Personvernrådet (EDPB) har lagt frem utkast til nye retningslinjer om anonymisering (tidligere omtalt i nyhetsbrevet i mai), som er på høring til 30. oktober 2026. Retningslinjene erstatter uttalelsen fra 2014 om anonymiseringsteknikker og bygger blant annet på SRB-dommen fra EU-domstolen (se omtale i tidligere nyhetsbrev). Virksomheter som allerede har vurdert data som anonyme etter den gamle uttalelsen, forventes ikke å gjøre vurderingen på nytt, men EDPB anbefaler at risikoen for reidentifisering vurderes jevnlig.
Utgangspunktet etter retningslinjene er at anonymitet skal vurderes fra perspektivet til hver relevant aktør. De samme dataene kan dermed være anonyme for én aktør og personopplysninger for en annen. En virksomhet som deler «anonymiserte» data, må derfor vurdere om mottakerne kan identifisere personene, og ikke bare om den selv kan det. Behandler mottakeren dataene på vegne av den som deler dem, skal vurderingen gjøres fra den behandlingsansvarliges perspektiv, slik at mottakeren er databehandler selv om den ikke kan identifisere noen. Det betyr at det fortsatt er behov for databehandleravtale etter GDPR artikkel 28 i slike tilfeller.
Etter retningslinjene skal det ikke være mulig å skille ut enkeltoppføringer som knytter seg til én person, dataene skal ikke kunne kobles med andre data om samme person, og det skal ikke være mulig å trekke spesifikke og meningsfulle slutninger om identifiserbare personer. Er alle disse tre kriteriene oppfylt, vil dataene kunne anses som anonyme. Er ikke ett av de to første kriteriene oppfylt, så skal det gjøres en nærmere vurdering. Men er ikke det tredje kriteriet oppfylt, dvs. det kan trekkes spesifikke og meningsfulle slutninger om enkeltpersoner, skal dataene som hovedregel ikke regnes som anonyme. EDPB beskriver også to måter å gjøre vurderingen på, en kontekstuell tilnærming som ser på den enkelte aktørs faktiske muligheter for reidentifisering, og en forenklet tilnærming som EDPB selv sier kan gå lenger enn det GDPR krever, men som gir større trygghet for at dataene faktisk er anonyme.
Det er viktig å merke seg at EDPB mener at et forbud mot reidentifisering, som i en kontrakt for datadeling, ikke kan likestilles med et lovforbud, og at kontrakter bare kan supplere tekniske tiltak. Selv et lovforbud gir bare en presumsjon for at reidentifisering ikke skjer, som kan tilbakevises hvis forbudet ikke håndheves eller dataene er dårlig sikret. EDPB advarer også mot å bruke manglende motivasjon som argument for at reidentifisering er usannsynlig, siden motivasjon er vanskelig å vurdere og kan endre seg. Her ser vi paralleller til vurderingene ved overføring til tredjeland, der kontraktsforpliktelser heller ikke binder myndighetene i mottakerlandet.
Selve anonymiseringen er behandling av personopplysninger og krever behandlingsgrunnlag etter GDPR artikkel 6, og virksomheten skal dokumentere både prosessen og testingen av resultatet. Det skal heller ikke brukes betegnelser som «anonym» eller «avidentifisert» dersom personene faktisk kan identifiseres. Retningslinjene tar derimot ikke stilling til om anonymisering oppfyller lovbestemte plikter til sletting.