Pseudonymisering bytter ut navnet med en kode som kan kobles tilbake; anonymisering fjerner koblingen til personen for godt. Forskjellen er ikke teknisk pirk. Pseudonymiserte data er fortsatt personopplysninger, og GDPR gjelder fullt ut. Anonymiserte data er ikke lenger personopplysninger, og da gjelder verken GDPR eller taushetsplikten. Det betyr at anonymiserte data lovlig kan samles, lisensieres og selges. Derfor er det viktig å vite hvilken av de to som skjer med dataene dine.
Et eksempel fra hverdagen
Psykolog Erik Haugen (et oppdiktet eksempel) vil bruke et KI-verktøy til å skrive sammendrag av terapitimer. Han tenker at det er trygt, fordi han erstatter klientens navn med «Klient 17».
Det er pseudonymisering. Erik har fortsatt en liste som viser hvem «Klient 17» er, og notatene inneholder alder, bosted, yrke og familieforhold. Opplysningene er fortsatt personopplysninger, og helseopplysninger attpåtil.
Tenk deg nå at leverandøren av verktøyet har en lisens til å bruke innholdet. Leverandøren fjerner alle identifikatorer, slår sammen notatene med tusenvis av andre og fjerner muligheten til å spore dem tilbake. Da er dataene anonymisert. Juridisk er de ikke lenger Eriks klient. De er et datasett.
Forskjellen, enkelt forklart
| Pseudonymisering | Anonymisering | |
|---|---|---|
| Hva skjer | Identifikatorer erstattes med koder eller alias | All kobling til personen fjernes for godt |
| Kan det reverseres? | Ja, med tilleggsinformasjonen (nøkkelen) | Nei, ikke med rimelige midler |
| Personopplysning etter GDPR? | Ja (artikkel 4 nr. 5, fortalepunkt 26) | Nei (fortalepunkt 26) |
| Gjelder GDPR? | Ja, fullt ut | Nei |
| Kan selges lovlig? | Bare med lovlig grunnlag | Ja, det er ikke lenger personopplysninger |
Pseudonymisering er definert i GDPR artikkel 4 nr. 5: opplysningene kan ikke lenger knyttes til en bestemt person uten tilleggsinformasjon, og den informasjonen oppbevares separat og sikres. GDPR omtaler pseudonymisering som et godt sikkerhetstiltak, men dataene er fortsatt beskyttet. En nyanse siden 2025: ifølge EU-domstolen (sak EDPS mot SRB, C-413/23 P, 4. september 2025) er de ikke nødvendigvis personopplysninger for en mottaker som ikke har rimelige midler til å identifisere personene. For den som har nøkkelen, er de det alltid.
Anonymisering er ikke definert i en egen artikkel. Fortalepunkt 26 sier at personvernreglene ikke gjelder for anonyme opplysninger, det vil si opplysninger som ikke lenger kan knyttes til en identifiserbar person. Spørsmålet er om noen, med midler som med rimelighet kan tenkes brukt, kan finne personen igjen.
I Norge er det Datatilsynet som fører tilsyn med at grensen respekteres. Regulatorer håndhever den: i mai 2026 ila det franske datatilsynet et helsedataselskap et gebyr på 5 millioner euro for flere brudd. Selskapet hevdet at reseptdataene var anonyme. Tilsynet kom til at de bare var pseudonymiserte, fordi personene fortsatt kunne identifiseres med rimelige midler.
Dette er generell informasjon, ikke juridisk rådgivning.
Hva anonymisering ikke beskytter deg mot
Det er her hullet ligger. Grensen mellom pseudonymisering og anonymisering stopper den slurvete varianten. Den stopper ikke den fullstendige anonymiseringen som et helt marked er bygget på.
- Anonymiserte data er utenfor loven. Når dataene er anonyme, gjelder verken GDPR eller taushetsplikten. Diagnosen, dosen, klausulen og forhandlingsresultatet har fortsatt verdi, men ingen eier lenger beskyttelsen av dem.
- Reidentifisering er enklere enn man tror. Latanya Sweeney viste at rundt 87 prosent av amerikanerne kan identifiseres fra postnummer, fødselsdato og kjønn. En studie i Nature Communications (2019) fant at 99,98 prosent kunne reidentifiseres fra 15 egenskaper. Netflix sine anonymiserte filmvurderinger og AOL sine søkelogger ble begge koblet tilbake til ekte personer.
- KI gjør det billig. Det som før krevde en analytiker, kan en KI-modell gjøre i stor skala på sekunder.
- Lisensen er nøkkelen. Ingen kan anonymisere og selge innholdet ditt uten å ha en kopi de har lov til å gjenbruke. Den retten står ofte i vilkårene du har godtatt.
Hvordan en journal eller en kontrakt går fra identifiserbar til salgbar, vises steg for steg på Data Trail. Kildene står på Lovlig å selge.
Hva dette betyr når du bruker KI-verktøy
Ikke stol på at du har pseudonymisert selv. Spør heller hva leverandøren har lov til:
- Står det i vilkårene at leverandøren kan bruke «anonymiserte» eller «avidentifiserte» data til egne formål?
- Er leverandøren bare databehandler med en databehandleravtale? En databehandler kan ikke bruke data til egne formål.
- Trenes modeller på innholdet ditt?
- Hvor lenge lagres forespørslene dine hos KI-modellleverandørene?
Wysor er bygget slik at det ikke finnes noen kopi å anonymisere. Wysor er databehandler og handler bare på dine instrukser. Vi tar ingen lisens til å gjenbruke innholdet ditt, trener aldri på det og selger det aldri, anonymisert eller ikke. Forpliktelsene står i kontrakten og binder også den som en gang måtte eie Wysor. Data er kryptert under overføring og lagring og driftes i EU, og alle tilkoblede KI-modellleverandører kjører med null datalagring. GPT, Claude, Gemini og flere modeller er samlet i ett arbeidsområde.
Vanlige spørsmål
Hva er pseudonymisering? Pseudonymisering betyr at navn og andre direkte identifikatorer erstattes med en kode, mens nøkkelen som kobler koden til personen oppbevares separat. Dataene er fortsatt personopplysninger etter GDPR.
Hva er anonymisering? Anonymisering betyr at opplysningene behandles slik at ingen, med rimelige midler, kan finne tilbake til personen. Anonyme data er ikke personopplysninger, og GDPR gjelder ikke for dem.
Er pseudonymiserte data personopplysninger? Ja, for den som har nøkkelen eller med rimelighet kan skaffe den. GDPR artikkel 4 nr. 5 og fortalepunkt 26 er tydelige på at pseudonymiserte data er personopplysninger, fordi de kan kobles tilbake med tilleggsinformasjon. For en mottaker uten noen rimelig mulighet til reidentifisering kan de ifølge EU-domstolen (C-413/23 P, 2025) falle utenfor.
Kan anonymiserte data selges? Ja. Når data er virkelig anonyme, er de utenfor personvernreglene og kan lovlig deles, lisensieres og selges. Derfor er det viktig hvem som har rett til å anonymisere dataene dine i utgangspunktet.
Er det nok å fjerne navnet før jeg bruker et KI-verktøy? Nei, sjelden. Alder, bosted, yrke og en sjelden diagnose kan sammen peke på én person. Og selv om du fjerner navnet, avgjør vilkårene hva leverandøren kan gjøre med resten.
Les mer
- Hva er GDPR? Enkelt forklart
- Taushetsplikt forklart enkelt
- Hva er en databehandleravtale?
- Data Trail: fra journal til datasett
Har du spørsmål om hvordan Wysor behandler dataene dine? Skriv til [email protected] eller bruk kontaktskjemaet i appen.
