Som forskere behandler vi også ofte personopplysninger i pseudonymisert form. Pseudonymiserte personopplysninger, er opplysninger hvor man har erstattet navn og andre personentydige kjennetegn med et pseudonym. Dette pseudonymet kan for eksempel være et nummer, fiktivt navn eller lignende, som viser til en atskilt liste med de direkte identifiserbare personopplysningene. En slik liste med informasjon om hvilket pseudonym som tilhører hvilken person kalles en koblingsnøkkel. Koblingsnøkkelen oppbevares adskilt fra datamaterialet og på et sikkert sted. Hvordan koblingsnøkkelen skal oppbevares kommer vi tilbake til i modul 3.

Pseudonyme personopplysninger omtales også som avidentifiserte personopplysninger og utgjør et sentralt sikkerhetstiltak når man forsker med personopplysninger ved at det ikke er mulig å direkte identifisere enkeltpersoner i datamaterialet.

GDPR artikkel 4 definerer pseudonymisering som “behandling på en slik måte at personopplysningene ikke lenger kan knyttes til en bestemt registrert uten bruk av tilleggsopplysninger, forutsatt at nevnte tilleggsopplysninger lagres atskilt og omfattes av tekniske og organisatoriske tiltak som sikrer at personopplysningene ikke kan knyttes til en identifisert eller identifiserbar fysisk person.”

I denne definisjonen kan vi først legge merke til at pseudonymisering krever bruk av tilleggsopplysninger for at man skal kunne knytte personopplysningene til en bestemt person. Det stilles også krav om at tilleggsopplysningene lagres adskilt fra selve datamaterialet. Årsaken til dette er at tilleggsopplysningene er nøkkelen som kan koble opplysninger til bestemte personer. På samme måte som at man ikke oppbevarer bankkort og koden til dette på samme sted, vil man heller ikke lagre tilleggsopplysninger sammen med datamaterialet. Det vil stilles større krav til hvor sikkert tilleggsopplysningene må lagres jo mer sensitive personopplysningene er.

GDPR gjelder også for pseudonymiserte opplysninger. Dette betyr at hvis vi for eksempel får utlevert personopplysninger fra et register og registereieren har fjernet alle navn og erstattet disse med et ID-nummer, er fortsatt opplysningene å regne som personopplysninger, selv om vi ikke har mulighet til å knytte opplysningene til bestemte personer. Det er nok at noen andre – i dette tilfellet registereieren – har denne muligheten.

Opplysninger som er "anonyme på forskers hånd", det vil si opplysninger hvor forskere ikke har tilgang til de identifiserende opplysningene, regnes derfor som personopplysninger.

Det kan virke noe uhensiktsmessig med pseudonymisering når GDPR likevel gjelder også for disse opplysningene. Pseudonymisering er imidlertid et godt tiltak for å minimere risikoen for forskningsdeltagerne. Skulle det for eksempel skje en datalekkasje slik at opplysninger kommer på avveie, vil det være vanskeligere for uvedkommende å knytte opplysningene til bestemte personer. Dermed utgjør pseudonymisering et godt og viktig tiltak for å ivareta personvernet.

Dette betyr at man bør tilstrebe pseudonymisering der det er mulig. Måten man gjør pseudonymiseringen på vil variere mellom ulike datatyper. I eksempelet med registeret like over, kan man erstatte navn og andre personentydige kjennetegn med et ID-nummer. Har vi for eksempel lyd- eller videoopptak bør disse transkriberes hvor vi samtidig bytter ut personentydige kjennetegn med for eksempel fiktive navn (eller et ID-nummer).