Tietojen anonymisoinnissa arvioidaan, voidaanko aineistoon liittyvä henkilö edelleen tunnistaa. Nimien poistaminen on usein vasta alku: tarkka ikä, harvinainen tehtävä, tapahtumapäivä tai usean julkaisun yhdistäminen voi paljastaa henkilön. Arvioinnin pitää kohdistua siihen aineistoon, joka todella luovutetaan tai julkaistaan, sekä sen käyttöympäristöön.
Tässä oppaassa kuvitteellinen yhdistys Valon verstas valmistelee julkisia tilastoja työpajojensa osallistujista. Esimerkissä valitaan julkaistavat tiedot, muutetaan ryhmittelyä ja hylätään yksi liian paljastava taulukko. Tavoitteena on tuottaa hyödyllinen yhteenveto ilman, että yksittäisten osallistujien tilanteita voidaan päätellä. Esimerkin numerot ovat keksittyjä opetustarkoitukseen.
Anonymisointi ja pseudonymisointi eivät ole sama asia
Pseudonymisoinnissa tietoa ei voida yhdistää tiettyyn henkilöön ilman erikseen säilytettävää lisätietoa. Esimerkiksi asiakasnumero voi korvata nimen, mutta organisaation hallussa oleva vastaavuustaulukko mahdollistaa edelleen tunnistamisen. Tällaisen aineiston kutsuminen anonyymiksi johtaisi vääriin oletuksiin säilytyksestä, jakamisesta ja oikeuksista. Pseudonymisoinnin ja tunnisteavainten hallinta on oma suojaustehtävänsä.
Tietosuoja-asetuksen johdanto-osan 26 kappaleessa tunnistettavuutta arvioidaan kohtuullisen todennäköisesti käytettävien keinojen perusteella. Huomioon otetaan esimerkiksi kustannukset, aika ja käytettävissä oleva teknologia. Kyse ei ole vain siitä, osaako tiedoston valmistaja itse nimetä henkilön. Toisaalta täysin kuvitteellinen, käytännössä merkityksetön mahdollisuus ei yksin ratkaise arviointia.
Aidosti anonyymit tiedot jäävät henkilötietojen sääntelyn ulkopuolelle. Anonymisointia edeltävä lähdeaineiston käsittely on kuitenkin edelleen henkilötietojen käsittelyä. Sen tarkoitus, käsittelyperuste, käyttöoikeudet ja muut velvoitteet arvioidaan erikseen. Myöskään salassapitosopimus tai muu aineistoa koskeva velvoite ei välttämättä lakkaa, vaikka lopputulos olisi anonyymi.
Huomioi vuoden 2026 ohjeistuksen tila
Euroopan tietosuojaneuvosto hyväksyi anonymisointia koskevan ohjeen 02/2026 version 1.0 julkista kuulemista varten 7.7.2026. Kuuleminen on avoinna 30.10.2026 asti. Syyskuussa 2026 kyse on siis kuultavana olevasta versiosta, ei lopullisesta ohjeesta tai uudesta laista. Ohje tarkentaa aiemman vuoden 2014 lausunnon lähestymistapaa.
Luonnos korostaa asianomaisten toimijoiden näkökulmaa ja käsittelee kolmea arviointikriteeriä: tietueen eristämistä, tietojen yhdistämistä ja päättelyä. Yhden kriteerin epäonnistuminen voi edellyttää lisäanalyysiä siitä, mahdollistaako tulos henkilön erottamisen muista ja erilaisen kohtelun. Pelkkää yksittäisen taulukkorivin löytymistä ei siksi pidä esittää kaikissa tilanteissa koko oikeudellisen testin automaattisena ratkaisuna.
Valon verstaan tapauksessa tulos julkaistaan avoimella verkkosivulla. Arviointi ei voi nojata yhden nimetyn vastaanottajan rajalliseen tietoon. Yhdistys tarkastelee esimerkiksi osallistujan tuntevaa lukijaa, paikallisen tapahtuman järjestäjää ja aiempien tilastojen haltijaa. Jos suunnitelma muuttuisi rajatuksi tutkimusyhteistyöksi, vastaanottajat, käytettävissä olevat lisätiedot ja käsittelyn edellytykset olisi arvioitava uudelleen. Henkilötiedon määritelmä auttaa pitämään tämän oikeudellisen kysymyksen erillään tekniikan nimestä.
Aloita julkaistavasta tiedontarpeesta
Yhdistyksen rahoittaja haluaa tietää, kuinka moni osallistui työpajoihin ja miten osallistuminen jakautui laajoihin toimintamuotoihin. Tähän ei tarvita nimiä, tarkkoja syntymäpäiviä, yksittäisiä käyntipäiviä tai henkilökohtaisia elämäntilanteita. Valon verstas päättää julkaista vain vuoden osallistumismäärät toimintamuodoittain ja kuvauksen laskentatavasta.
Lähderekisterissä on lisäksi sähköpostiosoite, asuinkunta, ikä, työpaja ja vapaa palaute. Vapaassa tekstissä voi olla nimiä, työpaikkoja ja harvinaisia tapahtumia, joten sitä ei siirretä automaattisesti julkiseen tiedostoon. Kyselylomakkeen tietosuoja auttaa rajaamaan tulevaa keruuta jo ennen seuraavaa tilastointia.
Yhdistys erottaa myös osallistujat ja osallistumiskerrat. Sama henkilö voi käydä kuudessa tapaamisessa. Jos julkaisussa puhutaan henkilömäärästä, kuutta käyntiä ei saa laskea kuudeksi henkilöksi. Anonymisoinnin yhteydessä tehty tiedon karkeistus ei oikeuta muuttamaan tilaston merkitystä. Laskentatapa kuvataan lukijalle ymmärrettävästi.
Täytetty muunnossuunnitelma
Valon verstas dokumentoi, mitä tapahtuu jokaiselle lähdekentälle ja miksi. Se ei julkaise muunnossuunnitelman mukana lähdeaineistoa.
| Lähdetieto | Päätös julkiseen tulokseen | Esimerkissä havaittu syy |
|---|---|---|
| Nimi ja sähköpostiosoite | Poistetaan tuloksesta kokonaan | Yhteydenotto ei kuulu tilaston tarkoitukseen |
| Tarkka ikä | Ei julkaista tässä tilastossa | Iän yhdistäminen pieneen työpajaan erottaisi osallistujan |
| Asuinkunta | Yhdistetään laajempaan alueeseen vain tarvittaessa | Pienimmästä kunnasta osallistui yksi henkilö |
| Käyntipäivä | Vuositason yhteenveto | Yksittäisestä tapahtumasta on julkisia osallistujakuvia |
| Työpajan nimi | Laajat toimintamuodot | Harvinaisen pienryhmän nimi paljastaisi arkaluonteisen aiheen |
| Vapaa palaute | Jätetään tilastosta pois | Tunnistavia yksityiskohtia ei voida poistaa pelkällä nimihakutoiminnolla |
Muunnos vähentää tietoa, mutta mikään yksittäinen rivi ei vielä todista anonyymiyttä. Laaja alue voi edelleen olla liian tarkka yhdessä harvinaisen toimintamuodon kanssa. Toisaalta tiedon poistaminen voi vähentää tilaston hyötyä niin paljon, että toinen esitystapa on parempi. Valinta perustellaan suhteessa alkuperäiseen tiedontarpeeseen.
Yhdistyksen tekninen toteuttaja tuottaa ensimmäisen version synteettisellä harjoitusaineistolla. Varsinaista henkilötietoa käsitellään vasta hyväksytyssä ympäristössä. Tietojen minimointi koskee myös väliaikaista työaineistoa ja sen käyttäjiä.
Mitä yleistys, poistaminen ja kohina ratkaisevat?
Yleistämisessä tarkka tieto korvataan karkeammalla tiedolla, kuten ikäryhmällä tai laajemmalla alueella. Poistamisessa tietokenttä tai liian paljastava havainto jätetään pois. Ryhmittely voi parantaa suojaa, mutta harvinaiset yhdistelmät ja ryhmän sisäinen yhdenmukaisuus tarvitsevat silti arvioinnin. Jos kaikki tunnistettavan ryhmän jäsenet jakavat saman arkaluonteisen ominaisuuden, yksittäisen rivin piilottaminen ei välttämättä estä päättelyä.
Satunnaistaminen ja kohinan lisääminen muuttavat arvoja. Niiden hyöty riippuu menetelmästä, parametreista ja julkaisuista kokonaisuutena. Satunnaisen luvun lisääminen jokaiseen soluun ei itsessään muodosta asianmukaista anonymisointia. Liian pieni muutos voi jättää tiedon pääteltäväksi, ja liian suuri muutos voi tehdä tuloksesta harhaanjohtavan.
Valon verstas ei tarvitse henkilötasolla julkaistavaa aineistoa. Siksi se valitsee yhteenvedon, jonka tarkoitus voidaan saavuttaa vähillä kentillä. Vaativammat menetelmät, kuten differentiaalinen yksityisyys, edellyttävät osaavaa suunnittelua ja julkaisujen yhteisvaikutuksen hallintaa. Niiden nimeä ei käytetä hyväksymisleimana, jos toteutuksen ominaisuuksia ei ole arvioitu.
Myöskään sähköpostiosoitteen tiivistäminen ei ratkaise asiaa automaattisesti. Jos mahdollisia osoitteita voidaan kokeilla tai sama vakaa tunniste yhdistää useita tiedostoja, tunnistaminen voi edelleen onnistua. Tietojen salaus puolestaan suojaa pääsyä mutta ei muuta avaimen haltijan aineistoa anonyymiksi.
Kaksi hylättävää julkaisua ja korjattu tulos
Ensimmäisessä versiossa yhdistys julkaisee alueen, toimintamuodon ja osallistujamäärän. Pienen kunnan erityisessä työpajassa näkyy yksi osallistuja. Paikallinen tapahtumasivu sisältää kuvan ja tiedon siitä, kuka osallistui. Yhdistys hylkää tämän version, koska julkinen lisätieto yhdistää tilaston aiheen henkilöön.
Toisessa versiossa pieni kunta on yhdistetty laajempaan alueeseen. Yhdistys aikoo silti julkaista kuukausittaisen kumulatiivisen tilaston. Elokuun ja syyskuun erotus näyttäisi yhden uuden osallistujan harvinaiseen ryhmään. Pelkkä suurempi alue ei poista tätä julkaisujen välisestä vertailusta syntyvää riskiä. Yhdistys muuttaa sekä toimintamuotojen ryhmittelyä että julkaisuväliä.
Korjatussa kuvitteellisessa esimerkissä julkinen taulukko näyttää vuoden osallistumiskerrat kolmessa laajassa toimintamuodossa: käsityöpajat 184, yhteisöllinen ruoanlaitto 226 ja ulkoilutoiminta 310. Siinä ei ole alue-, ikä- tai kuukausierottelua eikä vakaata henkilötunnistetta. Luvut ovat esimerkin valittuja lopputuloksia, eivät yleinen turvallinen vähimmäisryhmäkoko. Yhdistys tarkistaa vielä muut samaan toimintaan liittyvät julkaisut ja sen, mitä luvut voivat niiden kanssa paljastaa.
Yksi poistettu solu ei aina riitä. Jos kokonaissumma ja kaikki muut osat julkaistaan, puuttuvan solun voi laskea vähentämällä. Siksi Valon verstas tarkistaa taulukoiden marginaalit, kokonaismäärät ja rinnakkaiset esitykset. Tarvittaessa se poistaa myös toisen arvon tai muuttaa ryhmittelyä, jotta pois jätetty tieto ei palaudu laskutoimituksella.
Dokumentoi hyväksytty tulos ja sen rajat
Hyväksymismuistio yksilöi tulostiedoston version, käyttötarkoituksen, julkaisutavan, muunnokset ja tarkastellut tunnistamiskeinot. Siinä kuvataan myös, mitä ulkoisia tietoja arvioinnissa pidettiin saatavilla ja miksi. Osoitusvelvollisuuden dokumentointi auttaa yhdistämään päätöksen tehtyyn arvioon.
Valon verstaan muistioon kirjataan hylätyt kaksi versiota ja niiden konkreettiset ongelmat. Hyväksyttyyn versioon ei jää henkilötason rivejä tai vapaita kommentteja. Avoin kysymys paikallisen kumppanin julkaisemista kuvista ratkaistaan ennen julkaisua. Jos arvio ei vielä riitä, tiedostoa käsitellään henkilötietoja sisältävänä eikä sitä julkaista anonyymiksi nimettynä aikataulupaineen vuoksi.
Tietosuojavastaava neuvoo tarvittaessa tehtävänsä mukaisesti, mutta organisaation päätöksentekijä vastaa valitusta käsittelystä. Vaikutustenarviointi voi olla tarpeen, jos suunniteltu henkilötietojen käsittely todennäköisesti aiheuttaa korkean riskin. Jokainen taulukon muunnos ei automaattisesti edellytä sitä.
Suojaa lähteet ja tarkista uusi käyttötapa
Julkisen yhteenvedon hyväksyminen ei poista lähderekisterin velvoitteita. Yhdistys säilyttää osallistujatiedot vain niiden perustellun tarkoituksen ja soveltuvien velvoitteiden ajan. Väliaikaiset analyysikopiot poistetaan, kun niitä ei enää tarvita. Säilytyksen rajoittaminen arvioidaan erikseen lähteille, työversioille ja aidosti anonyymille tulokselle.
Seuraavan vuoden julkaisu tarkistetaan myös suhteessa aiempiin taulukoihin. Uusi aluejako tai lisätty ominaisuus voi muuttaa tunnistettavuutta, vaikka aiempi tulos olisi arvioitu asianmukaisesti. Vastuut ja tarkistuksen käynnistävät muutokset kirjataan, mutta yhtä kaikille sopivaa uudelleenarvioinnin vuosiväliä ei päätellä yleisestä ohjeesta.
Jos julkaisun jälkeen löydetään uskottava tunnistamisreitti, yhdistys rajoittaa saatavuutta mahdollisuuksien mukaan ja arvioi tapahtuman vaikutukset. Verkkosivulta poistaminen ei takaa jo ladattujen kopioiden poistumista. Tarvittaessa asia käsitellään tietoturvaloukkauksen selvittämisen menettelyssä. Anonymisoinnin onnistuminen perustuu näin tiettyyn tulokseen ja perusteltuun arviointiin, jota myöhemmät muutokset eivät saa ohittaa.
Lähteet
- Yleinen tietosuoja-asetus, johdanto-osan 26 kappale ja 4 artikla: tunnistettavuus ja henkilötiedon käsite.
- Tietosuojavaltuutetun toimisto: pseudonymisointi ja anonymisointi: käsitteiden ero ja lähdeaineiston suojaaminen.
- EDPB: ohjeen 02/2026 julkinen kuuleminen: kuulemisen tila ja aikataulu.
- EDPB: anonymisointiohjeen versio 1.0, hyväksytty julkista kuulemista varten: näkökulmat ja tarkennetut arviointikriteerit.
- CNIL: henkilötietojen anonymisointi: menetelmät, hyödyllisyys ja tunnistamisriskien arviointi.