Det försiktiga svaret inom europeiskt dataskydd har länge varit att pseudonymiserade uppgifter förblir personuppgifter så länge någon, var som helst, har nyckeln. EDPB:s utkast till riktlinjer om pseudonymisering från januari 2025 säger fortfarande det, även när uppgifterna och nyckeln finns hos olika parter. Två nyare texter har gjort svaret mer exakt. Den 4 september 2025 avgjorde EU-domstolen målet EDPS mot SRB (C-413/23 P), och den 7 juli 2026 antog Europeiska dataskyddsstyrelsen (EDPB) sitt utkast till riktlinjer 02/2026 om anonymisering, som är öppet för synpunkter till den 30 oktober 2026 klockan 23.59 CET. Läser man dem tillsammans förklarar de när samma fil kan vara en personuppgift för dig och anonym för någon annan, och varför det sällan hjälper när den andra parten är en tjänsteleverantör som arbetar åt dig.
Nedan följer vad de två texterna säger, med hänvisningar till punkterna, och därefter den praktiska frågan för advokatbyråer, redovisningsbyråer, HR-team och alla som klistrar in dokument i ett AI-verktyg: pseudonymisera reversibelt eller maska för gott?
De viktigaste fakta i korthet
| Punkt | Kontrollerat faktum | Källa |
|---|---|---|
| EDPB-dokument | Riktlinjer 02/2026 om anonymisering, version 1.0 | EDPB:s pdf, omslag |
| Antagna | 7 juli 2026, ”för offentligt samråd” | versionshistorik, s. 1 |
| Samråd | 8 juli till 30 oktober 2026, 23.59 CET (115 dagar) | EDPB:s samrådssida |
| Omfattning | 103 punkter, 25 exempel, en bilaga med flödesschema | EDPB:s pdf |
| Ersätter | Yttrande 05/2014 från artikel 29-gruppen | punkt 2 |
| Tillhörande text | Riktlinjer 01/2025 om pseudonymisering, antagna 16 januari 2025, samrådet stängt 14 mars 2025, ingen slutlig version publicerad | EDPB:s samrådssida |
| Dom | EU-domstolen, första avdelningen, C-413/23 P, EDPS mot SRB, 4 september 2025 | domens huvud |
| Uppgifter i målet | 23 822 synpunkter från 2 855 personer; 1 104 synpunkter skickades till Deloitte med en slumpmässig kod på 33 siffror | punkterna 23-26 |
| Lagstiftning | Digital Omnibus, COM(2025) 837: rådets mandat av den 21 oktober 2026 stryker den nya lydelsen av art. 4.1; parlamentet har inte röstat än | rådets dok. 14756/26; Europaparlamentets lagstiftningsobservatorium |
Ett förtydligande behövs, eftersom flera kommentarer beskriver 2026 års text som vägledning om ”pseudonymisering och anonymisering”. Titeln och innehållet gäller bara anonymisering. Ordet ”pseudonymisering” förekommer inte i dokumentet; pseudonymer behandlas i ett enda exempel och i en punkt om uppgifter som uppenbart inte är anonyma. Pseudonymisering har ett eget utkast, riktlinjerna 01/2025, som 2026 års text inte hänvisar till.
Vad domstolen avgjorde i SRB
Efter resolutionen av Banco Popular 2017 bjöd Gemensamma resolutionsnämnden (SRB) in berörda aktieägare och borgenärer att lämna synpunkter på sitt preliminära beslut. Nämnden fick 23 822 synpunkter från 2 855 deltagare, sorterade bort 20 101 identiska och behöll 3 730 enskilda synpunkter. Av dem rörde 1 104 värderingen och skickades till Deloitte den 17 juni 2019 (punkterna 24-26). Varje synpunkt hade en slumpmässigt genererad identifierare på 33 siffror, och bara SRB kunde koppla koden till de identitetshandlingar som samlades in vid registreringen (punkterna 23 och 28). Några deltagare klagade över att integritetsmeddelandet inte nämnde Deloitte som mottagare.
Domstolen slog fast fyra principer som gäller bortom det enskilda fallet.
Åsikter är personuppgifter om den som uttrycker dem. Ett personligt ställningstagande är ”nödvändigtvis nära knutet till den personen” (punkt 58), så syftet eller effekten behöver inte analyseras separat.
Pseudonymiserade uppgifter är inte automatiskt personuppgifter för alla. Pseudonymisering är en riskminskande åtgärd och ingår inte i definitionen av personuppgifter (punkt 72). Eftersom nyckeln finns kan pseudonymiserade uppgifter inte behandlas som anonyma ”i alla fall” (punkt 73). Det är lika fel att behandla dem som personuppgifter ”i alla fall och för varje person” (punkt 86). För en mottagare kan uppgifterna vara icke-personuppgifter om två villkor är uppfyllda: mottagaren kan inte häva de tekniska och organisatoriska åtgärderna, och åtgärderna förhindrar verkligen att uppgifterna kan tillskrivas en person, även genom korskontroll mot annan information som mottagaren har (punkt 77).
Vidare överföringar för in uppgifterna i GDPR igen. Om det inte kan uteslutas att en senare mottagare har medel att återidentifiera är uppgifterna personuppgifter för den överföringen och för den mottagarens behandling (punkt 85).
Insyn bedöms från den ansvariges sida, vid insamlingen. SRB var tvungen att nämna Deloitte i sitt integritetsmeddelande när synpunkterna samlades in, ”oavsett om dessa uppgifter var personuppgifter” ur Deloittes synvinkel (punkterna 111 och 112). På den grunden avvisade domstolen SRB:s huvudsakliga grund, upphävde tribunalens dom från 2023 och återförvisade målet enbart för en separat grund om god förvaltning (punkterna 118-122).
Domen tolkar förordning 2018/1725 om EU:s institutioner, vars definition av personuppgifter domstolen läser på samma sätt som artikel 4.1 GDPR (punkt 52).
Vad EDPB:s utkast tillför
EDPB bygger in SRB-resonemanget i ett allmänt test. Information är anonym om den inte avser en person eller personen inte är identifierbar, och ”dessa svar kan variera från en enhet till en annan” (punkt 6). Den vägledande frågan för varje bedömning är ”för vem ska uppgifterna vara anonyma?” (punkt 12). Flera punkter minskar sedan det utrymme som detta relativa synsätt lämnar.
Personuppgiftsbiträden ärver den ansvariges perspektiv. Om en enhet behandlar uppgifter för en personuppgiftsansvarigs räkning, och uppgifterna är personuppgifter för den ansvarige, är de personuppgifter även för enheten, som är personuppgiftsbiträde enligt GDPR (punkt 15). EDPB illustrerar det med en återförsäljare som skickar utdrag till en analysbyrå som agerar för dess räkning: personuppgifter för båda (exempel 3). Bara en mottagare som själv bestämmer ändamål och medel, till exempel ett oberoende forskningsinstitut, bedöms utifrån sitt eget perspektiv (exempel 4).
En försumbar sannolikhet räcker. Identifiering behöver inte vara omöjlig, men sannolikheten ”bör vara obetydlig i verkligheten” (punkt 22), och medel räknas bort bara när de är omöjliga, oproportionerliga i tid, kostnad och arbete, eller förbjudna enligt lag (punkt 26).
Avtal är inte lag. Ett avtalsmässigt förbud mot återidentifiering är inte ett lagstadgat förbud och kan bara komplettera tekniska åtgärder (punkt 34). Bristande motivation att återidentifiera är inte heller ett pålitligt argument (punkt 31).
Återidentifiering blir billigare. De flesta dokumenterade teknikerna går att köra på vanlig hårdvara, och EDPB räknar med att agentisk AI ”ytterligare minskar tid och kostnader” för återidentifiering (punkt 92). AI-modeller kan också förmås avslöja information om enskilda (punkt 82).
Tre kriterier. Uppgifter klarar testet om ingen post går att urskilja, ingen koppling till andra data går att göra och ingen slutsats går att dra; om alla tre villkor är uppfyllda ”kan uppgifterna med säkerhet anses anonyma” (punkt 52). Testet kan genomföras kontextuellt, enhet för enhet, eller i en förenklad och mer försiktig form som bortser från skillnader mellan enheter (punkterna 45-47).
Ord och dokumentation. Personuppgiftsansvariga bör inte kalla uppgifter ”anonyma”, ”avidentifierade” eller ”avpersonifierade” när personer fortfarande kan identifieras (punkt 40), och de bör dokumentera anonymiseringsprocessen och dess testning och spara dokumentationen (punkt 41). Bedömningar enligt yttrandet från 2014 behöver inte göras om (fotnot 3).
Hur utkasten från 2025 och 2026 hänger ihop
De två EDPB-utkasten skrevs före respektive efter domen, och det syns. Riktlinjerna 01/2025 anger att pseudonymiserade uppgifter förblir personuppgifter även när uppgifterna och den kompletterande informationen ”inte finns hos samma person” (punkt 22). Därefter fastslog domstolen att pseudonymiserade uppgifter inte är personuppgifter ”i alla fall och för varje person”. Utkastet från 2026 följer domstolen och hänvisar till SRB-domen i tio fotnoter, men nämner inte 2025 års text, som inte heller har slutförts. Tills riktlinjerna om pseudonymisering har uppdaterats kommer organisationer att läsa 01/2025 för hur pseudonymisering går till (pseudonymiseringsdomäner, hemligheter, översättningstabeller) och 02/2026 tillsammans med SRB för frågan om vem uppgifterna är personuppgifter för.
Den gemensamma grunden är bredare än spänningen antyder. Båda texterna är överens om att den personuppgiftsansvarige som har nyckeln alltid behandlar personuppgifter (sammanfattningen av 01/2025; 02/2026, punkt 37), att en översättningstabell i sig är en personuppgift som måste skyddas (01/2025, punkt 93), och att pseudonymisering är en god skyddsåtgärd enligt artiklarna 25 och 32 GDPR även när den inte tar uppgifterna utanför tillämpningsområdet.
Digital Omnibus: lagstiftaren tar upp frågan
Det relativa synsättet ligger nu också hos EU:s lagstiftare. Den 19 november 2025 föreslog kommissionen Digital Omnibus, COM(2025) 837 (förfarande 2025/0360 (COD)), som skulle lägga till tre meningar i definitionen av personuppgifter i artikel 4.1 GDPR. Den centrala säger att information ”inte ska vara personuppgifter för en viss enhet om enheten inte kan identifiera den fysiska personen”, med hänsyn till de medel som enheten rimligen kan förväntas använda. Den sista tillägger att informationen inte blir personuppgifter för enheten enbart därför att en eventuell senare mottagare skulle kunna identifiera personen (artikel 3.1 i förslaget). Kommissionen presenterar ändringen som en kodifiering av rättspraxis om pseudonymisering (motiveringen, s. 10 och 11), och en ny artikel 41a skulle låta den genom genomförandeakt avgöra när pseudonymiserade uppgifter slutar vara personuppgifter för vissa enheter.
EDPB och EDPS avvisade båda idéerna i gemensamt yttrande 2/2026 av den 10 februari 2026. Enligt dem plockar texten ”ett enda inslag ur ett enda fall” (punkt 15), och dess sista mening går längre än SRB, där domstolen bekräftade att uppgifter som görs tillgängliga för en mottagare som kan identifiera blir personuppgifter för den mottagaren och indirekt för den som gjorde dem tillgängliga (punkt 16, med hänvisning till punkterna 84 och 85 i domen). De uppmanade lagstiftarna att inte anta ändringen (punkt 21), bad om att artikel 41a skulle strykas (punkt 25) och sade att de öppna frågorna hör hemma i EDPB:s vägledning (punkt 19). En av de frågor de räknade upp, om en mottagare som inte kan identifiera någon men arbetar för en ansvarigs räkning är ett personuppgiftsbiträde (fotnot 29), är den som riktlinjerna 02/2026 senare besvarade i punkt 15.
Rådet väljer en annan väg än kommissionen. Dess förhandlingsmandat, som Coreper enades om den 21 oktober 2026 (rådets dokument 14756/26), stryker de nya meningarna i artikel 4.1 och ersätter artikel 41a med en ny artikel 25a om pseudonymisering. Pseudonymiserade uppgifter är inte personuppgifter för en tredje part som inte kan identifiera personen (artikel 25a.2); om den tredje parten för dem vidare till någon som kan, gäller både överföringen och den senare behandlingen personuppgifter (25a.3); och för ett personuppgiftsbiträde som agerar för den ansvarige är det alltid personuppgifter (25a.4). I stället för genomförandeakter skulle EDPB utfärda ett yttrande om pseudonymisering och anonymisering (25a.6). I Europaparlamentet har de gemensamma utskotten ITRE och LIBE ett förslag till betänkande, men hade den 27 oktober 2026 inte röstat: trilogförhandlingarna har inte börjat och inget av detta är ännu lag.
| Text | Datum och status | Vad den säger om pseudonymiserade uppgifter |
|---|---|---|
| EU-domstolen, EDPS mot SRB, C-413/23 P | Dom, 4 september 2025 | Inte personuppgifter ”i alla fall och för varje person” (punkt 86) |
| EDPB, riktlinjer 01/2025 | Utkast av den 16 januari 2025, inte slutförda | Personuppgifter även när uppgifter och nyckel finns hos olika parter (punkt 22) |
| EDPB, riktlinjer 02/2026 | Utkast av den 7 juli 2026, synpunkter till 30 oktober 2026 | Relativt test, men alltid personuppgifter för ett biträde (punkt 15) |
| Kommissionen, Digital Omnibus, COM(2025) 837 | Förslag, 19 november 2025 | Relativ lydelse i art. 4.1; genomförandeakter enligt art. 41a |
| EDPB-EDPS, gemensamt yttrande 2/2026 | 10 februari 2026 | Anta inte den nya definitionen; stryk art. 41a (punkterna 21, 25) |
| Rådets mandat, dok. 14756/26 | Coreper, 21 oktober 2026 | Art. 4.1 oförändrad; ny art. 25a, personuppgifter för biträden (25a.4) |
| Europaparlamentet, ITRE och LIBE | Förslag till betänkande, ingen utskottsröstning den 27 oktober 2026 | Ingen ståndpunkt antagen |
Sida vid sida går texterna närmare varandra än debatten låter förstå. Domstolen godtog att identifierbarhet beror på vem som har uppgifterna (SRB, punkt 86). EDPB gjorde det till ett test som håller tjänsteleverantörer inom GDPR (02/2026, punkt 15). Rådets text skulle skriva in samma gränser i själva förordningen. Den enda lydelse som skulle ha behandlat vidare överföringar mer släpphänt, kommissionens tredje mening, har varken tillsynsmyndigheternas eller rådets stöd. För den som i dag ska bestämma hur ett dokument förbereds för ett AI-verktyg eller en tredje part är SRB-domen och de två EDPB-utkasten fortfarande utgångspunkten.
Reversibel pseudonymisering eller permanent anonymisering
Det mesta dokumentarbetet följer ett av två mönster, och SRB ändrar inte vilket som passar en viss uppgift.
Reversibel pseudonymisering ersätter namn, identifierare och andra detaljer med konsekventa platshållare, medan den ansvarige behåller en översättningstabell. Den passar när du behöver få tillbaka de riktiga värdena: att skriva ett svar, analysera ett avtal, sammanfatta ett ärende med en AI-assistent eller lämna över ett arbetsdokument till en kollega som senare behöver veta vem som är vem. För dig är dokumentet fortfarande personuppgifter. Det är det även för en leverantör som behandlar det för din räkning (punkt 15), så ett personuppgiftsbiträdesavtal krävs fortfarande. Pseudonymisering ger dataminimering och säkerhet: leverantören ser mycket mindre, och ett läckage eller missbruk hos den exponerar platshållare i stället för identiteter.
Permanent anonymisering eller maskning tar bort informationen utan att någon nyckel finns kvar någonstans, dokumentets metadata inräknade. Den passar när dokumentet lämnar din kontroll till en oberoende mottagare: publicering, utlämnande till motparten eller en domstol, svar på en begäran om registerutdrag som måste skydda tredje man, en forsknings- eller träningsdatamängd. Här väger SRB och 02/2026 tyngst, eftersom mottagarens perspektiv avgör, och de tre kriterierna visar vad som ska kontrolleras: om en enskild post fortfarande sticker ut, om den kan kopplas till andra källor och om något specifikt kan härledas.
| Situation | Vem tar emot | Vanligt val | Personuppgifter för mottagaren? |
|---|---|---|---|
| Utkast eller analys med en AI-tjänst som arbetar åt dig | Personuppgiftsbiträde | Reversibel pseudonymisering | Ja (punkt 15); biträdesavtal krävs |
| Arbetsdokument som delas inom byrån | Din egen personal | Reversibel pseudonymisering | Ja, men exponeringen är mindre |
| Inlaga till domstol, publicering, utlämnande till motpart | Oberoende tredje part | Permanent maskning | Bara om återidentifiering är rimligen sannolik (punkterna 21, 22) |
| Datamängd för en oberoende forskare | Oberoende tredje part | Anonymisering testad mot de tre kriterierna | Bedöms utifrån mottagarens perspektiv (exempel 4) |
Vad detta innebär i praktiken
Advokatbyråer. Inlagor och bilagor som går till en domstol eller motpart kräver permanent maskning, och testet är om motparten, en journalist eller någon annan som läser handlingarna fortfarande kan identifiera personen (punkt 30 nämner undersökande journalister, kollegor och grannar bland dem som ska beaktas). Detaljer i fritext är den vanliga svaga punkten: en titel, ett datum och en ort kan peka ut någon även utan namn, och det är just problemet med att en post går att urskilja. För internt utkastarbete med AI-verktyg håller reversibel pseudonymisering klienternas namn utanför leverantörens system utan att du förlorar möjligheten att återställa dem.
Redovisningsbyråer och skatterådgivare. Huvudböcker och löneexporter är strukturerade data, så de tre kriterierna gäller nästan ordagrant: en kolumn med ett skattenummer eller IBAN är en identifierare, och kombinationen av lön, anställningsdatum och avdelning kan urskilja en post. Pseudonymisering på kolumnnivå bevarar räknearbetet och tar bort identifierarna. När filer går till en extern granskare som agerar för din räkning ska du komma ihåg att granskaren är ett personuppgiftsbiträde och att uppgifterna förblir personuppgifter.
HR. Medarbetarenkäter och utredningar är en återkommande källa till falsk anonymitet. EDPB ger exemplet med en teamenkät där de sammanställda resultaten ändå avslöjar vad varje medlem tyckte (exempel 17), och SRB bekräftar att åsikter är personuppgifter om sin upphovsperson. Om resultaten delas med chefer betyder tröskelvärden för sammanställning och undertryckande av små grupper mer än att ta bort namn.
Alla som skickar dokument till AI-verktyg. En AI-leverantör som behandlar dina prompter på dina instruktioner är enligt EDPB:s tolkning ett personuppgiftsbiträde för vilket uppgifterna förblir personuppgifter. Pseudonymisering tar inte bort den relationen, men den ändrar vad som exponeras. Två detaljer förtjänar uppmärksamhet: om översättningstabellen någonsin lämnar din kontroll, och om leverantören sparar indata eller tränar på den. EDPB:s varning för prompter som får AI-modeller att plocka fram information om enskilda (punkt 82) påminner om att det som går in kan komma ut.
Verktyg som Redactic tillämpar båda mönstren på samma fil: reversibla platshållare för arbete med AI, där de riktiga värdena återställs enbart i användarens webbläsare, och permanent maskning med borttagning av metadata för dokument som lämnar organisationen, samt ett maskningscertifikat med dokumentens hashvärden för varje åtgärd, vilket underlättar den dokumentation som punkt 41 beskriver.
För att använda AI utan att lämna ut namn och identifierare kan Redactic förbereda dina dokument för AI: de funna värdena blir platshållare och de riktiga namnen kommer tillbaka i din webbläsare när svaret anländer.
Vanliga frågor
Är pseudonymiserade uppgifter fortfarande personuppgifter efter SRB-domen?
För den personuppgiftsansvarige som har nyckeln, alltid. För en mottagare beror det på: uppgifterna kan vara icke-personuppgifter för en oberoende mottagare som inte kan häva pseudonymiseringen eller återidentifiera genom att korskontrollera med annan information (SRB, punkterna 77 och 86), men de är personuppgifter för varje personuppgiftsbiträde som arbetar för den ansvariges räkning (02/2026, punkt 15).
Handlar riktlinjerna 02/2026 om pseudonymisering?
Nej, de handlar om anonymisering. Pseudonymisering behandlas i riktlinjerna 01/2025, som antogs för samråd den 16 januari 2025 och ännu inte är slutgiltiga.
När stänger EDPB:s samråd och hur svarar jag?
Den 30 oktober 2026 klockan 23.59 CET, via formuläret på EDPB:s samrådssida. Svaren publiceras på EDPB:s webbplats.
Gör ett avtal som förbjuder återidentifiering uppgifterna anonyma för mottagaren?
Inte i sig. Enligt EDPB är ett avtalsmässigt förbud inte ett lagstadgat förbud och kan bara komplettera tekniska åtgärder (punkt 34).
Kommer Digital Omnibus att ändra GDPR:s definition av personuppgifter?
Inte ännu, och förmodligen inte i den form som först föreslogs. Kommissionens förslag COM(2025) 837 skulle lägga till ett relativt test i artikel 4.1 GDPR. EDPB och EDPS bad lagstiftarna att inte anta det (gemensamt yttrande 2/2026, punkt 21), och rådets förhandlingsmandat av den 21 oktober 2026 stryker det till förmån för en ny artikel 25a, enligt vilken pseudonymiserade uppgifter förblir personuppgifter för personuppgiftsbiträden och vid vidare överföring till den som kan identifiera personen. Europaparlamentet har ännu inte antagit sin ståndpunkt, så trilogförhandlingarna har inte börjat. Tills en text har antagits är SRB-domen och EDPB:s riktlinjer utgångspunkten.
Måste jag göra om anonymiseringsbedömningar som gjordes enligt yttrandet från 2014?
Nej, enligt fotnot 3, även om en periodisk omprövning rekommenderas eftersom återidentifiering blir lättare med tiden (punkt 35).
Om du arbetar med dokument från klienter, anställda eller patienter och vill prova båda tillvägagångssätten på dina egna filer kan du börja på redactic.eu. Identifiering och maskning körs på infrastruktur i Europa som Redactic kontrollerar, och valfria AI-uppgifter är ett separat steg som arbetar på den förberedda texten.
Så citerar du den här artikeln
Redactic. ”Pseudonymiserat eller anonymt? EDPB 02/2026 och SRB-domen”. redactic.eu, oktober 2026. https://redactic.eu/sv/blog/pseudonymisering-anonymisering-edpb-riktlinjer-02-2026-srb/
Primärkällor: EDPB, riktlinjer 02/2026 om anonymisering (v1.0, 7 juli 2026); EDPB, riktlinjer 01/2025 om pseudonymisering (16 januari 2025); EU-domstolen, C-413/23 P, EDPS mot SRB, 4 september 2025; Europeiska kommissionen, Digital Omnibus, COM(2025) 837 final, 19 november 2025; EDPB-EDPS, gemensamt yttrande 2/2026, 10 februari 2026; Europeiska unionens råd, dok. 14756/26 (förhandlingsmandat), 22 oktober 2026.
Relaterade guider
- Maskera personuppgifter: guide för GDPR och AI 2026
- Shadow AI inom HR: AI utan att bryta mot GDPR (2026)
- Advokatbyråer: maskera avtal och processhandlingar (2026)
- Redovisningsbyråer: maskera löne- och skattedata (2026)
Se hur Redactic omsätter detta i praktiken: Redactic dokumentmaskning · Sidor om tillit och personuppgiftsbiträdesavtal (DPA).