Det forsiktige svaret i europeisk personvern har lenge vært at pseudonymiserte opplysninger forblir personopplysninger så lenge noen, hvor som helst, har nøkkelen. EDPBs utkast til retningslinjer om pseudonymisering fra januar 2025 sier fortsatt det samme, selv når opplysningene og nøkkelen er hos ulike parter. To nyere tekster har gjort svaret mer presist. 4. september 2025 avgjorde EU-domstolen saken EDPS mot SRB (C-413/23 P), og 7. juli 2026 vedtok Det europeiske personvernrådet (EDPB) utkastet til retningslinjer 02/2026 om anonymisering, som er åpent for kommentarer til 30. oktober 2026 klokken 23.59 CET. Leste sammen forklarer de når den samme filen kan være en personopplysning for deg og anonym for en annen, og hvorfor det sjelden hjelper når den andre er en tjenesteleverandør som arbeider for deg.
Nedenfor står det hva de to tekstene sier, med henvisninger til avsnittene, og deretter det praktiske spørsmålet for advokatfirmaer, regnskapsførere, HR-team og alle som limer dokumenter inn i et KI-verktøy: skal man pseudonymisere reversibelt eller sladde for godt?
De viktigste faktaene på et blikk
| Punkt | Verifisert faktum | Kilde |
|---|---|---|
| EDPB-dokument | Retningslinjer 02/2026 om anonymisering, versjon 1.0 | EDPBs pdf, forside |
| Vedtatt | 7. juli 2026, «for offentlig høring» | versjonshistorikk, s. 1 |
| Høring | 8. juli til 30. oktober 2026, 23.59 CET (115 dager) | EDPBs høringsside |
| Omfang | 103 avsnitt, 25 gjennomgåtte eksempler, ett vedlegg med flytdiagram | EDPBs pdf |
| Erstatter | Uttalelse 05/2014 fra Artikkel 29-gruppen | avsnitt 2 |
| Tilhørende tekst | Retningslinjer 01/2025 om pseudonymisering, vedtatt 16. januar 2025, høringen stengt 14. mars 2025, endelig versjon ikke publisert ennå | EDPBs høringsside |
| Dom | EU-domstolen, første avdeling, C-413/23 P, EDPS mot SRB, 4. september 2025 | dommens innledning |
| Opplysninger i saken | 23 822 kommentarer fra 2 855 personer; 1 104 kommentarer sendt til Deloitte med en tilfeldig kode på 33 sifre | avsnitt 23-26 |
| Regelverk | Digital Omnibus, COM(2025) 837: Rådets mandat av 21. oktober 2026 stryker den nye ordlyden i art. 4 nr. 1; Parlamentet har ikke stemt ennå | Rådets dok. 14756/26; Europaparlamentets lovgivningsobservatorium |
Én presisering er nødvendig, fordi flere kommentarer beskriver teksten fra 2026 som veiledning om «pseudonymisering og anonymisering». Tittelen og innholdet gjelder bare anonymisering. Ordet «pseudonymisering» forekommer ikke i dokumentet; pseudonymer omtales i ett eksempel og i ett avsnitt om opplysninger som åpenbart ikke er anonyme. Pseudonymisering har sitt eget utkast, retningslinjene 01/2025, som teksten fra 2026 ikke viser til.
Hva domstolen avgjorde i SRB
Etter at Banco Popular ble avviklet i 2017, ba Single Resolution Board (SRB) berørte aksjonærer og kreditorer om kommentarer til sitt foreløpige vedtak. Styret mottok 23 822 kommentarer fra 2 855 deltakere, sorterte bort 20 101 identiske og beholdt 3 730 individuelle kommentarer. Av disse gjaldt 1 104 verdsettelsen, og de ble sendt til Deloitte 17. juni 2019 (avsnitt 24-26). Hver kommentar hadde en tilfeldig generert identifikator på 33 sifre, og bare SRB kunne koble koden til legitimasjonsdokumentene som ble samlet inn ved registreringen (avsnitt 23 og 28). Noen deltakere klaget over at personvernerklæringen ikke nevnte Deloitte som mottaker.
Domstolen slo fast fire prinsipper som gjelder utover selve saken.
Meninger er personopplysninger om den som uttrykker dem. Et personlig standpunkt er «nødvendigvis nært knyttet til personen» (avsnitt 58), så formålet eller virkningen trenger ikke analyseres separat.
Pseudonymiserte opplysninger er ikke automatisk personopplysninger for alle. Pseudonymisering er et risikoreduserende tiltak og inngår ikke i definisjonen av personopplysninger (avsnitt 72). Fordi nøkkelen finnes, kan pseudonymiserte opplysninger ikke behandles som anonyme «i alle tilfeller» (avsnitt 73). Det er like feil å behandle dem som personopplysninger «i alle tilfeller og for enhver person» (avsnitt 86). For en mottaker kan opplysningene være ikke-personopplysninger hvis to vilkår er oppfylt: mottakeren kan ikke oppheve de tekniske og organisatoriske tiltakene, og tiltakene hindrer faktisk at opplysningene kan knyttes til en person, også ved krysskontroll mot annen informasjon mottakeren har (avsnitt 77).
Videre overføringer trekker opplysningene tilbake under GDPR. Hvis det ikke kan utelukkes at en senere mottaker har midler til å gjenidentifisere, er opplysningene personopplysninger for den overføringen og for den mottakerens behandling (avsnitt 85).
Åpenhet vurderes fra den behandlingsansvarliges side, ved innsamlingen. SRB måtte nevne Deloitte i personvernerklæringen da kommentarene ble samlet inn, «uavhengig av om disse opplysningene var personopplysninger» sett fra Deloittes ståsted (avsnitt 111 og 112). På det grunnlaget avviste domstolen SRBs hovedanførsel, opphevet rettens dom fra 2023 og sendte saken tilbake bare for en separat anførsel om god forvaltning (avsnitt 118-122).
Dommen tolker forordning 2018/1725 om EU-institusjonene, og domstolen leser definisjonen av personopplysninger der på samme måte som artikkel 4 nr. 1 i GDPR (avsnitt 52).
Hva EDPBs utkast tilfører
EDPB gjør SRB-resonnementet til en generell test. Informasjon er anonym hvis den ikke gjelder en person eller personen ikke kan identifiseres, og «disse svarene kan variere fra en enhet til en annen» (avsnitt 6). Det veiledende spørsmålet i enhver vurdering er «for hvem skal opplysningene være anonyme?» (avsnitt 12). Flere avsnitt innsnevrer deretter det rommet denne relative tilnærmingen lar stå åpent.
Databehandlere arver den behandlingsansvarliges perspektiv. Hvis en enhet behandler opplysninger på vegne av en behandlingsansvarlig som opplysningene er personopplysninger for, er de personopplysninger også for enheten, som er databehandler etter GDPR (avsnitt 15). EDPB illustrerer det med en forhandler som sender utdrag til et analysebyrå som handler på dens vegne: personopplysninger for begge (eksempel 3). Bare en mottaker som selv bestemmer formål og midler, for eksempel et uavhengig forskningsinstitutt, vurderes ut fra sitt eget perspektiv (eksempel 4).
Ubetydelig sannsynlighet er nok. Identifisering trenger ikke være umulig, men sannsynligheten «bør i virkeligheten være ubetydelig» (avsnitt 22), og midler regnes bare bort når de er umulige, uforholdsmessige i tid, kostnad og arbeid eller forbudt ved lov (avsnitt 26).
Avtaler er ikke lov. Et avtalefestet forbud mot gjenidentifisering er ikke et lovfestet forbud og kan bare supplere tekniske tiltak (avsnitt 34). Manglende motivasjon til å gjenidentifisere er heller ikke et pålitelig argument (avsnitt 31).
Gjenidentifisering blir billigere. De fleste dokumenterte teknikkene kjører på vanlig maskinvare, og EDPB venter at agentisk KI «ytterligere vil redusere tid og kostnader» ved gjenidentifisering (avsnitt 92). KI-modeller kan også få til å avsløre opplysninger om enkeltpersoner (avsnitt 82).
Tre kriterier. Opplysningene består testen hvis ingen post kan skilles ut, ingen kobling til andre data er mulig og ingen slutning kan trekkes; er alle tre oppfylt, «kan opplysningene trygt anses som anonyme» (avsnitt 52). Testen kan gjøres kontekstuelt, enhet for enhet, eller i en forenklet og mer forsiktig form som ser bort fra forskjeller mellom enheter (avsnitt 45-47).
Ord og dokumentasjon. Behandlingsansvarlige bør ikke kalle opplysninger «anonyme», «avidentifiserte» eller «avpersonaliserte» når personer fortsatt kan identifiseres (avsnitt 40), og de bør dokumentere anonymiseringsprosessen og testingen og oppbevare dokumentasjonen (avsnitt 41). Vurderinger gjort etter uttalelsen fra 2014 trenger ikke gjøres om (fotnote 3).
Hvordan utkastene fra 2025 og 2026 henger sammen
De to EDPB-utkastene ble skrevet før og etter dommen, og det merkes. Retningslinjene 01/2025 sier at pseudonymiserte opplysninger forblir personopplysninger selv når opplysningene og tilleggsinformasjonen «ikke er hos den samme personen» (avsnitt 22). Domstolen slo deretter fast at pseudonymiserte opplysninger ikke er personopplysninger «i alle tilfeller og for enhver person». Utkastet fra 2026 følger domstolen og viser til SRB-dommen i ti fotnoter, men nevner ikke teksten fra 2025, som heller ikke er ferdigstilt. Inntil retningslinjene om pseudonymisering er oppdatert, vil organisasjoner lese 01/2025 for hvordan pseudonymisering gjøres i praksis (pseudonymiseringsdomener, hemmeligheter, oversettelsestabeller) og 02/2026 sammen med SRB for spørsmålet om hvem opplysningene er personopplysninger for.
Det felles grunnlaget er bredere enn spenningen tilsier. Begge tekstene er enige om at den behandlingsansvarlige som har nøkkelen alltid behandler personopplysninger (sammendraget av 01/2025; 02/2026, avsnitt 37), at en oversettelsestabell i seg selv er en personopplysning som må beskyttes (01/2025, avsnitt 93), og at pseudonymisering er et godt sikkerhetstiltak etter artikkel 25 og 32 i GDPR også når det ikke tar opplysningene utenfor virkeområdet.
Digital Omnibus: lovgiveren tar opp spørsmålet
Den relative tilnærmingen ligger nå også hos EUs lovgiver. 19. november 2025 foreslo Kommisjonen Digital Omnibus, COM(2025) 837 (prosedyre 2025/0360 (COD)), som ville legge til tre setninger i definisjonen av personopplysninger i artikkel 4 nr. 1 i GDPR. Den sentrale sier at informasjon «ikke er personopplysninger for en gitt enhet dersom enheten ikke kan identifisere den fysiske personen», når det tas hensyn til midlene enheten med rimelighet kan tenkes å bruke. Den siste legger til at informasjonen ikke blir personopplysninger for enheten bare fordi en mulig senere mottaker kunne identifisere personen (forslagets artikkel 3 nr. 1). Kommisjonen presenterer endringen som en kodifisering av rettspraksis om pseudonymisering (begrunnelsen, s. 10 og 11), og en ny artikkel 41a ville la den bestemme ved gjennomføringsrettsakt når pseudonymiserte opplysninger ikke lenger er personopplysninger for bestemte enheter.
EDPB og EDPS avviste begge ideene i felles uttalelse 2/2026 av 10. februar 2026. Etter deres syn velger teksten «ett enkelt element fra én enkelt sak» (avsnitt 15), og dens siste setning går lenger enn SRB, der domstolen bekreftet at opplysninger som gjøres tilgjengelige for en mottaker som kan identifisere, blir personopplysninger for den mottakeren og indirekte for den som gjorde dem tilgjengelige (avsnitt 16, med henvisning til dommens avsnitt 84 og 85). De oppfordret medlovgiverne til ikke å vedta endringen (avsnitt 21), ba om at artikkel 41a ble strøket (avsnitt 25) og sa at de åpne spørsmålene hører hjemme i EDPBs veiledning (avsnitt 19). Et av spørsmålene de listet opp, om en mottaker som ikke kan identifisere noen, men arbeider på vegne av en behandlingsansvarlig, er databehandler (fotnote 29), er det retningslinjene 02/2026 senere besvarte i avsnitt 15.
Rådet velger en annen vei enn Kommisjonen. Forhandlingsmandatet, som Coreper ble enig om 21. oktober 2026 (Rådets dokument 14756/26), stryker de nye setningene i artikkel 4 nr. 1 og erstatter artikkel 41a med en ny artikkel 25a om pseudonymisering. Pseudonymiserte opplysninger er ikke personopplysninger for en tredjepart som ikke kan identifisere personen (artikkel 25a nr. 2); hvis tredjeparten sender dem videre til noen som kan, gjelder både overføringen og den senere behandlingen personopplysninger (25a nr. 3); og for en databehandler som handler for den behandlingsansvarlige er det alltid personopplysninger (25a nr. 4). I stedet for gjennomføringsrettsakter ville EDPB avgi en uttalelse om pseudonymisering og anonymisering (25a nr. 6). I Europaparlamentet har de felles komiteene ITRE og LIBE et utkast til rapport, men hadde 27. oktober 2026 ikke stemt: trilogforhandlingene har ikke startet, og ingenting av dette er ennå lov.
| Tekst | Dato og status | Hva den sier om pseudonymiserte opplysninger |
|---|---|---|
| EU-domstolen, EDPS mot SRB, C-413/23 P | Dom, 4. september 2025 | Ikke personopplysninger «i alle tilfeller og for enhver person» (avsnitt 86) |
| EDPB, retningslinjer 01/2025 | Utkast av 16. januar 2025, ikke ferdigstilt | Personopplysninger selv når opplysninger og nøkkel er hos ulike parter (avsnitt 22) |
| EDPB, retningslinjer 02/2026 | Utkast av 7. juli 2026, kommentarer til 30. oktober 2026 | Relativ test, men alltid personopplysninger for en databehandler (avsnitt 15) |
| Kommisjonen, Digital Omnibus, COM(2025) 837 | Forslag, 19. november 2025 | Relativ ordlyd i art. 4 nr. 1; gjennomføringsrettsakter etter art. 41a |
| EDPB-EDPS, felles uttalelse 2/2026 | 10. februar 2026 | Ikke vedta den nye definisjonen; stryk art. 41a (avsnitt 21, 25) |
| Rådets mandat, dok. 14756/26 | Coreper, 21. oktober 2026 | Art. 4 nr. 1 uendret; ny art. 25a, personopplysninger for databehandlere (25a nr. 4) |
| Europaparlamentet, ITRE og LIBE | Utkast til rapport, ingen komitéavstemning per 27. oktober 2026 | Ingen posisjon vedtatt |
Satt side om side nærmer tekstene seg hverandre mer enn debatten gir inntrykk av. Domstolen godtok at identifiserbarhet avhenger av hvem som har opplysningene (SRB, avsnitt 86). EDPB gjorde det til en test som holder tjenesteleverandører innenfor GDPR (02/2026, avsnitt 15). Rådets tekst ville skrive de samme grensene inn i selve forordningen. Den eneste ordlyden som ville ha behandlet videre overføringer mer lempelig, Kommisjonens tredje setning, har verken tilsynsmyndighetenes eller Rådets støtte. For den som i dag skal avgjøre hvordan et dokument forberedes for et KI-verktøy eller en tredjepart, er SRB-dommen og de to EDPB-utkastene fortsatt rettesnoren.
Reversibel pseudonymisering eller permanent anonymisering
Det meste dokumentarbeid faller i ett av to mønstre, og SRB endrer ikke hvilket som passer til en gitt oppgave.
Reversibel pseudonymisering erstatter navn, identifikatorer og andre detaljer med konsekvente plassholdere, mens den behandlingsansvarlige beholder en oversettelsestabell. Det er riktig valg når du trenger de ekte verdiene tilbake: å skrive et svar, analysere en kontrakt, få en KI-assistent til å oppsummere en sak eller gi et arbeidsdokument til en kollega som senere må vite hvem som er hvem. For deg er dokumentet fortsatt personopplysninger. Det er det også for en leverandør som behandler det på dine vegne (avsnitt 15), så en databehandleravtale er fortsatt nødvendig. Pseudonymisering gir dataminimering og sikkerhet: leverandøren ser langt mindre, og en lekkasje eller misbruk hos leverandøren avslører plassholdere i stedet for identiteter.
Permanent anonymisering eller sladding fjerner opplysningene uten at noen nøkkel blir igjen noe sted, dokumentets metadata medregnet. Det er riktig valg når dokumentet forlater din kontroll og går til en uavhengig mottaker: publisering, utlevering til motparten eller en domstol, svar på en innsynsforespørsel som må beskytte tredjepersoner, et forsknings- eller treningsdatasett. Her veier SRB og 02/2026 tyngst, fordi mottakerens perspektiv gjelder, og de tre kriteriene viser hva som må kontrolleres: om en enkelt post fortsatt skiller seg ut, om den kan kobles til andre kilder og om noe spesifikt kan utledes.
| Situasjon | Hvem mottar | Typisk valg | Personopplysninger for mottakeren? |
|---|---|---|---|
| Utkast eller analyse med en KI-tjeneste som arbeider for deg | Databehandler | Reversibel pseudonymisering | Ja (avsnitt 15); databehandleravtale nødvendig |
| Arbeidsdokument delt internt i firmaet | Dine egne ansatte | Reversibel pseudonymisering | Ja, men eksponeringen er mindre |
| Rettsskriv, publisering, utlevering til motpart | Uavhengig tredjepart | Permanent sladding | Bare hvis gjenidentifisering med rimelighet er sannsynlig (avsnitt 21, 22) |
| Datasett til en uavhengig forsker | Uavhengig tredjepart | Anonymisering testet mot de tre kriteriene | Vurderes ut fra mottakerens perspektiv (eksempel 4) |
Hva dette betyr i praksis
Advokatfirmaer. Prosesskriv og vedlegg som går til en domstol eller en motpart krever permanent sladding, og testen er om motparten, en journalist eller andre som leser saken fortsatt kan identifisere personen (avsnitt 30 nevner undersøkende journalister, kolleger og naboer blant dem som skal vurderes). Detaljer i fritekst er det vanlige svake punktet: en tittel, en dato og et sted kan peke ut noen uten navn, og det er nettopp problemet med å skille ut en post. Ved internt utkastarbeid med KI-verktøy holder reversibel pseudonymisering klientenes navn utenfor leverandørens systemer uten at du mister muligheten til å gjenopprette dem.
Regnskapsførere og skatterådgivere. Hovedbøker og lønnseksporter er strukturerte data, så de tre kriteriene gjelder nesten ordrett: en kolonne med skattenummer eller IBAN er en identifikator, og kombinasjonen av lønn, ansettelsesdato og avdeling kan skille ut en post. Pseudonymisering på kolonnenivå bevarer regnestykkene og fjerner identifikatorene. Når filer går til en ekstern kontrollør som handler for deg, husk at kontrolløren er databehandler og at opplysningene forblir personopplysninger.
HR. Medarbeiderundersøkelser og granskinger er en tilbakevendende kilde til falsk anonymitet. EDPB gir eksempelet med en teamundersøkelse der de samlede resultatene likevel avslører hva hvert medlem mente (eksempel 17), og SRB bekrefter at meninger er personopplysninger om den som har dem. Hvis resultater deles med ledere, betyr terskelverdier for aggregering og skjuling av små grupper mer enn å fjerne navn.
Alle som sender dokumenter til KI-verktøy. En KI-leverandør som behandler promptene dine etter dine instrukser, er etter EDPBs tolkning en databehandler som opplysningene forblir personopplysninger for. Pseudonymisering fjerner ikke det forholdet, men endrer hva som eksponeres. To detaljer fortjener oppmerksomhet: om oversettelsestabellen noen gang forlater din kontroll, og om leverandøren lagrer inndata eller trener på dem. EDPBs advarsel om prompter som får KI-modeller til å hente ut opplysninger om enkeltpersoner (avsnitt 82) minner om at det som går inn, kan komme ut.
Verktøy som Redactic bruker begge mønstrene på samme fil: reversible plassholdere for arbeid med KI, der de ekte verdiene gjenopprettes bare i brukerens nettleser, og permanent sladding med fjerning av metadata for dokumenter som forlater organisasjonen, samt et sladdesertifikat med dokumentenes hash-verdier for hver operasjon, som hjelper med dokumentasjonen avsnitt 41 beskriver.
For å bruke KI uten å utlevere navn og identifikatorer kan Redactic forberede dokumentene dine for KI: de oppdagede verdiene blir plassholdere, og de ekte navnene kommer tilbake i nettleseren din når svaret kommer.
Vanlige spørsmål
Er pseudonymiserte opplysninger fortsatt personopplysninger etter SRB-dommen?
For den behandlingsansvarlige som har nøkkelen, alltid. For en mottaker avhenger det av omstendighetene: opplysningene kan være ikke-personopplysninger for en uavhengig mottaker som verken kan oppheve pseudonymiseringen eller gjenidentifisere ved å krysskontrollere med annen informasjon (SRB, avsnitt 77 og 86), men de er personopplysninger for enhver databehandler som arbeider på den behandlingsansvarliges vegne (02/2026, avsnitt 15).
Handler retningslinjene 02/2026 om pseudonymisering?
Nei, de handler om anonymisering. Pseudonymisering behandles i retningslinjene 01/2025, som ble vedtatt til høring 16. januar 2025 og ennå ikke er endelige.
Når stenger EDPBs høring, og hvordan svarer jeg?
Høringen stenger 30. oktober 2026 klokken 23.59 CET. Svar via skjemaet på EDPBs høringsside; svarene publiseres på EDPBs nettsted.
Gjør en avtale som forbyr gjenidentifisering opplysningene anonyme for mottakeren?
Ikke i seg selv. Ifølge EDPB er et avtalefestet forbud ikke et lovfestet forbud og kan bare supplere tekniske tiltak (avsnitt 34).
Vil Digital Omnibus endre GDPRs definisjon av personopplysninger?
Ikke ennå, og sannsynligvis ikke i den formen som først ble foreslått. Kommisjonens forslag COM(2025) 837 vil legge til en relativ test i artikkel 4 nr. 1 i GDPR. EDPB og EDPS ba medlovgiverne om ikke å vedta den (felles uttalelse 2/2026, avsnitt 21), og Rådets forhandlingsmandat av 21. oktober 2026 stryker den til fordel for en ny artikkel 25a, der pseudonymiserte opplysninger forblir personopplysninger for databehandlere og ved videre overføring til alle som kan identifisere personen. Europaparlamentet har ennå ikke vedtatt sin posisjon, så trilogforhandlingene har ikke startet. Inntil en tekst er vedtatt, er SRB-dommen og EDPBs retningslinjer rettesnoren.
Må jeg gjøre om anonymiseringsvurderinger som ble gjort etter uttalelsen fra 2014?
Nei, ifølge fotnote 3, selv om det anbefales en periodisk ny vurdering fordi gjenidentifisering blir enklere over tid (avsnitt 35).
Hvis du jobber med dokumenter fra klienter, ansatte eller pasienter og vil prøve begge tilnærmingene på dine egne filer, kan du begynne på redactic.eu. Gjenkjenning og sladding kjører på infrastruktur i Europa som Redactic kontrollerer, og valgfrie KI-oppgaver er et eget trinn som arbeider på den forberedte teksten.
Slik siterer du denne artikkelen
Redactic. «Pseudonymiserte eller anonyme? EDPB 02/2026 og SRB-dommen». redactic.eu, oktober 2026. https://redactic.eu/nb/blog/pseudonymisering-anonymisering-edpb-retningslinjer-02-2026-srb/
Primærkilder: EDPB, retningslinjer 02/2026 om anonymisering (v1.0, 7. juli 2026); EDPB, retningslinjer 01/2025 om pseudonymisering (16. januar 2025); EU-domstolen, C-413/23 P, EDPS mot SRB, 4. september 2025; Europakommisjonen, Digital Omnibus, COM(2025) 837 endelig, 19. november 2025; EDPB-EDPS, felles uttalelse 2/2026, 10. februar 2026; Rådet for Den europeiske union, dok. 14756/26 (forhandlingsmandat), 22. oktober 2026.
Relaterte veiledninger
- Anonymisering av personopplysninger: GDPR- og KI-guide 2026
- Shadow AI i HR: bruk KI uten å bryte GDPR (2026)
- Sladding av kontrakter og rettsdokumenter (2026)
- Regnskapsførere og GDPR: sladding av lønn og skatt (2026)
Se hvordan Redactic gjør dette i praksis: Dokumentmaskering med Redactic · Sider om tillit og databehandleravtale (DPA).