Anonymisering skal gjøre det slik at opplysninger ikke lenger kan knyttes til en identifiserbar person med midler som med rimelighet kan tenkes brukt. Å fjerne navn er ofte utilstrekkelig. Datoer, bosted, stilling, hendelsesforløp og andre kombinasjoner kan fortsatt peke ut noen. Før et datasett deles som anonymt, må virksomheten undersøke både innholdet og situasjonen det skal brukes i.
Fortalepunkt 26 og artikkel 4 i GDPR er sentrale for skillet mellom anonyme og identifiserbare opplysninger. Datatilsynets personvernprinsipper forklarer blant annet dataminimering og lagringsbegrensning. Veiledningen nedenfor gir en praktisk vurderingsmåte. Den tilbyr ingen enkelt teknikk eller terskel som automatisk gjør ethvert datasett anonymt.
Avklar hva dere ønsker å oppnå
Beskriv hvem som skal bruke resultatet og til hvilket formål. Intern statistikk, deling med en forskningspartner og åpen publisering gir forskjellige situasjoner. For forskningsprosjekter ved en institusjon med avtale med Sikt kan forberedelsen av meldeskjemaet avklare hvordan personopplysninger behandles før eventuell anonymisering. Ved offentlig publisering kan mottakere ha bakgrunnskunnskap virksomheten ikke kjenner. Ved avgrenset deling kan kontrakt og tilgangskontroll redusere risiko, men slike tiltak gjør ikke i seg selv dataene anonyme.
Vurder hvilken detaljgrad formålet faktisk krever. En ledelsesrapport kan ofte besvare spørsmålet med summer og grupper fremfor enkeltrader. Hvis oppgaven krever at samme person følges over tid, kan pseudonymisering være relevant. Da må behandlingen fortsatt håndteres som personopplysninger når identifisering er mulig etter en konkret vurdering.
Kartlegg direkte og indirekte identifikatorer
Direkte identifikatorer som navn og kontaktopplysninger er ofte lette å finne. Indirekte identifikatorer krever mer arbeid: nøyaktige tidspunkt, sjeldne yrker, små geografiske områder eller en uvanlig kombinasjon av hendelser. Undersøk også fritekst, vedlegg, bilder, filnavn og metadata. En tabell kan se ryddig ut samtidig som et kommentarvedlegg inneholder hele bakgrunnen for saken.
Bruk vurderingen av hva som er personopplysninger til å utfordre klassifiseringen. Spør hvem som kan kjenne igjen personen og hva vedkommende kan kombinere opplysningene med. En opplysning trenger ikke være forståelig for alle for å være identifiserbar. Lokal kunnskap kan være tilstrekkelig i små arbeidsmiljøer eller geografiske områder.
Undersøk om noen kan skilles ut
Et datasett kan gjøre det mulig å isolere én person uten at navnet står der. Se etter unike rader og små grupper. En rapport som oppgir én medarbeider i en bestemt stilling på et lite kontor, kan være lett å knytte til vedkommende. Vurder hele kombinasjonen av felter, ikke hvert felt isolert.
Undersøk også om den samme personen kan følges mellom flere publiseringer. Stabil radrekkefølge, identiske koder eller gjentatte detaljer kan skape koblinger. Hvis en senere rapport deler gruppen annerledes, kan forskjellen mellom rapportene avsløre en opplysning som ikke var synlig i noen av dem alene. Vurder derfor publiseringshistorikken, ikke bare den nye filen.
Vurder muligheten for kobling og slutninger
Spør hvilke andre kilder en mottaker realistisk kan bruke. Det kan være offentlige opplysninger, egen kundehistorikk eller kjennskap til en hendelse. Dokumenter hvorfor en kobling er eller ikke er rimelig i den konkrete situasjonen. Analysen bør være etterprøvbar og ta hensyn til teknologi, kostnad, tid og tilgjengelig kunnskap.
Vurder også hva mottakeren kan utlede om en person som allerede er kjent. Selv om datasettet ikke avslører et navn, kan det bekrefte en opplysning om helse, atferd eller økonomi når andre forhold er kjent. Dette gjør særlig små grupper og detaljerte hendelsesbeskrivelser krevende. Unngå å redusere analysen til en jakt på navn og fødselsnummer.
Arbeidsark for en anonymiseringsvurdering
| Område | Hva dere bør beskrive |
|---|---|
| Formål | Spørsmålet mottakeren trenger å besvare |
| Mottakere | Avgrenset gruppe eller åpen publisering |
| Direkte kjennetegn | Felter og vedlegg som identifiserer direkte |
| Indirekte kjennetegn | Kombinasjoner som kan peke ut eller koble personer |
| Bakgrunnskilder | Opplysninger en mottaker rimeligvis kan bruke |
| Tiltak | Aggregering, generalisering, fjerning eller annen metode |
| Nytte | Om resultatet fortsatt besvarer det legitime spørsmålet |
| Restmulighet | Gjenværende identifisering og analysens begrensninger |
| Beslutning | Deling, ny bearbeiding eller fortsatt personvernbehandling |
Skjemaet bør knyttes til en bestemt versjon av datasettet. En tidligere vurdering gjelder ikke automatisk hvis nye felter eller flere rader legges til. Bevar referanser til kontrollen uten å kopiere identifiserende innhold inn i et bredt tilgjengelig beslutningsnotat.
Velg tiltak etter svakheten dere finner
Aggregering kan redusere detaljgraden ved å presentere grupper i stedet for enkeltrader. Generalisering kan erstatte en presis alder eller dato med et bredere intervall. Fjerning kan være nødvendig for enkelte felter, sjeldne kombinasjoner eller fritekst som ikke kan bearbeides forsvarlig. Valget må tilpasses både formålet og identifiseringsrisikoen.
Metoder som tilfører støy eller bruker andre statistiske teknikker krever kompetanse og kontroll av forutsetningene. Ikke bruk en tilfeldig endring som om den automatisk beskytter personer. Undersøk også hvordan metoden påvirker resultatets riktighet. En rapport som ikke lenger kan brukes til formålet, bør omarbeides eller begrenses fremfor å presenteres med større presisjon enn den har.
Ikke forveksle hashing med anonymisering
En hash eller kode kan fortsatt gjøre det mulig å koble opplysninger om samme person. Hvis originalverdien kan prøves systematisk, eller en koblingstabell finnes, kan identifisering være mulig. Vurder både metoden og hva mottakeren kjenner. Et teknisk begrep er ikke en rettslig klassifisering av resultatet.
Skill derfor mellom tiltak som reduserer direkte eksponering og en konklusjon om anonymitet. Dersom virksomheten fortsatt kan føre dataene tilbake gjennom en nøkkel, må dette inngå i vurderingen. Kryptering har på samme måte en viktig sikkerhetsfunksjon, men krypterte opplysninger blir ikke automatisk anonyme fordi innholdet ikke er synlig uten nøkkel.
Hypotetisk eksempel: statistikk fra en liten avdeling
En tenkt virksomhet vil publisere en oversikt over fravær per avdeling, alder og stillingstype. Navn er fjernet. Gjennomgangen viser at én kombinasjon gjelder en eneste ansatt som lett kan identifiseres av kollegene. Virksomheten slår sammen kategorier og vurderer om enkelte tall må utelates.
Deretter undersøker den tidligere publiserte rapporter. En eldre tabell gjør det mulig å beregne en verdi som den nye rapporten forsøkte å skjule. Publiseringsopplegget endres slik at rapportene vurderes samlet. Eksemplet viser at anonymisering også handler om mottakerens kunnskap og flere utleveringer over tid, ikke bare behandling av ett isolert regneark.
Kontroller resultatet uavhengig av utformingen
La en person som ikke laget bearbeidingen, undersøke om noen kan gjenkjennes eller kobles. Avklar mandat og tilgang, og unngå å skape en unødvendig ny samling av identifiseringsopplysninger. Kontrollen kan bruke realistiske scenarioer uten å forsøke ubegrenset innsamling av informasjon om faktiske personer.
Dokumenter både funn og begrensninger. At én gjennomgang ikke fant en identitet, beviser ikke at enhver rimelig identifisering er umulig. Vurder om kompetansen, bakgrunnskildene og scenarioene dekket den aktuelle delingen. Ved betydelig usikkerhet bør virksomheten velge en mer begrenset leveranse eller fortsette å håndtere materialet som personopplysninger.
Håndter originaldata og arbeidskopier separat
Selv om sluttproduktet er anonymt, kan prosessen frem til resultatet behandle personopplysninger. Originalfiler, koblingstabeller og midlertidige bearbeidingsfiler trenger derfor tilgangskontroll og oppbevaringsvurdering. Beskriv hvem som utfører arbeidet, hvor filene ligger og hva som skjer når oppgaven er ferdig.
Knytt dette til lagringsbegrensning. Anonymisering av én eksport viser ikke at originalregisteret kan beholdes uten videre. Omvendt må nødvendige originale opplysninger ikke slettes ukritisk dersom virksomheten fortsatt har et rettslig og saklig behov. Hver kopi og behandling må vurderes for sitt eget formål.
Velg en annen leveranse når anonymitet ikke kan forsvares
Hvis mottakeren trenger mer detalj enn dere kan dele anonymt, vurder en begrenset behandlingsform med passende grunnlag, roller og sikkerhet. Det kan innebære avgrenset tilgang eller et annet analyseoppsett. Et avtalevilkår om ikke å identifisere personer kan være et relevant vern, men bør ikke brukes som eneste grunn til å kalle materialet anonymt.
Vurder behovet for en personvernkonsekvensvurdering når den planlagte behandlingen kan medføre høy risiko. Analysen av anonymisering kan inngå i risikovurderingen, men erstatter ikke vurderingen av hele prosjektet. Formålet er å velge en forsvarlig løsning, ikke å få en bestemt etikett på et datasett.
Oppdater vurderingen ved nye publiseringer
Registrer hvem som godkjenner resultatet, hvilket datasett beslutningen gjelder og hvilke endringer som utløser ny kontroll. Flere opplysninger, nye mottakere eller tilgjengelige bakgrunnskilder kan endre vurderingen. Et datasett som bare deles internt, bør gjennomgås på nytt før eventuell offentlig publisering.
Knytt arbeidsprosessen til ansvarlighetsdokumentasjonen. Et kort notat om formål, metode, vurderte identifiseringsmuligheter og begrensninger er mer nyttig enn en udokumentert merkelapp «anonymisert». Det gjør det mulig å kontrollere hva virksomheten faktisk vurderte og hvorfor den valgte den aktuelle delingen.