Riktlinje för gränsdragning mellan personuppgifter och anonymiserade data – vetenskapsområdet för medicin och farmaci

En vägledning för gränsdragning mellan personuppgifter och anonymiserade data

Känsliga personuppgifter är personuppgifter som avslöjar etniskt ursprung, politiska åsikter, religiös eller filosofisk övertygelse, medlemskap i fackförening, genetiska uppgifter, biometriska uppgifter som entydigt identifierar en fysisk person, uppgifter om hälsa eller uppgifter om en fysisk persons sexualliv eller sexuella läggning.

Behandling av känsliga personuppgifter för forskningsändamål kräver etikprövningstillstånd. Avlidna individers data betraktas inte som personuppgifter.

Anonymiserade data innebär information där det inte längre är möjligt att identifiera en enskild person, till exempel genom att ta bort eller förändra identifierande information. Kravet är att anonymiseringen är oåterkallelig, vilket innebär att ingen kodnyckel finns sparad för identifiering av individuella data. Anonymisering av data innebär dessutom att den har gjorts på ett sätt att det är omöjligt eller extremt opraktiskt att identifiera den fysiska personen. Det ska inte gå att identifiera enskilda individer från data genom att kombinera olika variabler i data eller genom att kombinera dessa data med andra datakällor. När en anonymisering av enskilda individers data genomförts är de inte längre att betrakta som personuppgifter och de kan publiceras öppet.¹

Vetenskapsområdet för medicin och farmaci strävar i riktningen att tillgängliggöra forskningsdata genom öppen vetenskap men vid vilken förändring av personuppgifter kan de betraktas som oåterkalleligen icke identifierbara och därmed betraktas som anonymiserade?

Gränsen mellan personuppgifter inklusive känsliga personuppgifter och anonymiserade data är inte klart definierad. En vägledning behövs.

För att data ska anses anonymiserade rekommenderar Vetenskapsområdet för medicin och farmaci att:

• Data får inte innefatta personnummer, löpnummer, namn, adress, exakt födelsedatum, exakt diagnosdatum eller ett exakt förskrivningsdatum för läkemedel.
• Avrundning av datum ska ske till helt år eller hel månad.
• När data är arrangerade med en individ per datarad, ska det finnas minst 10 individer per kombination av variabler när alla variabler kombineras med varandra.
• Ingen kodnyckel ska existera.²

Denna vägledning för anonymisering garanterar inte fullständig anonymitet och det kan fortfarande finnas risk för personuppgiftsincident om informationen kombineras med andra tillgängliga data. Därför är det viktigt att i varje enskilt fall dokumentera överväganden om sådana risker och hur man hanterar dessa. Om det finns en osäkerhet om anonymitet uppnåtts krävs ytterligare skyddsåtgärder. Detta kan ske genom generalisering, exempelvis en femårsklass ersätter ålder, eller genom datamodifiering, vilket kan innebära en förvrängning av data.

¹ Med anonymisering avses att personuppgifter behandlas på så sätt att personen inte längre kan identifieras utifrån dessa. Uppgifterna kan till exempel generaliseras (aggregeras) eller ändras till statistisk form på så sätt att uppgifter om en enskild person inte längre är i identifierbar form. Identifiering måste förhindras på oåterkalleligt sätt och på så sätt att den personuppgiftsansvarige eller en utomstående aktör inte längre kan ändra tillbaka uppgifter som den innehar till identifierbar form. Anonymiserade uppgifter ses inte längre som personuppgifter. Dataskyddsbestämmelserna tillämpas inte på dessa.

² Kodning av personuppgifter är pseudonymisering. Pseudonymiserade uppgifter är fortfarande personuppgifter och dataskyddsbestämmelserna ska tillämpas vid behandling av dessa.