Pseudonimizacja a anonimizacja — różnice według RODO

Krótko

• Pseudonimizacja zastępuje dane identyfikujące oznaczeniem (np. [PERSON_1]), ale istnieje klucz, który pozwala je przywrócić. Dane nadal są danymi osobowymi.
• Anonimizacja usuwa możliwość identyfikacji na stałe. Dane anonimowe nie podlegają RODO.
• Do pracy z AI i analizy zwykle lepsza jest pseudonimizacja (dokument pozostaje zrozumiały), do publikacji i przekazania na stałe — anonimizacja.

Pseudonimizacja w RODO

RODO definiuje pseudonimizację w art. 4 pkt 5:

Kluczowe są tu „dodatkowe informacje”, czyli klucz: tabela, która mówi, że [PERSON_1] to Jan Kowalski. Dopóki ktoś ten klucz ma, może dane przywrócić — dlatego motyw 26 RODO przesądza, że dane spseudonimizowane, które można przypisać osobie przy użyciu dodatkowych informacji, nadal są danymi osobowymi.

Nie znaczy to, że pseudonimizacja „nic nie daje”. RODO wymienia ją wprost jako środek ochrony danych w fazie projektowania (art. 25) i jako zabezpieczenie (art. 32). Zmniejsza ryzyko: kto dostanie sam plik bez klucza, nie dowie się, kogo dotyczy.

Anonimizacja

RODO nie definiuje anonimizacji wprost. Motyw 26 mówi, że zasad ochrony danych nie stosuje się do informacji anonimowych — takich, które nie wiążą się z zidentyfikowaną lub możliwą do zidentyfikowania osobą. Żeby to ocenić, bierze się pod uwagę wszystkie rozsądnie prawdopodobne sposoby identyfikacji: koszt, czas i dostępną technologię.

Grupa Robocza Art. 29 w opinii 05/2014 podała trzy pytania kontrolne. Dane są anonimowe, gdy nie da się:

1. wyodrębnić osoby (wskazać, który rekord jej dotyczy),
2. powiązać rekordów dotyczących tej samej osoby,
3. wywnioskować informacji o osobie z innych danych.

W dokumentach najczęstszym problemem jest punkt trzeci. Usunięcie imienia i nazwiska nie wystarczy, jeśli w tekście zostaje „jedyny weterynarz w gminie X”, adres nieruchomości albo sygnatura innej sprawy tej samej osoby.

Porównanie

Czy dane spseudonimizowane są danymi osobowymi dla każdego?

W wyroku z 4 września 2025 r. (C-413/23 P, EIOD przeciwko SRB) Trybunał Sprawiedliwości UE uznał, że o charakterze danych spseudonimizowanych trzeba rozstrzygać z perspektywy konkretnego podmiotu. Dla odbiorcy, który nie ma klucza i nie dysponuje rozsądnymi środkami, żeby zidentyfikować osobę, takie dane mogą nie być danymi osobowymi. Dla administratora, który klucz ma, pozostają nimi.

W praktyce: przekazując plik spseudonimizowany komuś, kto nie ma klucza, istotnie zmniejszasz ryzyko — ale Ty jako administrator dalej masz wobec tych danych wszystkie obowiązki z RODO. Wytyczne EROD 01/2025 opisują, jak oddzielić klucz i jak dobrać sposób tworzenia pseudonimów, żeby ta ochrona była realna.

Którą metodę wybrać

Pseudonimizacja, gdy dokument ma dalej służyć pracy

Streszczenie akt przez AI, analiza umowy, opinia biegłego, praca aplikanta — tu potrzebujesz, żeby było widać, że [PERSON_1] pożyczył pieniądze [PERSON_2], a nie tylko czarne prostokąty. Spójne tagi zachowują relacje w sprawie.

Anonimizacja, gdy dokument wychodzi na stałe

Publikacja orzeczenia, odpowiedź na wniosek o informację publiczną, wzór pisma dla zespołu, materiał szkoleniowy. Tu klucz nie jest nikomu potrzebny, więc nie powinien istnieć.

Na co uważać technicznie

• Czarny prostokąt to nie anonimizacja. Jeśli pod nim w PDF została warstwa tekstowa, dane da się skopiować. Tekst trzeba usunąć z pliku.
• Metadane. Autor dokumentu, historia zmian i komentarze potrafią zawierać nazwiska.
• Klucz osobno. Przy pseudonimizacji klucz musi być przechowywany oddzielnie i chroniony — to warunek z samej definicji w art. 4 pkt 5.
• Człowiek na końcu. Automat znajdzie powtarzalne identyfikatory szybciej niż człowiek, ale ocena, czy opis pozwala rozpoznać osobę, należy do Ciebie.