Tekniker för dataanonymisering förklarade med exempel

De viktigaste teknikerna för dataanonymisering är maskering, generalisering, aggregering, brus, omkastning, tokenisering, pseudonymisering och hashning, plus två sätt att mäta resultatet: k-anonymitet och differential privacy. Ingen av dem räcker på egen hand. Europeiska tillsynsmyndigheter säger att varje teknik medför en viss risk för återidentifiering och att resultatet räknas som anonymt endast när ingen med rimliga medel kan ta reda på vem en post handlar om.

Testet som alla tekniker bedöms mot

Enligt GDPR och UK GDPR faller anonym information utanför dataskyddslagstiftningen, medan personuppgifter omfattas av den. Skäl 26 drar gränsen: man ska beakta alla medel ”som rimligen kan komma att användas”, till exempel urskiljning, för att identifiera någon direkt eller indirekt. I samma skäl anges att pseudonymiserade uppgifter som kan knytas till en person med hjälp av ytterligare information fortfarande handlar om en identifierbar person.

De dåvarande dataskyddsmyndigheterna i EU, artikel 29-arbetsgruppen, omvandlade detta till tre frågor i sitt yttrande 05/2014 om anonymiseringstekniker (WP216). Kan någon fortfarande urskilja en viss person? Koppla samman två poster om samma person? Dra slutsatser om något som rör en person? Yttrandet drar slutsatsen att varje teknik som granskas misslyckas med minst en av dessa frågor i vissa situationer, vilket är anledningen till att tekniker kombineras. Den brittiska tillsynsmyndighetens vägledning om anonymisering och pseudonymisering, publicerad den 28 mars 2025, utgår från samma riskbaserade synsätt.

Om du först behöver veta skillnaden mellan anonymisering, pseudonymisering och maskering ska du börja med vilket alternativ du behöver för AI. Den här artikeln handlar om de enskilda teknikerna.

Exempelposten

Alla exempel nedan utgår från samma påhittade post i en HR-akt:

Anna Kowalski, born 12.03.1989 (37), 14 Elm Street, Leeds,
anna.kowalski@example.com, staff nurse, 12 days of sick leave

Tekniker som tar bort eller suddar ut värden

Maskering och borttagning

Maskering döljer en del av ett värde; borttagning raderar värdet, kolumnen eller hela posten.

A***** K*******, born **.**.1989, [address removed], staff nurse

Det skyddar mot direkt identifiering. Det förstör allt som kräver det borttagna värdet, och det går inte att återskapa värdet från resultatet. Det som blir kvar kan ändå peka ut Anna: det är inte svårt att hitta en sjuksköterska född 1989 på en liten avdelning. Maskering ensam gör sällan uppgifter anonyma.

Generalisering

Generalisering ersätter ett exakt värde med ett bredare.

age 37 → 30-39; 14 Elm Street, Leeds → Leeds; staff nurse → healthcare worker

Det skyddar mot att en person urskiljs genom att få många människor att se likadana ut. Det försämrar precisionen: du kan inte längre säga vem som är äldre. Det går inte att återskapa uppgiften. Om resultatet är anonymt beror på hur många personer som delar varje kombination, vilket k-anonymitet mäter (se nedan).

Aggregering

Aggregering publicerar summor eller genomsnitt i stället för enskilda rader.

Ward 4, 2025: 23 nurses, average sick leave 9.4 days

Den skyddar individer så länge varje grupp är stor. Den omöjliggör alla frågor om en enskild person. Om en grupp består av en eller två personer avslöjar genomsnittet individens värde, så små grupper utesluts vanligtvis.

Brus (störning)

Brus ändrar värden lite grann på slumpmässiga sätt.

age 37 → 39; sick leave 12 days → 10 days

Det håller statistiken ungefär korrekt samtidigt som varje enskilt värde blir opålitligt. Exakta siffror går förlorade. WP216 varnar för att brus inte är en fristående anonymiseringsmetod om bruset inte överväger informationen: en avvikare, till exempel den enda personen med 90 dagars ledighet, förblir igenkännbar.

Värdebyte (permutation)

Värdebyte innebär att värden byts mellan poster, så att varje kolumn behåller sina totalsummor men raderna inte längre hör till en och samma person.

Anna's 12 days of leave ↔ another nurse's 3 days

Det skyddar mot att koppla ett värde till en person. Det bryter sambanden mellan kolumnerna, och WP216 visar att metoden misslyckas när de utbytta värdena kan kopplas till andra kolumner: en chefs lön som flyttas till en junior befattning sticker ut.

Tekniker som ersätter identifierare

Tokenisering

Tokenisering ersätter en identifierare med en slumpmässig token och förvarar kopplingen i en separat, skyddad tabell.

anna.kowalski@example.com → TKN-8F3K2Q

ICO påpekar att en slumpmässig token inte har något matematiskt samband med originalet, så tokenen ensam avslöjar ingenting. Den kan återställas av den som har tabellen, och därför är resultatet fortfarande personuppgifter för den personen.

Pseudonymisering med konsekventa platshållare

Varje person, företag eller adress får en läsbar platshållare, och samma värde får alltid samma platshållare.

Person_1, born [Date_1], [Address_1], staff nurse.
Person_1 asked Person_2 to approve the leave.

Det döljer direkta identifierare och gör det fortfarande möjligt att följa vem som gjorde vad, vilket är viktigt i text. Dokumentets logik bevaras. Metoden kan återställas med hjälp av mappningen, och enligt skäl 26 är uppgifterna fortfarande personuppgifter. Mer information om frågan om vem som har nyckeln finns i vår artikel om huruvida pseudonymiserade uppgifter fortfarande är personuppgifter.

Hashning

Hashning kör ett värde genom en envägsfunktion och sparar resultatet.

anna.kowalski@example.com → 3f9a…c71e (SHA-256)

Det ser oåterkalleligt ut, men för namn och e-postadresser är det ofta inte det. Den som har en lista över troliga värden kan hasha vart och ett och jämföra resultaten: det finns bara ett begränsat antal namn på anställda eller företagsadresser. WP216 tar upp detta i fråga om kända indataområden, och ICO avråder från hashning utan salt, pepper eller nyckel, och från föråldrade algoritmer som MD5 och SHA-1, eftersom de är sårbara för brute force-attacker. En nycklad hashning är pseudonymisering; en vanlig hash av en e-postadress är knappt det.

k-anonymitet och differential privacy

Det här är inte metoder för att ändra ett värde. De används för att kontrollera eller garantera hur väl en hel datamängd är skyddad.

k-anonymitet innebär att varje kombination av identifierande egenskaper (åldersgrupp, ort, yrke) delas av minst k poster. Med k = 5 döljer sig Anna bland minst fem personer som ser likadana ut. Det stoppar inte slutsatser: om alla fem vårdanställda i åldern 30–39 år i Leeds hade mer än tio dagars ledighet, får du veta det om Anna. l-diversitet lägger till en regel om att varje grupp måste innehålla minst l olika värden för den känsliga egenskapen.

Differentiell integritet gäller svar snarare än rader. Brus läggs till i varje publicerad statistikuppgift, med en nivå som gör att svaret knappt förändras oavsett om en viss person finns med i data eller inte. Skyddsnivån bestäms av en parameter, och starkare skydd innebär mindre exakta siffror. USA:s Census Bureau använde metoden för 2020 års folkräkningsprodukter med undantag för delstatssummorna som användes för mandatfördelning. Metoden passar för statistik; den gör ingenting för ett dokument som någon behöver läsa.

För tabeller utför verktyg dessa mätningar åt dig. ARX, ett kostnadsfritt skrivbordsverktyg och Java-bibliotek med öppen källkod (Apache 2.0-licens, version 3.9.2 i oktober 2026), tillämpar generalisering, undertryckning och mikroaggregering på strukturerade data och kontrollerar resultatet mot k-anonymitet, l-diversitet, t-närhet och differentiell integritet. Det uppskattar också den återstående risken för återidentifiering. Det är utvecklat för datamängder som CSV-filer, Excel-ark och databastabeller, inte för avtal eller brev.

Alla tekniker sida vid sida

För de flesta rader står det ”beror på”, eftersom frågan om en datamängd är anonym avgörs för hela datamängden i sitt sammanhang, inte för varje teknik för sig. Om du planerar att publicera eller dela något som anonymt, fråga ditt dataskyddsombud eller en jurist med inriktning på dataskydd.

Vilka tekniker som passar för dokument du ger till AI

En datamängd för statistik och ett dokument för en AI-chattbot kräver motsatta saker. Statistik behöver många rader och inga enskilda personer; aggregering, generalisering, k-anonymitet och differentiell integritet är utformade för det. Ett avtal, en e-posttråd eller ett klagomålsbrev handlar om specifika personer, och AI:n måste kunna följa dem.

För dokument gör tre tekniker det mesta av jobbet:

• Pseudonymisering med konsekventa platshållare för namn, företag, adresser, e-postadresser och ID-nummer. Person_1 förblir Person_1 genom hela texten, så att AI:n kan se vem som skrev vad och vem som är skyldig vem. Svarta fält eller en enda ”[REDACTED]” suddar ut den informationen; se varför platshållare fungerar bättre.
• Generalisering av datum och platser som frågan inte behöver exakt: ”mars 2025” i stället för en viss dag, ”en stad i norra England” i stället för en gata.
• Undertryckning av sådant som frågan inte behöver alls, till exempel en hälsouppgift i ett dokument där du bara frågar om uppsägningstider.

Brus, värdebyte och differentiell integritet hör inte hemma här: om fakta i ett dokument ändras blir AI:ns svar fel. Hashning omvandlar namn till teckensträngar som ingen, inte ens AI:n, kan tolka i sitt sammanhang.

Resultatet är pseudonymiserat, så dataskyddsreglerna gäller fortfarande för dig. Det som förändras är vad som lämnar din dator. Om du väljer programvara för detta kan vår checklista över vad du bör leta efter i ett pseudonymiseringsverktyg hjälpa dig förstå vart uppgifterna tar vägen och hur namnen återställs.

Vanliga frågor

Vilken är den mest effektiva tekniken för dataanonymisering?

Det finns ingen enskild teknik. WP216 fann att alla tekniker som granskades brister i minst ett av de tre testerna i vissa situationer. För statistiska datamängder ger generalisering och undertryckning som mäts med k-anonymitet, eller differentiell integritet, de starkaste resultaten. För dokument som en AI måste läsa är pseudonymisering tillsammans med generalisering av datum och platser det praktiska valet, men det är inte anonymisering.

Räcker det att hasha en e-postadress för att anonymisera den?

Nej. E-postadresser följer förutsägbara mönster, så en angripare kan hasha en lista över troliga adresser och matcha resultaten. En nycklad hash eller en slumpmässig token är säkrare, men båda är fortfarande pseudonymisering, inte anonymisering.

Vad är dataanonymiseringsverktyg för tabeller?

ARX är ett kostnadsfritt exempel med öppen källkod: du läser in en CSV-fil, Excel-fil eller databastabell, anger regler för generalisering och undertryckning, väljer en integritetsmodell som k-anonymitet och får en rapport om den återstående risken. Sådana verktyg arbetar med kolumner och rader, inte med löpande text.

Omfattas anonymiserade uppgifter av GDPR?

Verkligt anonyma uppgifter omfattas inte, enligt skäl 26. Pseudonymiserade uppgifter gör det. Det svåra är att bevisa att ingen på rimliga sätt kan återidentifiera uppgifterna. Därför behandlar tillsynsmyndigheter anonymisering som en riskbedömning snarare än som ett enda steg.

ClientSafe pseudonymiserar dokument på din dator: det ersätter namn, företag, adresser, telefonnummer, e-postadresser, konto- och ID-nummer samt födelsedatum med platshållare som Person_1 och använder samma platshållare för samma namn i alla dokument i ett ärende. Identifieringen är inte perfekt, så granska listan innan du kopierar.