Det forsigtige svar i europæisk databeskyttelse har længe været, at pseudonymiserede data forbliver personoplysninger, så længe nogen, hvor som helst, har nøglen. EDPB's udkast til retningslinjer om pseudonymisering fra januar 2025 siger stadig det samme, også når data og nøgle er hos forskellige parter. To nyere tekster har gjort svaret mere præcist. Den 4. september 2025 afgjorde EU-Domstolen sagen EDPS mod SRB (C-413/23 P), og den 7. juli 2026 vedtog Det Europæiske Databeskyttelsesråd (EDPB) sit udkast til retningslinjer 02/2026 om anonymisering, som er åbent for bemærkninger til den 30. oktober 2026 kl. 23.59 CET. Læst sammen forklarer de, hvornår den samme fil kan være en personoplysning for dig og anonym for en anden, og hvorfor det sjældent hjælper, når den anden er en tjenesteudbyder, der arbejder for dig.
Nedenfor står, hvad de to tekster siger, med henvisninger til præmisser og punkter, og derefter det praktiske spørgsmål for advokatfirmaer, revisorer, HR-afdelinger og alle, der indsætter dokumenter i et AI-værktøj: skal man pseudonymisere reversibelt eller maskere for altid?
De vigtigste fakta i overblik
| Punkt | Verificeret faktum | Kilde |
|---|---|---|
| EDPB-dokument | Retningslinjer 02/2026 om anonymisering, version 1.0 | EDPB's pdf, forside |
| Vedtaget | 7. juli 2026, »til offentlig høring« | versionshistorik, s. 1 |
| Høring | 8. juli til 30. oktober 2026, kl. 23.59 CET (115 dage) | EDPB's høringsside |
| Omfang | 103 punkter, 25 gennemgåede eksempler, et bilag med rutediagram | EDPB's pdf |
| Erstatter | Udtalelse 05/2014 fra Artikel 29-Gruppen | punkt 2 |
| Tilhørende tekst | Retningslinjer 01/2025 om pseudonymisering, vedtaget 16. januar 2025, høringen lukket 14. marts 2025, endelig version endnu ikke offentliggjort | EDPB's høringsside |
| Dom | EU-Domstolen, Første Afdeling, C-413/23 P, EDPS mod SRB, 4. september 2025 | dommens indledning |
| Data i sagen | 23.822 bemærkninger fra 2.855 personer; 1.104 bemærkninger sendt til Deloitte med en tilfældig kode på 33 cifre | præmis 23-26 |
| Lovgivning | Digital Omnibus, COM(2025) 837: Rådets mandat af 21. oktober 2026 fjerner den nye ordlyd af art. 4, nr. 1; Parlamentet har endnu ikke stemt | Rådets dok. 14756/26; Europa-Parlamentets lovgivningsobservatorium |
Én præcisering er nødvendig, fordi flere kommentarer beskriver teksten fra 2026 som vejledning om »pseudonymisering og anonymisering«. Titlen og indholdet handler kun om anonymisering. Ordet »pseudonymisering« forekommer ikke i dokumentet; pseudonymer drøftes i ét eksempel og i ét punkt om data, der åbenlyst ikke er anonyme. Pseudonymisering har sit eget udkast, retningslinjerne 01/2025, som teksten fra 2026 ikke henviser til.
Hvad Domstolen afgjorde i SRB
Efter afviklingen af Banco Popular i 2017 inviterede Det Fælles Afviklingsråd (SRB) de berørte aktionærer og kreditorer til at komme med bemærkninger til sin foreløbige afgørelse. Rådet modtog 23.822 bemærkninger fra 2.855 deltagere, sorterede 20.101 identiske fra og beholdt 3.730 individuelle bemærkninger. Af dem handlede 1.104 om værdiansættelsen, og de blev sendt til Deloitte den 17. juni 2019 (præmis 24-26). Hver bemærkning havde en tilfældigt genereret identifikator på 33 cifre, og kun SRB kunne koble koden til de identitetsdokumenter, der blev indsamlet ved registreringen (præmis 23 og 28). Nogle deltagere klagede over, at privatlivsmeddelelsen ikke nævnte Deloitte som modtager.
Domstolen fastslog fire principper, som gælder ud over den konkrete sag.
Holdninger er personoplysninger om den, der udtrykker dem. En personlig holdning er »nødvendigvis tæt knyttet til den pågældende person« (præmis 58), så dens formål eller virkning behøver ikke at analyseres særskilt.
Pseudonymiserede data er ikke automatisk personoplysninger for alle. Pseudonymisering er en risikoreducerende foranstaltning og indgår ikke i definitionen af personoplysninger (præmis 72). Fordi nøglen findes, kan pseudonymiserede data ikke behandles som anonyme »i alle tilfælde« (præmis 73). Men det er lige så forkert at behandle dem som personoplysninger »i alle tilfælde og for enhver person« (præmis 86). For en modtager kan data være ikke-personoplysninger, hvis to betingelser er opfyldt: modtageren kan ikke ophæve de tekniske og organisatoriske foranstaltninger, og foranstaltningerne forhindrer reelt, at data kan henføres til en person, også ved krydstjek med andre oplysninger, som modtageren har (præmis 77).
Videregivelse trækker data tilbage under GDPR. Hvis det ikke kan udelukkes, at en senere modtager har midler til at genidentificere, er data personoplysninger for den videregivelse og for den modtagers behandling (præmis 85).
Gennemsigtighed vurderes fra den dataansvarliges side, ved indsamlingen. SRB skulle nævne Deloitte i sin privatlivsmeddelelse, da bemærkningerne blev indsamlet, »uanset om disse data var personoplysninger« set fra Deloittes synspunkt (præmis 111 og 112). På den baggrund afviste Domstolen SRB's hovedanbringende, ophævede Rettens dom fra 2023 og hjemviste kun sagen til behandling af et særskilt anbringende om god forvaltning (præmis 118-122).
Dommen fortolker forordning 2018/1725 om EU-institutionerne, hvis definition af personoplysninger Domstolen læser på samme måde som artikel 4, nr. 1, i GDPR (præmis 52).
Hvad EDPB's udkast tilføjer
EDPB bygger SRB-ræsonnementet ind i en generel test. Oplysninger er anonyme, hvis de ikke vedrører en person, eller hvis personen ikke kan identificeres, og »disse svar kan variere fra en enhed til en anden« (punkt 6). Det styrende spørgsmål i enhver vurdering er »for hvem skal data være anonyme?« (punkt 12). Flere punkter indsnævrer derefter det råderum, som denne relative tilgang efterlader.
Databehandlere arver den dataansvarliges perspektiv. Hvis en enhed behandler data på vegne af en dataansvarlig, for hvem de er personoplysninger, er de personoplysninger også for enheden, som er databehandler efter GDPR (punkt 15). EDPB illustrerer det med en forhandler, der sender udtræk til et analysebureau, som handler på dens vegne: personoplysninger for begge (eksempel 3). Kun en modtager, der selv bestemmer formål og midler, for eksempel et uafhængigt forskningsinstitut, vurderes ud fra sit eget perspektiv (eksempel 4).
En ubetydelig sandsynlighed er nok. Identifikation behøver ikke være umulig, men sandsynligheden »bør i virkeligheden være ubetydelig« (punkt 22), og midler tæller kun ikke med, når de er umulige, uforholdsmæssige i tid, omkostninger og arbejde eller forbudt ved lov (punkt 26).
Kontrakter er ikke lov. Et kontraktligt forbud mod genidentifikation er ikke et lovbestemt forbud og kan kun supplere tekniske foranstaltninger (punkt 34). Manglende motivation til at genidentificere er heller ikke et pålideligt argument (punkt 31).
Genidentifikation bliver billigere. De fleste dokumenterede teknikker kører på almindeligt udstyr, og EDPB forventer, at agentisk AI »yderligere vil nedbringe tid og omkostninger« ved genidentifikation (punkt 92). AI-modeller kan også få til at afsløre oplysninger om enkeltpersoner (punkt 82).
Tre kriterier. Data består testen, hvis ingen post kan udpeges, ingen kobling til andre data er mulig, og ingen slutning kan drages; hvis alle tre er opfyldt, »kan data sikkert anses for anonyme« (punkt 52). Testen kan gennemføres kontekstuelt, enhed for enhed, eller i en forenklet og mere forsigtig form, der ser bort fra forskelle mellem enheder (punkt 45-47).
Ord og optegnelser. Dataansvarlige bør ikke kalde data »anonyme«, »afidentificerede« eller »afpersonaliserede«, når personer stadig kan identificeres (punkt 40), og de bør dokumentere anonymiseringsprocessen og testen af den og opbevare dokumentationen (punkt 41). Vurderinger efter udtalelsen fra 2014 behøver ikke gentages (fodnote 3).
Hvordan udkastene fra 2025 og 2026 hænger sammen
De to EDPB-udkast blev skrevet før og efter dommen, og det kan ses. Retningslinjerne 01/2025 fastslår, at pseudonymiserede data forbliver personoplysninger, selv når data og supplerende oplysninger »ikke er hos den samme person« (punkt 22). Domstolen fastslog derefter, at pseudonymiserede data ikke er personoplysninger »i alle tilfælde og for enhver person«. Udkastet fra 2026 følger Domstolen og citerer SRB-dommen i ti fodnoter, men nævner ikke teksten fra 2025, som heller ikke er færdig. Indtil retningslinjerne om pseudonymisering er opdateret, vil organisationer læse 01/2025 for mekanikken i pseudonymisering (pseudonymiseringsdomæner, hemmeligheder, oversættelsestabeller) og 02/2026 sammen med SRB for spørgsmålet om, hvem data er personoplysninger for.
Det fælles grundlag er bredere, end spændingen antyder. Begge tekster er enige om, at den dataansvarlige, der har nøglen, altid behandler personoplysninger (resuméet af 01/2025; 02/2026, punkt 37), at en oversættelsestabel i sig selv er en personoplysning, der skal beskyttes (01/2025, punkt 93), og at pseudonymisering er en god sikkerhedsforanstaltning efter artikel 25 og 32 i GDPR, også når den ikke fører data uden for anvendelsesområdet.
Digital Omnibus: lovgiver tager spørgsmålet op
Den relative tilgang ligger nu også hos EU's lovgiver. Den 19. november 2025 foreslog Kommissionen Digital Omnibus, COM(2025) 837 (procedure 2025/0360 (COD)), som ville tilføje tre sætninger til definitionen af personoplysninger i artikel 4, nr. 1, i GDPR. Den centrale siger, at oplysninger »ikke er personoplysninger for en given enhed, hvis enheden ikke kan identificere den fysiske person«, når der tages hensyn til de midler, som enheden med rimelighed kan tænkes at bruge. Den sidste tilføjer, at oplysningerne ikke bliver personoplysninger for enheden alene fordi en mulig senere modtager kunne identificere personen (forslagets artikel 3, nr. 1). Kommissionen præsenterer ændringen som en kodificering af retspraksis om pseudonymisering (begrundelsen, s. 10 og 11), og en ny artikel 41a ville give den mulighed for ved gennemførelsesretsakt at afgøre, hvornår pseudonymiserede data ikke længere er personoplysninger for bestemte enheder.
EDPB og EDPS afviste begge ideer i fælles udtalelse 2/2026 af 10. februar 2026. Efter deres opfattelse udvælger teksten »ét enkelt element fra én enkelt sag« (punkt 15), og dens sidste sætning går videre end SRB, hvor Domstolen bekræftede, at data stillet til rådighed for en modtager, der kan identificere, bliver personoplysninger for den modtager og indirekte for den, der stillede dem til rådighed (punkt 16, med henvisning til dommens præmis 84 og 85). De opfordrede medlovgiverne til ikke at vedtage ændringen (punkt 21), bad om, at artikel 41a blev slettet (punkt 25), og sagde, at de åbne spørgsmål hører hjemme i EDPB's vejledning (punkt 19). Et af de spørgsmål, de nævnte, om en modtager, der ikke kan identificere nogen, men arbejder på en dataansvarligs vegne, er databehandler (fodnote 29), er det, som retningslinjerne 02/2026 senere besvarede i punkt 15.
Rådet vælger en anden vej end Kommissionen. Dets forhandlingsmandat, som Coreper blev enigt om den 21. oktober 2026 (Rådets dokument 14756/26), stryger de nye sætninger i artikel 4, nr. 1, og erstatter artikel 41a med en ny artikel 25a om pseudonymisering. Pseudonymiserede data er ikke personoplysninger for en tredjepart, der ikke kan identificere personen (artikel 25a, stk. 2); hvis tredjeparten videregiver dem til en, der kan, vedrører både videregivelsen og den senere behandling personoplysninger (25a, stk. 3); og for en databehandler, der handler for den dataansvarlige, er det altid personoplysninger (25a, stk. 4). I stedet for gennemførelsesretsakter ville EDPB afgive en udtalelse om pseudonymisering og anonymisering (25a, stk. 6). I Europa-Parlamentet har de fælles udvalg ITRE og LIBE et udkast til betænkning, men de havde den 27. oktober 2026 ikke stemt: trilogforhandlingerne er ikke begyndt, og intet af dette er endnu lov.
| Tekst | Dato og status | Hvad den siger om pseudonymiserede data |
|---|---|---|
| EU-Domstolen, EDPS mod SRB, C-413/23 P | Dom, 4. september 2025 | Ikke personoplysninger »i alle tilfælde og for enhver person« (præmis 86) |
| EDPB, retningslinjer 01/2025 | Udkast af 16. januar 2025, ikke endelige | Personoplysninger, selv når data og nøgle er hos forskellige parter (punkt 22) |
| EDPB, retningslinjer 02/2026 | Udkast af 7. juli 2026, bemærkninger til 30. oktober 2026 | Relativ test, men altid personoplysninger for en databehandler (punkt 15) |
| Kommissionen, Digital Omnibus, COM(2025) 837 | Forslag, 19. november 2025 | Relativ ordlyd i art. 4, nr. 1; gennemførelsesretsakter efter art. 41a |
| EDPB-EDPS, fælles udtalelse 2/2026 | 10. februar 2026 | Vedtag ikke den nye definition; slet art. 41a (punkt 21, 25) |
| Rådets mandat, dok. 14756/26 | Coreper, 21. oktober 2026 | Art. 4, nr. 1 uændret; ny art. 25a, personoplysninger for databehandlere (25a, stk. 4) |
| Europa-Parlamentet, ITRE og LIBE | Udkast til betænkning, ingen udvalgsafstemning pr. 27. oktober 2026 | Ingen holdning vedtaget |
Sat side om side nærmer tekstene sig hinanden mere, end debatten giver indtryk af. Domstolen accepterede, at identificerbarhed afhænger af, hvem der har data (SRB, præmis 86). EDPB gjorde det til en test, der holder tjenesteudbydere inden for GDPR (02/2026, punkt 15). Rådets tekst ville skrive de samme grænser ind i selve forordningen. Den eneste formulering, der ville have behandlet videregivelse mere lempeligt, Kommissionens tredje sætning, har hverken tilsynsmyndighedernes eller Rådets støtte. For den, der i dag skal beslutte, hvordan et dokument forberedes til et AI-værktøj eller en tredjepart, er SRB-dommen og de to EDPB-udkast stadig pejlemærket.
Reversibel pseudonymisering eller permanent anonymisering
Det meste dokumentarbejde falder i ét af to mønstre, og SRB ændrer ikke på, hvilket der passer til en given opgave.
Reversibel pseudonymisering erstatter navne, identifikatorer og andre detaljer med ensartede pladsholdere, mens den dataansvarlige beholder en oversættelsestabel. Det er det rigtige valg, når du har brug for at få de rigtige værdier tilbage: at skrive et svar, analysere en kontrakt, få en AI-assistent til at resumere en sag eller give et arbejdsdokument videre til en kollega, der senere skal vide, hvem der er hvem. For dig er dokumentet stadig personoplysninger. Det er det også for en udbyder, der behandler det på dine vegne (punkt 15), så en databehandleraftale er stadig nødvendig. Pseudonymisering giver dataminimering og sikkerhed: udbyderen ser langt mindre, og et læk eller misbrug hos udbyderen blotlægger pladsholdere i stedet for identiteter.
Permanent anonymisering eller maskering fjerner oplysningerne uden at efterlade nogen nøgle noget sted, dokumentets metadata inklusive. Det er det rigtige valg, når dokumentet forlader din kontrol og går til en uafhængig modtager: offentliggørelse, udlevering til modparten eller en domstol, svar på en anmodning om indsigt, der skal beskytte tredjeparter, et forsknings- eller træningsdatasæt. Her vejer SRB og 02/2026 tungest, fordi modtagerens perspektiv gælder, og de tre kriterier peger på, hvad der skal tjekkes: om en enkelt post stadig skiller sig ud, om den kan kobles til andre kilder, og om noget specifikt kan udledes.
| Situation | Hvem modtager | Typisk valg | Personoplysninger for modtageren? |
|---|---|---|---|
| Udkast eller analyse med en AI-tjeneste, der arbejder for dig | Databehandler | Reversibel pseudonymisering | Ja (punkt 15); databehandleraftale nødvendig |
| Arbejdsdokument delt internt i firmaet | Dine egne medarbejdere | Reversibel pseudonymisering | Ja, men eksponeringen er mindre |
| Retsskrift, offentliggørelse, udlevering til modpart | Uafhængig tredjepart | Permanent maskering | Kun hvis genidentifikation med rimelighed er sandsynlig (punkt 21, 22) |
| Datasæt til en uafhængig forsker | Uafhængig tredjepart | Anonymisering testet mod de tre kriterier | Vurderes ud fra modtagerens perspektiv (eksempel 4) |
Hvad det betyder i praksis
Advokatfirmaer. Processkrifter og bilag, der går til en domstol eller en modpart, kræver permanent maskering, og testen er, om modparten, en journalist eller andre, der læser sagen, stadig kan identificere personen (punkt 30 nævner undersøgende journalister, kolleger og naboer blandt dem, der skal tages i betragtning). Detaljer i fritekst er det sædvanlige svage punkt: en titel, en dato og en by kan udpege en person uden navn, og det er netop problemet med at udpege en post. Ved internt udkastarbejde med AI-værktøjer holder reversibel pseudonymisering klienternes navne uden for udbyderens systemer, uden at du mister muligheden for at gendanne dem.
Revisorer og skatterådgivere. Hovedbøger og lønudtræk er strukturerede data, så de tre kriterier gælder næsten ordret: en kolonne med et skattenummer eller en IBAN er en identifikator, og kombinationen af løn, ansættelsesdato og afdeling kan udpege en post. Pseudonymisering på kolonneniveau bevarer regnestykkerne og fjerner identifikatorerne. Når filer går til en ekstern gennemgang, der handler for dig, skal du huske, at den eksterne er databehandler, og at data forbliver personoplysninger.
HR. Medarbejderundersøgelser og interne undersøgelser er en tilbagevendende kilde til falsk anonymitet. EDPB giver eksemplet med en teamundersøgelse, hvor de samlede resultater alligevel afslører, hvad hvert medlem mente (eksempel 17), og SRB bekræfter, at holdninger er personoplysninger om deres ophavsperson. Hvis resultater deles med ledere, betyder tærskelværdier for aggregering og undertrykkelse af små grupper mere end at fjerne navne.
Alle, der sender dokumenter til AI-værktøjer. En AI-udbyder, der behandler dine prompts efter dine instrukser, er ifølge EDPB's læsning en databehandler, for hvem data forbliver personoplysninger. Pseudonymisering fjerner ikke det forhold, men ændrer, hvad der er eksponeret. To detaljer fortjener opmærksomhed: om oversættelsestabellen nogensinde forlader din kontrol, og om udbyderen gemmer inddata eller træner på dem. EDPB's advarsel om prompts, der får AI-modeller til at udtrække oplysninger om enkeltpersoner (punkt 82), minder om, at det, der går ind, kan komme ud.
Værktøjer som Redactic anvender begge mønstre på den samme fil: reversible pladsholdere til arbejde med AI, hvor de rigtige værdier kun gendannes i brugerens browser, og permanent maskering med fjernelse af metadata til dokumenter, der forlader organisationen, samt et maskeringscertifikat med dokumenternes hashværdier for hver handling, hvilket hjælper med den dokumentation, punkt 41 beskriver.
For at bruge AI uden at udlevere navne og identifikatorer kan Redactic forberede dine dokumenter til AI: de fundne værdier bliver til pladsholdere, og de rigtige navne vender tilbage i din browser, når svaret kommer.
Ofte stillede spørgsmål
Er pseudonymiserede data stadig personoplysninger efter SRB-dommen?
For den dataansvarlige, der har nøglen, altid. For en modtager afhænger det af omstændighederne: data kan være ikke-personoplysninger for en uafhængig modtager, der hverken kan ophæve pseudonymiseringen eller genidentificere ved at krydstjekke med andre oplysninger (SRB, præmis 77 og 86), men de er personoplysninger for enhver databehandler, der arbejder på den dataansvarliges vegne (02/2026, punkt 15).
Handler retningslinjerne 02/2026 om pseudonymisering?
Nej, de handler om anonymisering. Pseudonymisering behandles i retningslinjerne 01/2025, som blev vedtaget til høring den 16. januar 2025 og endnu ikke er endelige.
Hvornår lukker EDPB's høring, og hvordan svarer jeg?
Den 30. oktober 2026 kl. 23.59 CET via formularen på EDPB's høringsside. Svarene offentliggøres på EDPB's websted.
Gør en kontrakt, der forbyder genidentifikation, data anonyme for modtageren?
Ikke i sig selv. Ifølge EDPB er et kontraktligt forbud ikke et lovbestemt forbud og kan kun supplere tekniske foranstaltninger (punkt 34).
Vil Digital Omnibus ændre GDPR's definition af personoplysninger?
Ikke endnu, og sandsynligvis ikke i den form, der oprindeligt blev foreslået. Kommissionens forslag COM(2025) 837 ville tilføje en relativ test til artikel 4, nr. 1, i GDPR. EDPB og EDPS bad medlovgiverne om ikke at vedtage den (fælles udtalelse 2/2026, punkt 21), og Rådets forhandlingsmandat af 21. oktober 2026 fjerner den til fordel for en ny artikel 25a, hvorefter pseudonymiserede data forbliver personoplysninger for databehandlere og ved videregivelse til enhver, der kan identificere personen. Europa-Parlamentet har endnu ikke vedtaget sin holdning, så trilogforhandlingerne er ikke begyndt. Indtil en tekst er vedtaget, er SRB-dommen og EDPB's retningslinjer pejlemærket.
Skal jeg gentage anonymiseringsvurderinger, der blev foretaget efter udtalelsen fra 2014?
Nej, ifølge fodnote 3, selvom det anbefales at vurdere igen med jævne mellemrum, fordi genidentifikation bliver lettere med tiden (punkt 35).
Hvis du arbejder med dokumenter fra klienter, medarbejdere eller patienter og vil prøve begge tilgange på dine egne filer, kan du starte på redactic.eu. Registrering og maskering kører på infrastruktur i Europa, som Redactic kontrollerer, og valgfrie AI-opgaver er et separat trin, der arbejder på den forberedte tekst.
Sådan citerer du denne artikel
Redactic. »Pseudonymiserede eller anonyme? EDPB 02/2026 og SRB-dommen«. redactic.eu, oktober 2026. https://redactic.eu/da/blog/pseudonymisering-anonymisering-edpb-retningslinjer-02-2026-srb/
Primære kilder: EDPB, retningslinjer 02/2026 om anonymisering (v1.0, 7. juli 2026); EDPB, retningslinjer 01/2025 om pseudonymisering (16. januar 2025); EU-Domstolen, C-413/23 P, EDPS mod SRB, 4. september 2025; Europa-Kommissionen, Digital Omnibus, COM(2025) 837 endelig, 19. november 2025; EDPB-EDPS, fælles udtalelse 2/2026, 10. februar 2026; Rådet for Den Europæiske Union, dok. 14756/26 (forhandlingsmandat), 22. oktober 2026.
Relaterede guider
- Anonymisering af persondata: guide til GDPR og AI 2026
- Shadow AI i HR: brug AI uden at overtræde GDPR (2026)
- Advokater: anonymisering af kontrakter og sagsakter (2026)
- Revisorer og GDPR: anonymisering af løn og CPR (2026)
Se, hvordan Redactic omsætter dette til praksis: Redactic-dokumentmaskering · Tillidssider og databehandleraftale (DPA).