Pseudonymisering og maskering i rapporter og produktioner

Forside › Kvalitet og standarder · Gennemgået oktober 2026 · Af John Nielsen

Maskering fjerner oplysninger fra et dokument, og pseudonymisering erstatter dem med en kode, der kun kan kobles tilbage med en separat nøgle. Begge dele bruges, når en forensisk rapport eller en produktion skal deles uden at afsløre tredjeparter, kunder eller kolleger. Teknisk går det oftest galt de samme steder: tekstlag under sorte bokse, metadata, der overlever, og konteksten, der gør personen genkendelig alligevel.

De processuelle rammer for anonymisering af bilag er beskrevet i navneforbud og anonymisering af digitale bilag. Her handler det om, hvordan det gøres teknisk korrekt.

Tre begreber

Maskering · Oplysningen fjernes permanent fra den kopi, der deles. Der er ingen vej tilbage i kopien.
Pseudonymisering · Oplysningen erstattes med en konsekvent kode, fx Person A eller Konto 3. En nøgle, der opbevares adskilt, kobler koden til personen.
Anonymisering · Ingen kan med rimelige midler identificere personen, heller ikke med nøgle eller kontekst. Opnås sjældent i forensiske data.

I en forensisk rapport er pseudonymisering ofte det rigtige valg. Læseren skal kunne følge, at det er den samme person, der optræder i flere hændelser, uden at vide, hvem det er. Maskering uden koder gør det umuligt at følge sammenhængen.

Hvor navnene gemmer sig

En oplysning optræder sjældent kun ét sted i en fil. Ved maskering skal alle forekomster findes:

Synlig tekst og overskrifter, sidehoveder og sidefødder.
Tekstlaget i PDF’er, også i scannede dokumenter med OCR, hvor billedet og den søgbare tekst ligger hver for sig.
Kommentarer, sporede ændringer og skjult tekst i Office-dokumenter.
Dokumentegenskaber som forfatter, sidst gemt af, firma og skabelon. Se metadata i Office-filer.
Skjulte ark, rækker, kolonner og navngivne områder i regneark. Se Excel i undersøgelser.
Filnavne og stier, som ofte indeholder brugernavne, fx en sti gennem brugerens profilmappe.
Mailheadere, med afsender, modtagere, visningsnavne og Message-ID, der kan indeholde domæne eller værtsnavn.
Billedmetadata, med kameraejer, GPS-position og software.
Logdata, med brugernavne, IP-adresser, enhedsnavne og e-mailadresser i fritekstfelter.

Teknikker

Billedbaseret maskering

Den sikreste metode til dokumenter er at gengive dem som billeder, brænde maskeringen ind i billedet og danne en ny tekstfil ud fra det maskerede billede. Så findes der ingen underliggende tekst. Ulempen er, at dokumentet mister sin struktur. Til regneark og databaser er metoden ofte uegnet.

Maskering i PDF

PDF-værktøjer med en egentlig maskeringsfunktion fjerner både tekst og billedindhold under det markerede område og kan rense metadata. En sort rektangel tegnet med et almindeligt kommenteringsværktøj fjerner intet; teksten kan kopieres eller søges frem. Efter maskering bør dokumentet kontrolleres ved at søge efter det maskerede ord og kopiere hele teksten ud.

Strukturerede data

For logs, regneark og databaseudtræk er erstatning af værdier mere hensigtsmæssig. Hver unik værdi erstattes med en konsekvent kode via en opslagstabel. Tidspunkter, hændelsestyper og tekniske felter bevares. Alle forekomster skal erstattes, også i fritekstfelter, hvor et brugernavn kan stå midt i en sætning.

Hashing som pseudonym

At erstatte et navn med dets hashværdi lyder sikkert, men er det ikke. Er mængden af mulige værdier lille, fx medarbejdernes e-mailadresser, kan enhver beregne hashværdien af hver adresse og finde match. Brug tilfældige koder eller en hashfunktion med en hemmelig nøgle, og opbevar nøglen adskilt.

Billeder, skærmbilleder og video

Ansigter, nummerplader, navneskilte og skærmindhold i baggrunden kan identificere personer. Sløring med lav styrke kan i nogle tilfælde delvist genskabes, og en pixelering af tekst kan være læsbar, hvis skriften er kendt. Brug helt dækkende felter, og fjern samtidig billedets metadata, herunder miniaturer, som nogle formater gemmer separat og som stadig kan vise det oprindelige motiv. For video gælder det samme for hvert billede, og lydsporet kan indeholde navne, der også skal fjernes.

Rapportens egen tekst

Pseudonymer bør fastlægges, før rapporten skrives, og bruges konsekvent fra første udkast. At erstatte navne i et færdigt dokument med søg og erstat er risikabelt: bøjningsformer, forkortelser, initialer og e-mailadresser overses let, og et navn kan stå i en figur, en tabeloverskrift eller et bilagsnavn, som funktionen ikke rammer. En liste over pseudonymer i et internt bilag, der ikke udleveres, gør det lettere at kontrollere og at holde den samme kode på tværs af flere rapporter i samme sag.

Genkendelighed gennem konteksten

Et navn kan være fjernet, mens personen stadig er let at genkende: den eneste i en afdeling, den eneste med en bestemt rolle, en mail sendt fra en bestemt by på en bestemt dag. I små organisationer er det reglen snarere end undtagelsen. Det bør vurderes, om stillingsbetegnelser, afdelinger, lokationer og tidspunkter også skal generaliseres, og det skal afvejes mod, hvad læseren har brug for for at forstå sagen.

Sporbarhed til originalen

En maskeret kopi er en ny fil med en ny hashværdi. Det skal kunne vises, hvilket originalt element den stammer fra, og at kun de angivne oplysninger er ændret:

Bevar det umaskerede original i den sikrede kopi, uændret.
Registrér originalens hashværdi og den maskerede kopis hashværdi i et manifest, se hashmanifest for filsamlinger.
Notér, hvilke felter eller områder der er maskeret, og med hvilken begrundelse.
Opbevar pseudonymnøglen adskilt fra rapporten med begrænset adgang.

Så kan en dommer, en skønsmand eller modpartens sagkyndige, hvis det besluttes, få adgang til originalen og kontrollere, at maskeringen ikke har ændret indhold, der har betydning.

Når maskering skader beviset

Maskering kan fjerne netop det, der er bevisets kerne: afsenderadressen i en mail, hvis spørgsmålet er, hvem der sendte den, eller IP-adressen i en log, hvis spørgsmålet er, hvor et login kom fra. Her må pseudonymisering bruges i stedet, så sammenhængen bevares, eller oplysningen må stå åbent i en version med begrænset adgang. Det er en vurdering, der hører til opdragsgiveren og advokaten; den tekniske opgave er at gøre konsekvenserne tydelige.

Typiske fejl

Maskering i den visuelle visning alene, mens tekstlag, metadata eller indlejrede objekter står urørt.
Uens pseudonymer, hvor samme person hedder Person A i rapporten og Medarbejder 2 i bilaget.
Nøglen sendt med, fordi opslagstabellen lå i samme mappe som den udleverede rapport.
Overmaskering, hvor tidspunkter, domæner eller tekniske felter fjernes, så læseren ikke kan følge eller efterprøve analysen.

Det er også en fejl at glemme, at selve rapportens filer har metadata. En rapport, der er pseudonymiseret i teksten, men hvor dokumentegenskaberne viser analytikerens arbejdstitel med den undersøgtes navn, har ikke opnået sit formål.

Kontrol før udlevering

☐ Søg efter hvert maskeret navn, brugernavn og e-mailadresse i den færdige fil, også i tekstlag og metadata.
☐ Kontrollér dokumentegenskaber og billedmetadata.
☐ Kontrollér skjulte ark, kommentarer og sporede ændringer.
☐ Kontrollér, at pseudonymer er konsekvente på tværs af rapport og bilag.
☐ Gem manifest og nøgle adskilt fra den udleverede version.

Produktionsformater, hvor maskering indgår, er beskrevet i produktion af data, og rapportens øvrige struktur i rapportskrivning.

Kilder og versioner

Senest gennemgået: oktober 2026.

Næste skridt

Del af: Kvalitet og standarder

Læs også: Private data på arbejdsenheden: teknisk adskillelse under analysen · Særlige kategorier af persondata i et udtræk: teknisk håndtering

→ Uvildig IT-sagkyndig med forensic-baggrund · For sagkyndige · Tlf. 70 13 63 23 · Digital bevissikring hos Nielco IT

Skrevet af John Nielsen, IT‑sagkyndig og indehaver af Nielco IT. Selvstændig siden 2009 og mere end 30 års erfaring med IT‑sikkerhed. Har været IT‑sagkyndig i danske retskredse og ved Den Fælles Europæiske Patentdomstol (UPC). Om John Nielsen · LinkedIn · Redaktionel politik