En ny dom från EU-domstolen skulle kunna bli vägledande för gränsdragningen av vad som klassas som personuppgifter. Under SND:s juristnätverksträff den 19–20 november diskuterades huruvida domen signalerar ett möjligt skifte från en strikt tolkning av begreppet personuppgifter till en mer nyanserad och kontextbunden bedömning – något som i förlängningen skulle kunna få betydelse för forskningen.
Kontext blir viktigare än kodnyckel?
I målet C-413/23 P öppnar EU-domstolen upp för att bedömningen huruvida data ska klassas som personuppgifter måste göras i sin kontext. Det räcker alltså inte att endast titta på om det finns en kodnyckel i någon ände. I stället betonas hur realistiska möjligheterna till identifiering är för just den aktör som hanterar informationen med användning av kompletterande information.
Domstolen framhåller därmed att pseudonymiserade uppgifter kan vara personuppgifter för den som har tillgång till kodnyckeln, men samtidigt kan bedömas som anonyma för någon som saknar både praktiska och rättsliga möjligheter att återidentifiera individer. De praktiska och rättsliga möjligheterna omfattar alla medel som står till buds, såsom tekniska, rättsliga och organisatoriska hjälpmedel eller andra kompletterande uppgifter som finns till förfogande. Detta innebär potentiellt att en mer nyanserad, situationsbunden prövning krävs för att bedöma om en uppgift utgör en personuppgift eller inte.
Växande diskussion
Domen har bidragit till diskussion kring hur personuppgifter och risken för identifierbarhet i data ska bedömas. En del bedömare menar att den skulle kunna öppna för att vissa pseudonymiserade material i framtiden bedöms som anonyma för en mottagare som saknar realistiska vägar till återidentifiering av forskningspersoner i data. Andra tolkar resonemanget restriktivt och menar att domstolen snarare tydliggör hur strikt prövningen måste vara.
Hur domen ska tolkas i praktiken är ännu oklart och alla frågor är inte heller avgjorda eftersom en fråga har återförvisats till domstolen som fattade det ursprungliga beslutet. Integritetsskyddsmyndigheten, IMY, avvaktar att yttra sig om domen och inväntar vägledning från Europeiska dataskyddsstyrelsen (EDPB) som så sent som i december 2025 anordnade ett intressentmöte kring målet (se diskussionspunkter från mötet). Mötet har ännu inte resulterat i något tydlig ställningstagande och i väntan på kommande vägledning är rättsläget därför något oklart, vilket innebär befintliga rutiner gällande personuppgifter inte bör ändras.