Iconfirm sin løsning for pseudonymisering og splittet behandling
Effektive sikkerhetstiltak for behandling av personopplysninger i tredjeland
Mange land har ikke de samme grunnleggende rettighetene for personvern som i Europa. Overføring av personopplysninger til disse landene er derfor ulovlig uten ekstra garantier og sikkerhetstiltak.
I juli 2020 avsa EU-domstolen en prinsipielt viktig dom om overføring av personopplysninger ut av EU/EØS til tredjeland – kalt Schrems II-dommen. Dommen slår fast at europeiske borgeres personopplysninger skal gis et tilsvarende beskyttelsesnivå som under GDPR, uansett hvor de behandles.
For å overholde kravene til overføring av personopplysninger må organisasjoner vurdere overføringsmekanismene sine nøye. Eksempler på godkjente mekanismer er bindende virksomhetsregler og EU-standardkontrakter (SCC), eventuelt kombinert med supplerende tiltak.
De fleste bedrifter og organisasjoner bruker løsninger som er basert på skyløsninger med underdatabehandlere lokalisert i tredjeland – svært ofte i USA. Microsoft Azure, Office 365, Google Analytics, Facebook og Amazon Web Services (AWS) er bare noen eksempler. Mange slike løsninger oppfyller ikke overføringskravene i GDPR uten supplerende tiltak.
Iconfirm har løsningen
Iconfirm hjelper både dataeksportører og dataimportører med å etterleve EDPBs retningslinjer. Løsningen støtter EDPBs seks-trinns veikart for overføringer til tredjeland, og gir praktiske verktøy for dokumentasjon, leverandørstyring og tekniske sikkerhetstiltak.
Pseudonymisering som supplerende sikkerhetstiltak
Et sentralt element i Iconfirms løsning er pseudonymisering – et teknisk sikkerhetstiltak som EDPB, Datatilsynet og EU-domstolen alle anerkjenner som et godt virkemiddel ved overføring av personopplysninger til tredjeland.
Hva er pseudonymisering?
Pseudonymisering innebærer at personopplysninger behandles slik at de ikke lenger kan knyttes til en bestemt person uten bruk av tilleggsinformasjon (en identifikasjonsnøkkel). I praksis erstattes direkte identifiserende opplysninger med en referanse – for eksempel byttes navn og adresse ut med en ugjenkjennelig ID som c5bc661a-17cc-4bb9-9e6d-e1bae5560fb0.
Identifikasjonsnøkkelen holdes separat fra datasettet og kun behandlingsansvarlig har tilgang til å koble referansen tilbake til en konkret person. Resultatet er at en tredjepart – for eksempel en leverandør som behandler data i USA – aldri ser de faktiske personopplysningene.
Hvorfor er dette relevant for Schrems II?
EDPB peker i Recommendations 01/2020 på pseudonymisering som et av de tekniske tiltakene som kan sikre personopplysninger ved overføring til tredjeland. Datatilsynet beskriver korrekt pseudonymisering – der kun den behandlingsansvarlige har tilgang til identifikasjonsnøkkelen – som et godt supplerende sikkerhetstiltak. EU-domstolen bekreftet dette senest i dommen EDPS v. SRB (4. september 2025).
Iconfirms pseudonymiseringsløsning er nettopp den typen løsning Datatilsynet beskriver: virksomheten beholder nøkkelen, databehandlerne i tredjeland ser kun referansen.
Trygg bruk av tjenester i USA
Per i dag er overføring av personopplysninger til USA lovlig uten ytterligere tiltak, så lenge mottaker er sertifisert under EU–US Data Privacy Framework (DPF).
Likevel er det grunn til å planlegge for det uventede. Datatilsynet råder virksomheter til å ha en exit-strategi dersom overføringsgrunnlaget plutselig faller bort – og advarer om at det trolig ikke vil komme noen lang overgangsperiode. Pseudonymisering gir en ekstra sikkerhetsmargin og reduserer avhengigheten av politiske og rettslige svingninger.
Pseudonymisering åpner også for videre bruk av data internt
Et tilleggsaspekt mange overser: pseudonymisering gir virksomheten større fleksibilitet til å bruke personopplysninger til nye interne formål, som analyse, innsiktsarbeid og tjenesteutvikling.
GDPR artikkel 6.4 e fastslår at pseudonymisering kan fungere som en «egnet garanti» i kompatibilitetsvurderingen for videre behandling. I praksis betyr dette at data kan deles og brukes bredere internt – uten at identiteten til enkeltpersoner gjøres tilgjengelig for alle som jobber med dataene.
Slik fungerer Iconfirms løsning i praksis
Iconfirm integreres med virksomhetens fagsystemer via åpne APIer og adaptere. Prosessen følger disse stegene:
- Kartlegging – dataflyt og overføringer identifiseres, og det avklares hvor Iconfirm best integreres
- Systemregistrering – relevante systemer og mottakere registreres, databehandleravtaler og behandlingsprotokoller dokumenteres
- Integrasjon – Iconfirm kobles til fagsystemet; kun referanse/ID overføres til systemer utenfor EU/EØS, mens personidentifikatorer lagres i EU. Dette sikrer også splittet behandling mellom flere databehandlere.
- Konfigurasjon – behandlingsansvarlig styrer selv hvilke data som behandles hvor
- Iverksettelse – etter testing aktiveres de supplerende tiltakene
Ytterligere tiltak – løsningen støtter også informasjonsplikten overfor registrerte, samtykkeinnhenting og håndtering av registrertes rettigheter
Om Iconfirm
Iconfirm er ledelsens styringsplattform for trygg styring av virksomhetens informasjon. Vi samler personvern, informasjonssikkerhet, informasjonsforvaltning og datadeling i én struktur – slik at etterlevelse, risiko og drift kan styres løpende, ikke bare rapporteres.
Schrems II-løsningen er én del av denne helheten. Den samme plattformen som gir ledelsen oversikt over databehandlere, risikovurderinger og behandlingsprotokoll, håndterer også de tekniske og dokumentasjonsmessige kravene ved overføring av personopplysninger til tredjeland.
Plattformen er utviklet i Norge, driftes i EU, og er bygget på teknologi fra Nordens ledende samhandlingsplattform innen privat helse – i bruk av ca. 1 300 sykehus og klinikker og 30 forsikringsselskap. Sikkerheten er designet i tråd med «Norm for informasjonssikkerhet og personvern i helse- og omsorgssektoren».
