Sju miljoner för uppgifter man trodde var anonyma

Företagets försvar var det vanligaste på detta område: uppgifterna är anonyma, alltså gäller inte dataskyddsförordningen. Resonemanget är formellt riktigt — skäl 26 säger just att förordningen inte rör anonym information — och i sak nästan alltid fel. Frågan är inte om namnet finns med: frågan är om personen kan återfinnas.

Gränsen mellan anonymt och pseudonymiserat

I registret hade varje patient en kod. Inte namnet, en kod. Men koden var fast: den tjänade till att följa samma person över tid, för det är precis vad en longitudinell studie måste göra. En identifierare som gör det möjligt att koppla samman samma persons uppgifter är ingen anonymiseringsåtgärd: det är definitionen av pseudonymisering i artikel 4.5. Och pseudonymiserade uppgifter förblir personuppgifter.

• Skäl 26 kräver en bedömning av de medel som rimligen kan komma att användas för identifiering: kostnad, tid, tillgänglig teknik — inte absolut omöjlighet.
• En fast kod per person gör det möjligt att koppla händelser över tid, och det är just detta som gör uppgifterna hänförliga.
• Födelseår, kön, diagnoser, recept och en geografisk referens begränsar tillsammans kretsen till mycket få personer.
• Den som hävdar att uppgifter är anonyma måste kunna visa det, och beviset är tekniskt: en återidentifieringsanalys, inte en mening i en integritetspolicy.
• Är uppgifterna inte anonyma krävs rättslig grund och information, och för hälsouppgifter även ett villkor enligt artikel 9.2.

Sedan finns ledet uppströms. Uppgifterna kom från allmänläkare. För ett dataskyddsombud som biträder en mottagning, ett laboratorium eller en vårdgivare är dagens fråga om egna uppgifter hamnar i forsknings- eller kreditupplysningsregister, på vilken grund, och om patienterna vet om det. Att en tredje part behandlar dem flyttar inte ansvaret från den som samlade in dem.

Vad man tar med sig, konkret. Ordet «anonym» i ett avtal eller i ett behandlingsregister är ingen rättslig kvalificering: det är ett påstående som ska bevisas. Där det dyker upp är det värt att fråga tre saker — vem kontrollerade det, med vilken metod, och när. Saknas de tre svaren beskriver den raden i registret en behandling som man tror ligger utanför förordningen och som i själva verket ligger inom, med allt vad det innebär.