Pseudonymisering byter ut det som identifierar en person mot en kod; anonymisering gör det omöjligt att koppla uppgifterna tillbaka till personen. Skillnaden låter teknisk, men juridiskt är det den viktigaste skillnaden i hela dataskyddet. Pseudonymiserade uppgifter är fortfarande personuppgifter och omfattas av GDPR. Uppgifter som verkligen är anonymiserade faller utanför GDPR. Då får de användas, kombineras och säljas fritt.
Ett exempel från verkligheten
En hudklinik (ett påhittat exempel) har den här raden i sitt system:
Maria Nilsson, 19790412-XXXX, Västerås, psoriasis, behandlad med metotrexat, klart förbättrad efter sex månader.
Pseudonymiserad blir det: Patient 48213, född 1979-04-12, Västerås, psoriasis, metotrexat, klart förbättrad. Kliniken har en nyckeltabell där det står att 48213 är Maria Nilsson. Med den tabellen, eller med några andra uppgifter, hittar du snabbt tillbaka till Maria.
Anonymiserad vore: kvinna, 40 till 50 år, Mellansverige, psoriasis, metotrexat, klart förbättrad, sammanslaget med tusentals liknande rader, utan nyckel och utan kännetecken som gör att du ändå hittar Maria. Det är svårare än det låter.
Skillnaden, enkelt förklarad
Pseudonymisering (artikel 4.5 GDPR). Uppgifterna behandlas så att de inte längre kan kopplas till en person utan kompletterande uppgifter, och de kompletterande uppgifterna förvaras separat och skyddat. Enligt skäl 26 är pseudonymiserade uppgifter fortfarande personuppgifter. En nyans sedan 2025: enligt EU-domstolen (målet EDPS mot SRB, C-413/23 P, 4 september 2025) är de kanske inte personuppgifter för en mottagare som saknar rimliga medel att återidentifiera personerna. För den som har nyckeln är de det alltid. GDPR ser pseudonymisering som en bra skyddsåtgärd, inte som en väg ut ur lagen.
Anonymisering. Uppgifter är anonyma när ingen längre kan identifiera personen, inte ens med medel som rimligen kan användas, till exempel genom att samköra med andra register. Då gäller inte GDPR (skäl 26).
| Pseudonymiserat | Anonymiserat | |
|---|---|---|
| Går att koppla till en person? | Ja, med nyckel eller fler uppgifter | Nej, inte ens med rimliga medel |
| Omfattas av GDPR? | Ja | Nej |
| Kräver rättslig grund och ändamål? | Ja | Nej |
| Får säljas? | Bara inom GDPR:s regler | Ja, GDPR hindrar det inte |
Vad som går fel i praktiken. Den franska tillsynsmyndigheten CNIL bötfällde i maj 2026 ett företag inom hälsodata med 5 miljoner euro för flera överträdelser. Företaget hävdade att dess receptdata var anonyma. CNIL fann att de bara var pseudonymiserade, eftersom personerna fortfarande kunde återidentifieras med rimliga medel. Det är precis fällan: en kod i stället för ett namn gör inte uppgifter anonyma.
Det här är allmän information, inte juridisk rådgivning.
Vad det här inte skyddar
Här ligger kärnan. Lagen skyddar den del som pekar på en person. Ta bort den delen, och det som blir kvar, diagnosen, behandlingen, resultatet, avtalsklausulen, förhandlingsutrymmet, är inte längre skyddat.
- Anonymt betyder: fritt att handla med. Uppgifter som verkligen är anonymiserade kan lagligt slås samman, licensieras och säljas, till exempel till datamäklare, försäkringsbolag, läkemedelsföretag eller AI-utvecklare. Hur det går till ser du på dataspåret. Källorna finns på lagligt till salu.
- Tystnadsplikten hjälper inte mycket här. Tystnadsplikten gäller det som kan kopplas till patienten eller klienten. En anonym rad i ett dataset är inte det längre.
- Återidentifiering är billigare än du tror. Latanya Sweeney visade att ungefär 87 % av amerikanerna kan identifieras med bara postnummer, födelsedatum och kön. En studie i Nature Communications (2019) fann att 99,98 % av amerikanerna kan återidentifieras med 15 kännetecken. De "anonymiserade" filmbetygen i Netflix Prize och sökloggarna från AOL kopplades båda till verkliga personer. AI gör sådan samkörning snabbare och billigare.
- "Vi anonymiserar dina data" är ingen garanti. Står det i en tjänsts villkor att leverantören får anonymisera ditt innehåll och sedan använda det, är det precis den vägen dina uppgifter kan lämna GDPR.
Vad det betyder när du använder AI-verktyg
En kort kontroll för alla AI-verktyg:
- Sök i villkoren efter "anonymiserade", "aggregerade" och "härledda data". Får leverantören skapa och använda sådana?
- Är leverantören personuppgiftsbiträde med ett personuppgiftsbiträdesavtal, eller bestämmer den själv vad den gör med dina uppgifter?
- Är träning utesluten i avtalet, eller bara via en inställning?
- Vad händer efter behandlingen? Raderas uppgifterna, eller ligger de kvar någonstans?
Wysor tar ingen licens att återanvända ditt innehåll, så det uppstår ingen anonymiserad kopia som kan komma ut på marknaden. Wysor är personuppgiftsbiträde och agerar bara på dina instruktioner (artikel 28 GDPR). Vi tränar aldrig på ditt innehåll och säljer det aldrig, anonymiserat eller inte. Åtagandena står i avtalet och binder även den som någon gång skulle äga Wysor. Allt är krypterat under överföring och i lagring och hostas i EU, och hos varje ansluten AI-modelleverantör gäller noll datalagring: behandlat, sedan raderat. Du arbetar med GPT, Claude, Gemini och fler i en arbetsyta.
Vanliga frågor
Vad är skillnaden mellan pseudonymisering och anonymisering? Vid pseudonymisering byts identifierande uppgifter ut mot en kod, men med en nyckel eller fler uppgifter går personen att hitta igen. Vid anonymisering går det inte. Därför omfattas pseudonymiserade uppgifter av GDPR, men inte anonyma.
Vad är pseudonymisering? Att ersätta namn, personnummer och liknande med en kod och förvara nyckeln separat. Det minskar risken vid en läcka, men uppgifterna är fortfarande personuppgifter.
Räcker det att ta bort namnet för att anonymisera? Nästan aldrig. Födelsedatum, ort, yrke och diagnos räcker ofta för att hitta personen igen, särskilt om uppgifterna kan samköras med andra källor.
Är anonymiserade patientuppgifter fortfarande skyddade? Inte av GDPR. Om uppgifterna verkligen är anonyma gäller inte GDPR, och de kan lagligt återanvändas och säljas. Därför spelar det roll om din leverantör över huvud taget har rätt att anonymisera dina uppgifter.
Är krypterade uppgifter anonyma? Nej. Kryptering är ett skydd: den som har nyckeln kan läsa uppgifterna igen. Krypterade personuppgifter är fortfarande personuppgifter.
Läs vidare
- Vad är personuppgifter? Definition och exempel
- Vad är GDPR? Enkelt förklarat
- Dataspåret: från journal till dataset
- Lagligt till salu: källorna
- Vad är generativ AI? Förklarat enkelt
- Vad är en prompt? Förklarat enkelt
Frågor om anonymisering och Wysor? Skriv till [email protected] eller använd kontaktformuläret i appen.
