Pseudonymisering kräver mer än teknik. För att uppgifterna ska vara lagligt och säkert hanterade måste det vara kristallklart vem som gör vad. Du måste kunna beskriva vem som är personuppgiftsansvarig, vem som agerar biträde, vem som äger informationsflödet och vem som får återkoppla en pseudonym till verklig identitet. Här är rollerna som måste vara definierade och dokumenterade.
Personuppgiftsansvarig
Personuppgiftsansvarig är den aktör som bestämmer syftet med behandlingen och hur behandlingen ska ske. Det kan vara en myndighet, ett företag eller en organisatorisk enhet som har mandat att fatta beslut om ändamål och medel.
Den här rollen bär huvudansvaret för att pseudonymiseringen är laglig och nödvändig och att den följer principerna i GDPR. Det omfattar rättslig grund, ändamålsbegränsning, uppgiftsminimering, lagringsminimering och proportionalitet.
Personuppgiftsbiträde
Personuppgiftsbiträdet behandlar personuppgifter för den personuppgiftsansvariges räkning. Ett biträde kan vara en leverantör, en driftpartner eller en extern tjänst som utför själva pseudonymiseringssteget eller hanterar pseudonymiserade data.
Här krävs tydliga avtal om vad biträdet får göra, hur nyckelmaterialet skyddas och hur åtkomst loggas.
Informationsägare
I många organisationer finns en roll som informationsägare. Informationsägaren godkänner vilka behandlingar som ska utföras, säkerställer att de ligger inom uppdraget och hanterar riskbedömningen.
Informationsägaren ansvarar för att informationsklassning och riskanalys faktiskt görs innan pseudonymisering införs. Rollen ska ha mandat att säga stopp om risknivån är för hög eller om proportionaliteten inte kan motiveras.
Utförande funktion
Det måste utses vem som praktiskt gör själva pseudonymiseringen. Det kan vara en intern funktion eller en extern aktör. Den här rollen ansvarar för att pseudonymiseringen genomförs enligt fastställd metod, att resultatet kontrolleras och att dokumentation skapas för varje körning så att spårbarhet finns.
Ett krav här är att det inte får uppstå parallella nycklar. Ingen får skapa egna kopplingstabeller eller Excel filer med identiteter på sidan av den kontrollerade processen.
Förvaltare av pseudonymiserat material
Slutligen måste det vara tydligt vem som äger och använder den pseudonymiserade datamängden efter att den skapats. Den rollen kan kallas dataförvaltare eller liknande.
Förvaltaren ansvarar för att materialet bara används inom godkända ändamål, att åtkomst är begränsad till rätt användare, att loggning sker och att gallring eller arkivering följer beslutade regler.
Varför tydliga roller är ett krav
Pseudonymisering skapar nya datamängder och nya riskytor. Utan tydlig ansvarsfördelning är det oklart vem som får låsa upp en pseudonym. Då ökar risken för otillåten återidentifiering, vilket är ett direkt brott mot integritetsskyddet.
Tydliga roller är också en förutsättning för att kunna visa efterlevnad vid granskning. Det här är inte bara best practice. Det är ett faktisk krav för att pseudonymisering ska fungera som skyddsåtgärd.
Sammanfattning
Personuppgiftsansvarig sätter ramarna och bär det juridiska ansvaret. Personuppgiftsbiträdet genomför behandling på uppdrag. Informationsägaren säkerställer syfte, riskbedömning och proportionalitet. Utförandefunktionen gör själva pseudonymiseringen enligt metod. Dataförvaltaren använder den pseudonymiserade datan inom godkända ändamål och ansvarar för åtkomst och uppföljning.
Se även Så inför du pseudonymisering på ett säkert sätt och Skydd av kodnyckeln vid pseudonymisering.
Nästa steg. Vi hjälper dig ta fram en tydlig ansvarskarta inklusive vem som får återidentifiera, hur åtkomst loggas och hur gallring ska ske. Det är ofta den viktigaste pusselbiten inför revision.
Avidentifiera