Att anonymisera personuppgifter innebär mer än att ta bort namn och personnummer. En kombination av ort, tid, befattning och ovanliga händelser kan räcka för att någon ska kunna identifieras. Bedöm därför det resultat ni vill använda eller publicera, vilka som kan få tillgång till det och vilka andra uppgifter som rimligen kan användas tillsammans med resultatet.
Den här guiden hjälper er att förbereda ett publiceringsbeslut: välj nödvändiga mått, omvandla underlaget, pröva identifieringsrisker och dokumentera slutsatsen. Exemplet gäller en fiktiv förenings verksamhetsstatistik. Det visar hur en bedömning kan göras, utan att lova att en viss gruppstorlek eller teknik alltid ger anonyma uppgifter.
Skilj resultatet från personuppgifterna bakom det
Anonyma uppgifter faller utanför GDPR:s personuppgiftsbegrepp. Men arbetet med den identifierbara källfilen är fortfarande en behandling som behöver bedömas. Ni måste hantera ändamål, rättsligt stöd, säkerhet och bevarande även om slutprodukten är tänkt att bli anonym. Skäl 26 och artikel 4 i GDPR är utgångspunkter för bedömningen av identifierbarhet.
Pseudonymisering minskar möjligheten att koppla uppgifterna till någon utan kompletterande information. Om er organisation har kvar en kodnyckel och kan göra kopplingen får ni inte kalla er arbetsfil anonym bara för att namnkolumnen ersatts. Detsamma gäller när identifiering kan göras med andra rimligt tillgängliga medel.
Bedöm samtidigt den konkreta mottagarsituationen. I C-413/23 P den 4 september 2025 klargjorde EU-domstolen, inom EU-institutionernas dataskyddsförordning, att pseudonymiserade uppgifter inte automatiskt är personuppgifter för varje mottagare i varje situation. Mottagarens faktiska möjligheter till identifiering spelar roll. Domstolen skilde detta från källans informationsskyldighet, som bedömdes vid insamlingen och från den personuppgiftsansvariges perspektiv. Se domstolens redogörelse för avgörandet.
Slutsatsen är alltså varken att kodade filer alltid är anonyma hos en mottagare eller att sammanhanget saknar betydelse. Beskriv vem bedömningen gäller och vilka möjligheter till återidentifiering som finns. Öppen publicering måste bedömas bredare än utlämnande i en avgränsad analysmiljö.
Bestäm vad mottagaren faktiskt behöver
Skriv analysfrågan innan ni väljer omvandlingsmetod. Föreningen vill exempelvis visa hur deltagandet fördelas mellan tre typer av aktiviteter under året. För den frågan behövs kanske antal deltagartillfällen per aktivitet, men inte individuella närvarodatum, exakta åldrar eller en följbar rad per medlem.
Skilj även antal personer från antal tillfällen. Om en person besöker flera aktiviteter kan totalsummor misstolkas. Beskriv måttet tydligt så att ni inte behåller individuella identifierare bara för att det verkar enklare att förklara resultatet senare. Använd en fältmatris för uppgiftsminimering för att sortera bort uppgifter utan betydelse för det bestämda måttet.
Dokumentera vem som ska få resultatet, hur länge det ska finnas tillgängligt och om fler versioner planeras. En intern rapport till ett fåtal personer och en nedladdningsbar fil på webben innebär olika tillgång till sammanhang och olika möjligheter att begränsa fortsatt spridning.
Pröva tre identifieringsrisker
Artikel 29-gruppens yttrande 05/2014 om anonymiseringstekniker beskriver individualisering, länkning och inferens som centrala angreppssätt. Använd dem som praktiska frågor i granskningen. Dokumentet är äldre vägledning; den rättsliga bedömningen måste också beakta senare rättspraxis och den aktuella situationen.
| Risk | Fråga i föreningens granskning | Exempel på problem |
|---|---|---|
| Individualisering | Går det att urskilja en viss person eller en unik följd av besök? | Endast en deltagare har kombinationen hög ålder och ovanlig aktivitet |
| Länkning | Kan en rad kopplas till annan information? | En öppen aktivitetskalender och ett inlägg visar vem som deltog ett visst datum |
| Inferens | Går det att dra en känslig slutsats om någon? | Alla deltagare i en känd liten grupp har samma hälsorelaterade egenskap |
Att fler personer delar en kombination löser inte automatiskt inferensrisken. Om samtliga personer i gruppen har samma egenskap kan den ändå avslöjas. Kontrollera därför både vilka som kan urskiljas och vad tabellen låter någon dra slutsatser om.
Välj omvandling efter problemet
Att ta bort direkta identifierare är ofta ett första steg. Därefter kan exakta värden ersättas med bredare intervall, platser slås samman och individuella rader ersättas med totalsiffror. Sällsynta kategorier kan behöva slås ihop eller utelämnas. Fritext kräver särskild uppmärksamhet eftersom en enda berättelse kan identifiera någon.
Brus och andra statistiska metoder kan ge ytterligare skydd, men de behöver väljas och utvärderas av någon som förstår metoden och användningen. Ett mått på k-anonymitet beskriver en viss egenskap hos datamängden; det är inget allmänt myndighetsgodkännande. Differential privacy kräver bland annat genomtänkta parametrar och kontroll över upprepade frågor. Att bara lägga till slumpmässiga värden är inte samma sak.
EDPB:s riktlinjer 02/2026 om anonymisering är den 8 september 2026 föremål för offentligt samråd. Behandla dem som ett utkast, inte som slutliga riktlinjer eller ny lag. Följ utvecklingen när ni planerar en metod som ska användas återkommande.
Ifyllt exempel: föreningens årsstatistik
Källfilen innehåller namn, kontaktuppgifter, födelsedatum, kommun, aktivitet, närvarodatum och kommentarer. Projektgruppen beslutar att den offentliga rapporten endast ska visa deltagartillfällen per bred aktivitetstyp och år. Åldersfördelningen redovisas på föreningsnivå, utan korsning mot små aktiviteter eller kommuner.
| Källuppgift | Beslut i exemplet | Kontroll före publicering |
|---|---|---|
| Namn och kontakt | Ingår inte i resultatet | Sök även i dolda blad och filmetadata |
| Födelsedatum | Ersätts med breda åldersgrupper i separat tabell | Granska små grupper och kombinationer med tidigare rapporter |
| Kommun | Utelämnas | Bekräfta att geografisk fördelning inte behövs för rapportens syfte |
| Närvarodatum | Summeras till år | Ingen individuell tidsföljd publiceras |
| Kommentarer | Utelämnas helt | Kontrollera att citat inte återkommer i rapporttexten |
| Medlems-ID | Ingår inte | Ingen stabil kod får följa med till nästa års publicering |
Detta är ett konkret utformningsbeslut, men anonymitet följer inte enbart av tabellen. En granskare provar resultatet mot vad som är känt om aktiviteterna. Om en liten aktivitet tydligt pekar ut en person slås den ihop med en bredare kategori eller tas bort. Verksamhetsansvarig dokumenterar vilken analysnytta som går förlorad och varför publiceringsformen ändå är tillräcklig.
För medlemsunderlaget finns särskilda praktiska frågor om behörighet och ändamål. Se GDPR för ideella föreningar för den löpande hanteringen; en anonym årsrapport ersätter inte dessa rutiner.
Granska flera publiceringar tillsammans
Två ofarliga tabeller kan tillsammans avslöja något. Om ni publicerar en totalsiffra och sedan samma siffra utan en viss grupp kan skillnaden röja gruppens innehåll. Om nästa version lägger till endast en person kan jämförelsen avslöja uppgifter om den personen.
Lista därför redan publicerade rapporter och vilka nya uppdelningar ni planerar. Granska även diagram, procentsatser och totalsummor som kan användas för att räkna fram en utelämnad cell. Det räcker inte att dölja ett litet antal i en tabell om samma antal enkelt kan räknas ut någon annanstans på sidan.
Om risken inte kan hanteras utan att resultatet blir oanvändbart kan en begränsad tillgång vara ett annat alternativ att utreda. Det är ett annat beslut än anonym öppen publicering och kräver en egen bedömning av mottagare, rättsligt stöd, avtal och skydd.
Spara ett avgränsat beslutsunderlag
Dokumentera vilken källfil och resultatversion som granskats, syftet, mottagarna, metoden, parametrarna och identifieringsförsöken. Ange vilka externa uppgifter ni har beaktat och vilka begränsningar som återstår. Låt verksamhetsansvarig bekräfta nyttan och en kompetent granskare bedöma riskerna. Dataskyddsombudet ger råd där ett sådant finns; organisationen fattar sitt ansvariga beslut.
Koppla processen till registerförteckningen och vid behov en konsekvensbedömning. Bevara inte identifierbara mellanversioner obegränsat för att kunna bevisa att ni gjort en bedömning. Bestäm vilka underlag som behövs och använd gallringsplanen för separata beslut om källor, arbetskopior och dokumentation.
Bestäm när bedömningen måste göras om
En ny mottagare, mer detaljerad statistik, en ny tillgänglig datakälla eller en identifierad svaghet kan förändra slutsatsen. Sätt en ansvarig för att fånga sådana förändringar. IMY:s beskrivning av personuppgifter hjälper er att återknyta till frågan om någon faktiskt kan identifieras.
Om en publicerad fil visar sig möjliggöra identifiering behöver ni begränsa fortsatt åtkomst där det är möjligt och bedöma en eventuell personuppgiftsincident. Ett borttaget original raderar inte säkert alla nedladdade kopior. Dokumentera vad som har hänt och pröva om information till berörda eller andra incidentåtgärder krävs. Ett tidigare anonymitetsbeslut får inte hindra en ny bedömning när fakta förändras.