Hvad betyder EU-Domstolens dom om pseudonymisering, når I bruger AI på persondata?

GDPR og AISenest opdateret 21. oktober 20265 min. at læse

Kort svar

I sag C-413/23 P (EDPS mod SRB, 4. september 2025) slog EU-Domstolen fast, at pseudonymiserede data ikke i alle tilfælde er persondata for den, der modtager dem. Det afhænger af, om modtageren realistisk kan finde ud af, hvem det er. For jer, der har nøglen, er data stadig persondata, og I skal stadig oplyse de registrerede om, at fx en AI-tjeneste modtager oplysningerne. Dommen gør pseudonymisering mere værd – men kun hvis den er grundig, også i fri tekst.

Hvad handlede sagen om?

Den spanske bank Banco Popular blev afviklet i 2017. EU's afviklingsmyndighed, Single Resolution Board (SRB), bad bagefter aktionærer og kreditorer om bemærkninger. SRB erstattede navnene med koder og sendte bemærkningerne til et revisionsfirma. Nøglen, der kobler koderne til personerne, beholdt SRB selv.

Nogle af personerne klagede: de havde ikke fået at vide, at revisionsfirmaet ville modtage deres bemærkninger. EU's datatilsyn (EDPS) gav dem ret. Sagen endte ved EU-Domstolen, der afsagde dom 4. september 2025.

Hvad sagde Domstolen?

Tre ting er vigtige for jer, der vil bruge AI:

Bemærkninger og vurderinger er persondata. En tekst, hvor en person giver sin mening, handler om personen – også selv om navnet er skiftet ud med en kode.
Om data er persondata, afhænger af, hvem der har dem. For SRB, der havde nøglen, var bemærkningerne persondata. For revisionsfirmaet var de det måske ikke – hvis firmaet realistisk ikke kunne finde ud af, hvem der havde skrevet hvad, hverken med nøglen eller på anden måde.
Oplysningspligten gælder stadig. SRB skulle have fortalt personerne, at revisionsfirmaet ville modtage oplysningerne. Det afhænger ikke af, om data er persondata for modtageren.

Domstolen afviste dermed tanken om, at pseudonymiserede data altid og for alle er persondata. Men den sagde også, at pseudonymisering ikke i sig selv er nok: beskyttelsen skal reelt forhindre modtageren i at finde personerne.

Hvad betyder det, når jeres AI læser persondata?

Tænk på jeres AI-tjeneste som revisionsfirmaet i sagen. Sender I pseudonymiserede CV'er eller personalesager til AI'en, og kan AI-leverandøren realistisk ikke finde ud af, hvem det er, kan data falde uden for GDPR hos leverandøren. Det gør overførsel og leverandørvalg mindre risikabelt.

Men tre ting ændrer dommen ikke:

For jer er det stadig persondata. I skal have et lovligt grundlag, og jeres egen behandling er omfattet af GDPR.
I skal stadig oplyse. Medarbejdere og ansøgere skal have at vide, at en AI-tjeneste modtager oplysninger om dem. Se oplysningspligt ved brug af AI.
Det skal være realistisk umuligt at finde personen. Det er her, de fleste falder.

Det svære er fri tekst

Et navn er let at fjerne. Det er sværere med alt det andet: "vores eneste kvindelige udvikler i Aarhus-filialen, som har været sygemeldt efter en knæoperation". Navnet er væk, men kombinationen peger på én person. AI-leverandøren – eller en, der får adgang til dens data – kan måske finde hende med en søgning.

Derfor skal en grundig pseudonymisering også:

gøre byer, alder og datoer mindre præcise (region, aldersgruppe, interval),
skjule eller gøre ord om helbred, fagforening, religion og straf bredere,
tjekke, om en person er den eneste med sin kombination af fx afdeling, titel og anciennitet.

Læs mere om forskellen i pseudonymisering eller anonymisering.

Sådan hjælper GoalCube

GoalCube pseudonymiserer jeres data i EU, før jeres AI får dem, og de rigtige navne bliver hos GoalCube. Ud over navne, e-mails og numre gør GoalCube byer i fri tekst til regioner og markerer ord, der kan pege på en person, fx om helbred eller "eneste …". I vælger for hvert ord, om det skal stå, gøres bredere eller skjules, og I ser, hvad AI'en får, før I gemmer. For tabeller om personer viser GoalCube, hvem der skiller sig ud.

GoalCube er et værktøj, ikke juridisk rådgivning. Markeringen af ord gælder indtil videre kun dansk tekst. Den sker ud fra lister og mønstre og kan overse noget, så I skal selv tjekke det, AI'en ser.

Sådan gør I

Pseudonymisér, før data forlader jer.Navne, numre og e-mails bliver til koder, og nøglen bliver i EU.
Fjern det, der indirekte peger på en person.By, helbred, en unik titel eller "eneste kvindelige medarbejder" kan afsløre mere end et navn.
Begræns, hvad AI-leverandøren må.Brug en erhvervsaftale, hvor jeres data ikke bruges til træning, og hvor leverandøren ikke må forsøge at genkende personer.
Oplys de registrerede.Skriv i jeres privatlivspolitik, at en AI-tjeneste modtager pseudonymiserede oplysninger.
Dokumentér vurderingen.Skriv kort ned, hvorfor modtageren ikke realistisk kan finde personerne.

Det siger loven

EU-Domstolen, sag C-413/23 P (EDPS mod SRB), 4. september 2025: Om pseudonymiserede data er persondata for modtageren, afhænger af modtagerens realistiske muligheder for at identificere.
GDPR artikel 4, nr. 5 – pseudonymisering: Data, der ikke kan henføres til en person uden supplerende oplysninger, som opbevares separat.
GDPR betragtning 26: Alle midler, der med rimelighed kan tænkes brugt til at identificere en person, skal tages i betragtning.
GDPR artikel 13 og 14 – oplysningspligt: De registrerede skal have at vide, hvem der modtager deres oplysninger.

Spørgsmål og svar

Betyder dommen, at vi frit må sende pseudonymiserede data til en AI?

Nej. For jer er data stadig persondata, så I skal have et lovligt grundlag, oplyse de registrerede og have styr på overførsler. Dommen kan betyde, at data ikke er persondata for AI-leverandøren – hvis leverandøren realistisk ikke kan finde personerne.

Er pseudonymisering det samme som anonymisering efter dommen?

Nej. Data er kun anonyme, hvis ingen – heller ikke I – kan finde personen igen. Pseudonymiserede data er stadig persondata for den, der har nøglen.

Hvornår kan AI-leverandøren alligevel finde personen?

Hvis teksten indeholder nok indirekte oplysninger, fx en by, en sjælden titel, en sygdom og en dato. Derfor er det ikke nok at fjerne navne og numre.

Hvad siger datatilsynene?

Det Europæiske Databeskyttelsesråd (EDPB) har vedtaget retningslinjer om pseudonymisering. Rådet har haft en strengere linje end Domstolen, så følg med i, hvordan tilsynene bruger dommen.

Hvad gør GoalCube?

GoalCube pseudonymiserer i EU, før jeres AI får data. GoalCube finder navne, e-mails og numre, gør byer til regioner og markerer ord om fx helbred og fagforening, så I selv kan vælge, hvad AI'en ser. Markeringen gælder indtil videre kun dansk tekst, sker ud fra lister og mønstre og kan overse noget.

Kilder

Skrevet af GoalCubes redaktion. Senest opdateret 21. oktober 2026. GoalCube hjælper jer med at følge AI Act og GDPR. Det er ikke juridisk rådgivning.

Vær blandt de første.

Vi forventer at gå i luften i november 2026. Skriv jer op, så hører I fra os, når I kan komme i gang.