuvitellaan nyt, että työkalun palveluntarjoajalla on lisenssi käyttää sisältöä. Palveluntarjoaja poistaa kaikki tunnisteet, yhdistää muistiinpanot tuhansien muiden kanssa ja hävittää mahdollisuuden jäljittää niitä takaisin. Silloin tieto on anonymisoitu. Oikeudellisesti se ei ole enää Mikon asiakas. Se on datajoukko.
Ero yksinkertaisesti
| Pseudonymisointi | Anonymisointi | |
|---|---|---|
| Mitä tapahtuu | Tunnisteet korvataan koodeilla tai aliaksilla | Kaikki yhteys henkilöön katkaistaan pysyvästi |
| Voiko sen purkaa? | Kyllä, lisätiedon (avaimen) avulla | Ei, ei kohtuullisin keinoin |
| Henkilötietoa GDPR:n mukaan? | Kyllä (4 artiklan 5 kohta, johdanto-osan 26 kappale) | Ei (johdanto-osan 26 kappale) |
| Sovelletaanko GDPR:ää? | Kyllä, täysimääräisesti | Ei |
| Saako myydä laillisesti? | Vain oikeusperusteella | Kyllä, se ei ole enää henkilötietoa |
Pseudonymisointi määritellään tietosuoja-asetuksen 4 artiklan 5 kohdassa: tietoja ei voida enää yhdistää tiettyyn henkilöön ilman lisätietoja, ja nämä lisätiedot säilytetään erillään ja suojattuina. Asetus mainitsee pseudonymisoinnin hyvänä suojatoimena, mutta tiedot ovat edelleen suojattuja. Vuodesta 2025 on ollut yksi tarkennus: EU-tuomioistuimen mukaan (asia EDPS vastaan SRB, C-413/23 P, 4.9.2025) tiedot eivät välttämättä ole henkilötietoja vastaanottajalle, jolla ei ole kohtuullisia keinoja tunnistaa henkilöitä. Avaimen haltijalle ne ovat aina henkilötietoja.
Tyypillisiä pseudonymisoinnin keinoja ovat nimen korvaaminen juoksevalla numerolla, tunnisteen tiivistäminen (hash) ja tokenisointi. Kaikissa niissä on yhteistä se, että joku pystyy yhä yhdistämään koodin henkilöön.
Anonymisoinnille ei ole omaa artiklaa. Johdanto-osan 26 kappaleen mukaan tietosuojasääntöjä ei sovelleta anonyymeihin tietoihin eli tietoihin, joita ei enää voida yhdistää tunnistettavaan henkilöön. Ratkaisevaa on, voiko joku kohtuudella todennäköisesti käytettävissä olevin keinoin tunnistaa henkilön uudelleen.
Suomessa rajan noudattamista valvoo tietosuojavaltuutettu. Valvontaviranomaiset myös puuttuvat rajan ylityksiin: toukokuussa 2026 Ranskan tietosuojaviranomainen määräsi terveysdatayritykselle useista rikkomuksista 5 miljoonan euron seuraamusmaksun. Yritys väitti reseptitietojaan anonyymeiksi. Viranomainen katsoi niiden olevan vain pseudonymisoituja, koska henkilöt pystyi yhä tunnistamaan kohtuullisin keinoin.
Tämä on yleistä tietoa, ei oikeudellista neuvontaa.
Mitä anonymisointi ei suojaa
Tässä on aukko. Raja pseudonymisoinnin ja anonymisoinnin välillä pysäyttää huolimattoman version. Se ei pysäytä täydellistä anonymisointia, jonka varaan kokonainen markkina on rakennettu.
- Anonymisoitu tieto on lain ulkopuolella. Kun tieto on anonyymiä, siihen ei sovelleta GDPR:ää eikä vaitiolovelvollisuutta. Diagnoosilla, annoksella, lausekkeella ja neuvottelutuloksella on yhä arvoa, mutta kukaan ei enää omista niiden suojaa.
- Uudelleentunnistaminen on helpompaa kuin luulisi. Latanya Sweeney osoitti, että noin 87 prosenttia amerikkalaisista voidaan tunnistaa postinumeron, syntymäajan ja sukupuolen perusteella. Nature Communications -lehden tutkimuksen (2019) mukaan 99,98 prosenttia voitiin tunnistaa uudelleen 15 ominaisuuden perusteella. Netflixin anonymisoidut elokuva-arviot ja AOL:n hakulokit yhdistettiin molemmat takaisin oikeisiin ihmisiin.
- Tekoäly tekee siitä halpaa. Mihin ennen tarvittiin analyytikko, sen tekoälymalli tekee laajassa mittakaavassa sekunneissa.
- Lisenssi on avain. Kukaan ei voi anonymisoida ja myydä sisältöäsi ilman kopiota, jota sillä on lupa käyttää uudelleen. Tuo oikeus lukee usein hyväksymissäsi käyttöehdoissa.
Miten potilaskertomus tai sopimus muuttuu tunnistettavasta myytäväksi, näytetään vaihe vaiheelta Data Trail -sivulla. Lähteet ovat sivulla Laillista myydä.
Mitä tämä tarkoittaa, kun käytät tekoälytyökaluja
Älä luota siihen, että olet itse pseudonymisoinut. Kysy mieluummin, mitä palveluntarjoaja saa tehdä:
- Lukeeko käyttöehdoissa, että palveluntarjoaja saa käyttää "anonymisoituja" tai "tunnisteettomia" tietoja omiin tarkoituksiinsa?
- Onko palveluntarjoaja pelkkä henkilötietojen käsittelijä 28 artiklan mukaisella käsittelysopimuksella? Käsittelijä ei saa käyttää tietoja omiin tarkoituksiinsa.
- Koulutetaanko malleja sisällölläsi?
- Kuinka kauan pyyntöjäsi säilytetään tekoälymallien palveluntarjoajilla?
Wysor on rakennettu niin, ettei anonymisoitavaa kopiota ole olemassa. Wysor on henkilötietojen käsittelijä ja toimii vain ohjeidesi mukaan. Emme ota lisenssiä sisältösi uudelleenkäyttöön, emme koskaan kouluta malleja sillä emmekä koskaan myy sitä, anonymisoituna tai ei. Sitoumukset on kirjattu sopimukseen, ja ne sitovat myös ketä tahansa, joka joskus omistaisi Wysorin. Tiedot salataan siirron ja tallennuksen aikana ja käsitellään EU:ssa, ja kaikilla liitetyillä tekoälymallien palveluntarjoajilla on nollasäilytys. GPT, Claude, Gemini ja muut mallit ovat samassa työtilassa.
Usein kysytyt kysymykset
Mitä pseudonymisointi tarkoittaa? Pseudonymisoinnissa nimi ja muut suorat tunnisteet korvataan koodilla, ja avain, joka yhdistää koodin henkilöön, säilytetään erillään. Tieto on edelleen henkilötietoa GDPR:n mukaan.
Mitä anonymisointi tarkoittaa? Anonymisoinnissa tiedot käsitellään niin, ettei kukaan voi kohtuullisin keinoin tunnistaa henkilöä uudelleen. Anonyymit tiedot eivät ole henkilötietoja, eikä GDPR:ää sovelleta niihin.
Onko pseudonymisoitu tieto henkilötietoa? Kyllä, avaimen haltijalle ja sille, joka voi kohtuudella saada avaimen. Tietosuoja-asetuksen 4 artiklan 5 kohta ja johdanto-osan 26 kappale ovat selviä: pseudonymisoitu tieto on henkilötietoa, koska sen voi yhdistää takaisin lisätietojen avulla. EU-tuomioistuimen mukaan (C-413/23 P, 2025) vastaanottajalle, jolla ei ole mitään kohtuullista keinoa tunnistaa henkilöä, se ei välttämättä ole.
Saako anonymisoitua tietoa myydä? Kyllä. Kun tieto on aidosti anonyymiä, se on tietosuojasääntelyn ulkopuolella, ja sitä saa laillisesti jakaa, lisensoida ja myydä. Siksi ratkaisevaa on, kenellä on ylipäätään oikeus anonymisoida tietosi.
Onko salaus sama asia kuin anonymisointi? Ei. Salattu tieto on suojattu ulkopuolisilta, mutta se, jolla on avain, voi lukea sen ja tunnistaa henkilön. Salaus on tärkeä tietoturvatoimi, mutta salattu henkilötieto on edelleen henkilötietoa.
Riittääkö, että poistan nimen ennen tekoälytyökalun käyttöä? Harvoin. Ikä, asuinpaikka, ammatti ja harvinainen diagnoosi voivat yhdessä osoittaa yhteen ihmiseen. Ja vaikka poistaisit nimen, käyttöehdot ratkaisevat, mitä palveluntarjoaja saa tehdä lopulle.
Lue lisää
- Mikä on GDPR? Yksinkertaisesti selitettynä
- Vaitiolovelvollisuus selitettynä yksinkertaisesti
- GDPR-yhteensopiva tekoäly
- Data Trail: potilaskertomuksesta datajoukoksi
Onko sinulla kysyttävää siitä, miten Wysor käsittelee tietojasi? Kirjoita osoitteeseen [email protected] tai käytä sovelluksen yhteydenottolomaketta.
