Pseudonymisering är inte en enda teknik. Det är ett samlingsnamn för flera metoder. Valet av metod påverkar hur lätt det är att återidentifiera en individ, hur säkert du kan dela data internt eller externt och hur mycket prestanda och skalbarhet du får i din lösning.
Metod 1. Översättningstabell
Med översättningstabell skapar du en ny identitet, till exempel ett löpnummer, för varje verklig individ. Du sparar kopplingen i en separat tabell. Själva arbetsdatan innehåller bara pseudonymerna, inte de riktiga identiteterna.
Den separata tabellen fungerar som en nyckel och används bara när du har laglig grund att återidentifiera. Det här är vanligt i statistik och forskning där man vill följa samma individ över tid utan att visa vem individen är.
Fördelar:
Pseudonymen är inte direkt läsbar tillbaka till originalet.
Formatet kan anpassas så att pseudonymen liknar befintliga interna ID eller diarienummer som systemen redan accepterar.
Åtkomstkontroll kan lösas på ett strukturerat sätt eftersom kopplingstabellen kan skyddas som en särskilt känslig handling.
Krav: Kopplingstabellen måste skyddas. Du måste veta exakt vilka system och vilka roller som kan komma åt den. Om tabellen sprids är pseudonymiseringen i praktiken bruten.
Metod 2. Krypteringsbaserad pseudonymisering
I stället för en separat tabell kan du skapa pseudonymen genom att kryptera den ursprungliga identiteten. Den krypterade strängen blir pseudonymen. Med rätt nyckel kan du dekryptera värdet och få tillbaka den riktiga identiteten. Utan nyckeln ser värdet bara ut som en oförståelig teckenföljd.
Det finns två huvudvarianter.
Symmetrisk kryptering. Samma nyckel används för att skapa pseudonymer och för att låsa upp dem.
Asymmetrisk kryptering. En publik nyckel används för att skapa pseudonymer. En skyddad privat nyckel krävs för att läsa tillbaka identiteten. Det gör att många kan skapa pseudonymer utan att kunna återidentifiera någon.
Fördelar:
Du kan minska behovet av en separat översättningstabell om pseudonymen i sig är ett krypterat värde.
Det blir enklare att låta andra skicka in data som redan är pseudonymiserad utan att de någonsin får tillgång till klartext.
Nackdelar:
Säkerheten hänger helt på nyckelhanteringen. En läckt nyckel kan motsvara ett fullständigt personuppgiftsläckage.
Pseudonymen kan bli lång och ha ett format som vissa verksamhetssystem inte accepterar.
Kryptostyrka förändras över tid. Du måste ha en plan för nyckelrotation och livslängd.
Metod 3. Kombinerad metod
I vissa fall kombineras metoderna. Ett vanligt upplägg är att först skapa en pseudonym via en översättningstabell och sedan kryptera den pseudonymen. Det betyder att en angripare måste få tag i både krypteringsnyckeln och översättningstabellen för att kunna hitta tillbaka till individen.
Den här modellen höjer säkerheten men ökar komplexiteten och ställer krav på tydlig styrning av vem som äger vad.
Pseudonymens format
När du väljer pseudonymformat måste du ta ställning till flera frågor. Måste pseudonymen efterlikna originalformatet, till exempel ett svenskt personnummer. Får den krocka med ett riktigt personnummer. Finns det tillräcklig variation för att generera många unika pseudonymer.
Personnummer är ett svårt fall. Formatet är hårt definierat men används överallt som stabil identitetsnyckel. Därför behövs tydliga regler för hur pseudonymer ska skapas, lagras och valideras.
Maskning och selektiv dold information
I många verksamheter räcker det inte med att byta ut personnummer. Fritextfält kan innehålla namn, adresser, telefonnummer, mejladresser och andra känsliga uppgifter. Vår lösning använder automatiserad maskning och ersätter dessa uppgifter direkt i text och bilagor.
Resultatet blir begriplig text som fortfarande går att arbeta med. Men utan direkt identifierande information. Viktigt. Maskning i sig innebär inte att datat är anonymiserat. Det är i de flesta fall fortfarande personuppgifter enligt GDPR.
Livscykelhantering av pseudonymer
Pseudonymer är inte engångsvärden. De måste kunna spåras, ändras, återkallas eller tas bort. Du behöver veta vem som skapade pseudonymen, när den skapades, vilken status den har och hur länge kopplingen till grundidentiteten ska sparas.
Det kan också krävas att du byter pseudonym för samma individ över tid för att minska risken att någon utomstående bygger en profil. Det här är en del av din riskreduktion.
Sammanfattning
Översättningstabell är tydlig och passar när du vill ha kontrollerad återidentifiering. Krypteringsbaserad pseudonymisering passar vid datadelning där många får skapa pseudonymer men få kan låsa upp dem. En kombinerad modell kan ge extra skydd i högriskmiljöer.
Oavsett metod krävs styrd åtkomst, robust nyckelhantering, tydlig dokumentation och planerad livscykel. Utan det är pseudonymisering bara en kosmetisk omskrivning av personuppgifter. Med rätt styrning blir det en kontrollerad säkerhetsåtgärd som håller över tid.
Se även Skydd av kodnyckeln vid pseudonymisering och Livscykelhantering av pseudonymer.
Nästa steg. Vill du veta vilken metod som passar din verksamhet. Vi hjälper dig att välja arkitektur och ta fram styrdokument för nyckelhantering, loggning och återidentifiering.
Avidentifiera