Euroopan tietosuojaneuvosto (EDPB) julkaisi 8.7.2026 luonnoksen uusiksi anonymisointia koskeviksi ohjeiksi (Guidelines 02/2026 on Anonymisation). Ohjeluonnos on parhaillaan julkisessa kuulemisessa, joka päättyy 30.10.2026. Ohjeiden tarkoituksena on täsmentää, milloin tietoja voidaan pitää aidosti anonymisoituina siten, etteivät ne enää kuulu GDPR:n soveltamisalaan.
Kysymys on käytännössä merkittävä kaikille dataa käsitteleville organisaatioille ja erityisesti niille, jotka haluavat jakaa tai luovuttaa dataa ilman, että tietojen vastaanottajan käsittelyyn sovelletaan henkilötietojen suojaa koskevaa sääntelyä. Onnistuneella anonymisoinnilla voidaan pienentää henkilötietojen käsittelyyn liittyviä tietosuojariskejä ja mahdollistaa datan hyödyntäminen ja jakaminen tilanteissa, joissa GDPR:n vaatimuksia ei enää sovelleta.
Anonymisointi ei ole sama asia kuin tunnisteiden poistaminen
GDPR:n mukaan tietoja pidetään anonyymeinä, jos ne eivät liity tunnistettuun tai tunnistettavissa olevaan luonnolliseen henkilöön. Arviointi ei kuitenkaan rajoitu siihen, sisältääkö aineisto nimiä, henkilötunnuksia tai muita suoria tunnisteita. Myös tieto, josta tällaiset tunnisteet on poistettu, voi edelleen olla henkilötietoa, jos henkilö on tunnistettavissa muiden tietojen perusteella.
Ovatko tiedot anonyymeja – kaksi keskeistä kysymystä
Ohjeluonnoksen mukaan anonymiteetin arviointi perustuu kahteen peruskysymykseen. Jos vastaus jompaankumpaan kysymykseen on kielteinen, tietoja voidaan pitää anonyymeinä.
Liittyykö tieto luonnolliseen henkilöön?
Tieto voi liittyä luonnolliseen henkilöön sen sisällön, käyttötarkoituksen tai vaikutuksen perusteella. Esimerkiksi henkilön terveydentilaa koskeva tieto liittyy henkilöön sisältönsä vuoksi. Asunnon arvoa koskeva tieto voi puolestaan liittyä omistajaan käyttötarkoituksensa vuoksi, jos tietoa käytetään esimerkiksi omistajan verotuksen määrittämiseen. Tieto voi liittyä henkilöön myös vaikutuksensa vuoksi, jos sen käsittely vaikuttaa henkilön oikeuksiin, etuihin tai kohteluun. Esimerkiksi jos taksien sijaintitietoja käytetään reittien optimoinnin lisäksi kuljettajien työskentelyn seurantaan tiedon käsittely voi vaikuttaa kuljettajien asemaan ja liittyä siten luonnolliseen henkilöön vaikutuksensa perusteella
Onko kyseinen henkilö tunnistettu tai tunnistettavissa?
Keskeinen osa ohjeluonnosta koskee tunnistettavuuden arviointia. GDPR:n johdanto-osan 26 mukaan arvioinnissa on otettava huomioon kaikki keinot, joita voidaan kohtuudella olettaa käytettävän henkilön tunnistamiseen. EDPB tarkentaa, että arvioinnissa ei tule keskittyä pelkästään teoreettisiin mahdollisuuksiin, vaan käytännössä käytettävissä oleviin keinoihin.
Ohjeiden mukaan henkilö voi olla tunnistettavissa, vaikka tunnistamiseen tarvittavat tiedot tai keinot olisivat hajautuneet eri toimijoille. Ratkaisevaa on, voidaanko nämä tiedot tai keinot yhdistää toisiinsa sellaisten menetelmien avulla, joita voidaan kyseisissä olosuhteissa kohtuudella olettaa käytettävän.
Esimerkkinä voidaan ajatella tilannetta, jossa yrityksellä A on hallussaan aineisto, jossa henkilöt on korvattu yksilöllisillä tunnisteilla. Yhdistämisavain on yrityksen B hallussa, ja yrityksellä C on muita tietoja, joiden avulla aineistossa oleva henkilö voitaisiin tunnistaa. Vaikka mikään yksittäinen tietoaineisto ei mahdollista henkilön tunnistamista, tiedot voivat yhdessä mahdollistaa tunnistamisen, jos niiden yhdistäminen on kyseisissä olosuhteissa kohtuudella todennäköistä. Jos tarvittavien tietojen yhdistäminen puolestaan edellyttäisi epätavallisia, merkittäviä kustannuksia aiheuttavia tai teknisesti hyvin vaativia toimenpiteitä eikä toimijoiden välillä olisi realistista yhteyttä, voisi olla perusteltua katsoa, ettei tunnistamista voida pitää kohtuudella todennäköisenä.
Sama aineisto voi johtaa eri lopputulokseen eri toimijoiden osalta
Yksi ohjeluonnoksen keskeisistä viesteistä on, että anonymiteettia arvioidaan sen toimijan näkökulmasta, jonka osalta arviointi tehdään. Tästä voi seurata, että sama tietoaineisto on vastaanottajan näkökulmasta anonyymiä, jos vastaanottaja ei pysty tunnistamaan henkilöitä keinoilla, joita sen voidaan kyseisissä olosuhteissa kohtuudella olettaa käyttävän. Luovuttavan organisaation näkökulmasta sama aineisto voi kuitenkin edelleen olla henkilötietoa, jos sillä on käytettävissään lisätietoja tai muita tunnistamisen mahdollistavia keinoja.
Käytännössä tämä voi olla merkityksellistä esimerkiksi tutkimushankkeissa, analytiikkapalveluissa, datan jakamisessa ja tekoälyn kehittämisessä, joissa datan luovuttajalla ja vastaanottajalla voi olla käytettävissään erilaiset tiedot ja mahdollisuudet yhdistää aineistoa muihin tietolähteisiin. Tämä on erityisen merkityksellistä pseudonymisoidun datan kohdalla. Esimerkiksi jos organisaatio A pseudonymisoi henkilötietoaineiston ja säilyttää yhdistämisavaimen itsellään, aineisto on A:n näkökulmasta edelleen henkilötietoa. Jos aineisto luovutetaan organisaatio B:lle, jolla ei ole pääsyä yhdistämisavaimeen eikä muita keinoja, joita sen voidaan kyseisissä olosuhteissa kohtuudella olettaa käyttävän henkilöiden tunnistamiseen, sama aineisto voi kuitenkin olla B:n näkökulmasta anonyymiä. Pseudonymisointi ei siis itsessään tee aineistosta anonyymiä, vaan ratkaisevaa on myös se, voidaanko henkilöt tunnistaa vastaanottajan käytettävissä olevien ja kohtuudella käytettävien keinojen avulla.
Entä pseudonymisointi?
Pseudonymisoinnin ja anonymisoinnin välistä suhdetta pyritään selkeyttämään myös EU:n Digital Omnibus -ehdotuksessa. Komissio ehdottaa, että pseudonymisoituja tietoja ei automaattisesti pidettäisi henkilötietoina kaikkien toimijoiden näkökulmasta. Ehdotus on kuitenkin edelleen lainsäädäntöprosessissa, ja sen sisältö voi vielä muuttua.[1]
Käsittelijän käsittelemä henkilötieto?
Toimijakohtaista arviointia ei kuitenkaan tule ymmärtää siten, että henkilötietojen käsittelijän hallussa oleva data muuttuisi automaattisesti anonyymiksi, jos käsittelijä ei itse pysty tunnistamaan henkilöitä. EDPB:n mukaan silloin, kun toimija käsittelee tietoja rekisterinpitäjän puolesta, tiedot on käsittelijän käsittelyssä lähtökohtaisesti katsottava henkilötiedoiksi, jos ne ovat henkilötietoja rekisterinpitäjälle.
Kolme tunnistettavuuden arviointikriteeriä
Kun on ensin arvioitu, liittyvätkö tiedot luonnolliseen henkilöön ja onko henkilö tunnistettu tai tunnistettavissa, tunnistettavuutta on tarkasteltava lähemmin kyseisen toimijan näkökulmasta. Tällöin arvioidaan erityisesti, voidaanko tietoaineistosta erottaa yksittäinen henkilö, voidaanko aineisto yhdistää muihin tietoaineistoihin tai voidaanko siitä tehdä yksittäistä henkilöä koskevia merkityksellisiä päätelmiä. Ohjeluonnoksessa tunnistettavuuden arviointia jäsennetään kolmen kriteerin avulla:
1) No record isolation (ei yksilöitävyyttä): Aineistosta ei voida erottaa yksittäistä henkilöä hänelle ominaisen tai yksilöllisen tietoyhdistelmän perusteella. Pelkkä nimien poistaminen ei siten välttämättä riitä, jos henkilö voidaan edelleen yksilöidä muiden tietojen avulla.
2) No linkage (ei yhdistettävyyttä): Tietoja ei voida yhdistää muissa tietoaineistoissa oleviin samaa henkilöä koskeviin tietoihin sellaisin keinoin, joita voidaan kohtuudella todennäköisesti olettaa käytettävän. Esimerkiksi asiakastietokanta, josta nimet on poistettu, ei välttämättä ole anonyymi: jos syntymävuosi, sukupuoli ja kotikaupunki voidaan yhdistää toiseen aineistoon, jossa samat tiedot on liitetty henkilöiden nimiin, asiakkaat voivat silti olla tunnistettavissa.
3) No inference (ei pääteltävyyttä): Aineistosta ei voida tehdä henkilöä koskevia yksilöityjä ja merkityksellisiä päätelmiä. Esimerkiksi aggregoidusta asiakasaineistosta julkaistu tilasto voi tietyissä olosuhteissa mahdollistaa henkilön diagnoosin päättelemisen, jos tiedetään, että henkilö kuuluu tiettyyn tilastossa yksilöityyn ryhmään.
Yhden anonymisointikriteerin täyttymättä jääminen ei automaattisesti tarkoita, että tiedot ovat henkilötietoja. Arviointi on tehtävä tapauskohtaisesti sen perusteella, voidaanko henkilöt kyseisissä olosuhteissa tosiasiallisesti tunnistaa.
Mitä ohjeluonnoksesta seuraa käytännössä?
- Toimijakohtaisuus: Ohjeluonnoksen keskeinen viesti on, että anonymisointia ei voida arvioida pelkästään tarkastelemalla, mitä tietoja aineistossa on jäljellä. Arvioinnissa on huomioitava myös se, kenellä tiedot ovat, mitä muita tietoja kyseisellä toimijalla on käytettävissään ja millaisia tunnistamiskeinoja voidaan objektiivisesti arvioiden pitää kohtuudella käytettävinä.
- Dokumentointi: Organisaation tulisi pystyä perustelemaan, miksi henkilön tunnistaminen ei ole kyseisessä tilanteessa kohtuudella todennäköistä. Arvioinnissa on syytä dokumentoida ainakin käytetty anonymisointimenetelmä, aineistoon jätetyt tiedot, vastaanottajan käytettävissä olevat lisätiedot sekä tunnistamiseen liittyvien riskien arviointi. Erityisen tärkeää tämä on silloin, kun anonymisoitua tai anonymisoitavaksi tarkoitettua dataa luovutetaan toiselle toimijalle. Organisaation tulisi tällöin arvioida myös vastaanottajan mahdollisuuksia tunnistaa henkilöitä sekä sitä, mitä muita tietoja ja tunnistamiskeinoja vastaanottajalla on käytettävissään. Jos anonymiteetti perustuu esimerkiksi siihen, ettei vastaanottajalla ole pääsyä yhdistämisavaimeen tai muuhun tunnistamisen mahdollistavaan lisätietoon, arvioinnissa on otettava huomioon myös se, onko vastaanottajalla tosiasiallisesti muita keinoja hankkia tällaisia tietoja tai yhdistää niitä muihin tietoaineistoihin.
- Sopimusehdot: Myös sopimusehdoilla voi olla merkitystä arvioitaessa, mitä tunnistamiskeinoja vastaanottajan voidaan kohtuudella olettaa käyttävän. Sopimusehtojen merkitys ei kuitenkaan ole itsenäinen, vaan EDPB:n mukaan niitä tulisi käyttää teknisten toimenpiteiden täydentämiseen. Pelkkä sopimuksellinen kielto tunnistaa henkilöitä ei siten välttämättä riitä, jos vastaanottajalla on tosiasiallisesti helposti käytettävissään tekniset keinot henkilön tunnistamiseen.
- Läpinäkyvyys: Anonymisointiprosessiin liittyy myös läpinäkyvyysvaatimuksia. Jos henkilötietoja käsitellään anonymisoidun datan tuottamiseksi, tästä käsittelystä tulee lähtökohtaisesti informoida rekisteröityjä tietosuojaselosteessa. Jos anonymisointi toteutetaan ilman alkuperäisten henkilötietojen poistamista, alkuperäisten henkilötietojen säilyttämiseen ja muuhun käsittelyyn sovelletaan edelleen tietosuoja-asetusta.
- Muuttuva anonymiteetti: Lisäksi on syytä muistaa, että anonymiteetti ei välttämättä ole pysyvä tila. Teknologian kehitys, uusien tietolähteiden syntyminen tai muuttuneet käyttöolosuhteet voivat vaikuttaa siihen, voidaanko tietoja edelleen pitää anonymisoituina.
[1] Ehdotus on kuitenkin edelleen lainsäädäntöprosessissa, ja sen sisältö voi vielä muuttua.