Anonimizacja PESEL, NIP, REGON i KRS — co ujawniają i jak je maskować: Amaze

Numer PESEL koduje datę urodzenia i płeć, a NIP osoby fizycznej prowadzącej działalność jest daną osobową — dlatego proste „znajdź i zamień” nie wystarcza do anonimizacji. Aby zgodnie z RODO zanonimizować PESEL, NIP, REGON czy KRS, trzeba usunąć nie tylko sam numer, ale też kontekst, który nadal wskazuje na konkretną osobę.

W skrócie (TL;DR)

PESEL ujawnia datę urodzenia i płeć wprost z cyfr — usunięcie numeru bez usunięcia daty urodzenia niczego nie chroni.
NIP osoby fizycznej (jednoosobowa działalność) to dane osobowe; NIP spółki co do zasady nie, bo dotyczy osoby prawnej.
REGON i KRS działają podobnie: dla przedsiębiorcy-osoby fizycznej to dane osobowe, dla spółki — identyfikator podmiotu prawnego.
Usunięcie samego numeru nie jest anonimizacją, jeśli reszta rekordu (imię, adres, stanowisko) nadal identyfikuje osobę — to problem ponownej identyfikacji.
Amaze wykrywa polskie identyfikatory lokalnie, na Twoim komputerze, i maskuje je spójnymi tokenami ([PESEL], [NIP], [REGON], [KRS]).

Co tak naprawdę ujawnia numer PESEL?

PESEL to nie losowy ciąg — 11 cyfr koduje datę urodzenia oraz płeć osoby, więc sam numer jest bogatym źródłem danych osobowych.

Numer ma postać RRMMDDPPPPK:

RRMMDD — data urodzenia. Stulecie jest zakodowane w miesiącu: dla urodzonych w latach 1900–1999 miesiąc to 01–12, dla 2000–2099 → 21–32, dla 1800–1899 → 81–92, dla 2100–2199 → 41–52, a dla 2200–2299 → 61–72.
PPPP — numer seryjny; jego przedostatnia cyfra (10. cyfra numeru) oznacza płeć: parzysta to kobieta, nieparzysta to mężczyzna.
K — cyfra kontrolna, liczona z pozostałych cyfr według wag 1‑3‑7‑9‑1‑3‑7‑9‑1‑3.

Przykład: 85010212345 to osoba urodzona 2 stycznia 1985 r., płci żeńskiej (10. cyfra 4 jest parzysta). Nawet jeśli usuniesz imię i nazwisko, sam PESEL wciąż zdradza wiek i płeć — a w małym zbiorze danych to często wystarcza do wskazania jednej osoby.

Dlatego maskowanie PESEL musi obejmować cały numer, a nie tylko jego część. Częsty błąd to pozostawienie pierwszych sześciu cyfr „bo to tylko data” — te sześć cyfr to właśnie data urodzenia.

85010212345 → [PESEL]

Czy NIP jest daną osobową?

To zależy od tego, kogo dotyczy: NIP jednoosobowej działalności gospodarczej jest daną osobową, natomiast NIP spółki kapitałowej co do zasady nie, bo identyfikuje osobę prawną.

NIP (Numer Identyfikacji Podatkowej) to 10 cyfr z cyfrą kontrolną na końcu, nadawany zarówno osobom fizycznym prowadzącym działalność, jak i spółkom. Różnica jest kluczowa dla RODO:

Spółka z o.o., S.A., spółka jawna — NIP identyfikuje odrębny byt prawny. Sam w sobie nie jest daną osobową (RODO nie chroni osób prawnych).
Jednoosobowa działalność (JDG) — za NIP stoi konkretny człowiek. UODO wskazuje, że NIP przedsiębiorcy-osoby fizycznej, zwłaszcza w połączeniu z imieniem, nazwiskiem, adresem (często tożsamym z adresem zamieszkania) lub danymi kontaktowymi, jest daną osobową i podlega wszystkim rygorom RODO.

521-30-51-000 → [NIP]

Uwaga praktyczna: NIP osoby fizycznej często jest jej numerem podatkowym powiązanym z PESEL-em w rejestrach skarbowych, dlatego traktowanie go jak „danych firmowych” bywa błędem. Więcej o granicy między odwracalnym a nieodwracalnym maskowaniem znajdziesz w tekście o anonimizacji a pseudonimizacji.

Czym różnią się REGON i KRS — i kiedy są danymi osobowymi?

REGON identyfikuje podmiot w rejestrze statystycznym GUS, a KRS — podmiot wpisany do Krajowego Rejestru Sądowego; oba są danymi osobowymi wtedy, gdy dotyczą przedsiębiorcy będącego osobą fizyczną.

REGON ma zwykle 9 cyfr (dwie pierwsze to kod terytorialny, sześć kolejnych to numer seryjny, ostatnia to cyfra kontrolna). Jednostki lokalne dostają 14-cyfrowy REGON: pierwsze 9 cyfr to REGON jednostki nadrzędnej, kolejne 4 identyfikują oddział, ostatnia to cyfra kontrolna. REGON jednoosobowej działalności odnosi się do konkretnej osoby → dana osobowa.
KRS to 10-cyfrowy numer w Krajowym Rejestrze Sądowym, który obejmuje spółki, fundacje i stowarzyszenia — nie jednoosobowe działalności (te są w CEIDG). Sam numer KRS identyfikuje podmiot prawny, ale wpis w KRS zawiera dane osobowe członków zarządu, wspólników czy fundatorów. Numer KRS w zestawieniu z nazwiskiem członka zarządu może więc pośrednio wskazać osobę fizyczną.

Wniosek: status „dane osobowe czy nie” zależy od podmiotu i kontekstu, a nie od samego typu identyfikatora. W dokumentach mieszanych (część firm to spółki, część to JDG) bezpieczniej maskować wszystkie te numery i dopiero potem decydować, co przywrócić.

Mapa: identyfikator → co ujawnia → dane osobowe? → jak maskować

Identyfikator	Co strukturalnie ujawnia	Czy to dane osobowe?	Jak maskować
PESEL	Datę urodzenia i płeć (zakodowane w cyfrach)	Tak, zawsze — dotyczy osoby fizycznej	Cały numer → `[PESEL]`; usuń też odrębną datę urodzenia
NIP	Powiązanie z podatnikiem; dla JDG — z osobą	JDG: tak. Spółka: co do zasady nie	`[NIP]`; sprawdź nazwę i adres w kontekście
REGON	Kod terytorialny + numer podmiotu	JDG: tak. Spółka: nie	`[REGON]`; maskuj razem z NIP i nazwą
KRS	Wpis podmiotu w rejestrze sądowym	Podmiot: nie. Osoby w rejestrze: tak	`[KRS]`; uważaj na nazwiska zarządu/wspólników

Dlaczego proste „znajdź i zamień” zawodzi?

Ręczne wyszukiwanie numerów pomija formaty zapisu, dane w metadanych i — co najważniejsze — kontekst, który identyfikuje osobę nawet po usunięciu samego numeru.

Trzy typowe pułapki:

Formaty i separatory. NIP bywa zapisany jako 5213051000, 521-30-51-000 albo 521 305 10 00. REGON jako 9 lub 14 cyfr. „Znajdź i zamień” nastawione na jeden wzorzec przepuści pozostałe.
Numer to nie wszystko. UODO wprost stwierdza, że anonimizacja nie kończy się na zasłonięciu imienia i nazwiska — jeśli w dokumencie zostaje choćby jeden unikalny identyfikator (numer klienta, sprawy, PESEL, data urodzenia), to nie jest anonimizacja. Ta sama zasada działa w drugą stronę: usunięcie PESEL-u, gdy zostaje imię, nazwisko i adres, też nie anonimizuje rekordu.
Ryzyko ponownej identyfikacji. Kombinacja kodu pocztowego, daty urodzenia i płci potrafi wskazać jedną osobę — a PESEL zawiera dwa z tych trzech elementów. Dlatego samo zamaskowanie numeru bez spojrzenia na resztę rekordu bywa złudne. Szerzej piszemy o tym w tekście o ryzyku ponownej identyfikacji.

Anonimizować czy pseudonimizować te numery?

Jeśli nie potrzebujesz powrotu do tożsamości — anonimizuj (trwałe zastąpienie tokenem, bez klucza). Jeśli musisz odtworzyć dane później — pseudonimizuj (zastąpienie z osobno przechowywanym kluczem mapowania).

Anonimizacja (motyw 26 RODO): 85010212345 → [PESEL] bez żadnej tabeli mapowań. Jeśli reszta rekordu również nie pozwala na identyfikację, dane przestają podlegać RODO.
Pseudonimizacja (art. 4 pkt 5 RODO): 85010212345 → OSOBA-0042, a klucz łączący token z numerem trzymany jest osobno i zabezpieczony. Dane nadal są danymi osobowymi i podlegają RODO w pełnym zakresie.

Kluczowy niuans odwracalności: dopóki gdziekolwiek istnieje klucz pozwalający odtworzyć PESEL czy NIP, mówimy o pseudonimizacji, nie anonimizacji — nawet jeśli w samym dokumencie widać już tylko [PESEL]. Rozróżnienie to omawiamy dokładniej w artykule o anonimizacji a pseudonimizacji.

Jak Amaze maskuje polskie identyfikatory lokalnie

Amaze ma wbudowane wykrywanie PESEL, NIP, REGON i KRS oraz rozpoznaje polskie imiona i nazwiska we wszystkich przypadkach gramatycznych — a wszystko dzieje się na Twoim komputerze, zanim tekst trafi do ChatGPT, Claude czy Gemini. Numery są zastępowane spójnymi tokenami (ta sama wartość → ta sama etykieta), z opcją odwracalności prywatnym kluczem, gdy potrzebujesz przywrócić oryginały. To praktyczne wypełnienie zasady, że dane trzeba anonimizować, zanim wkleisz je do narzędzia AI.

FAQ

Czy PESEL zawsze jest daną osobową? Tak. PESEL jest przypisany do konkretnej osoby fizycznej i dodatkowo koduje jej datę urodzenia oraz płeć, więc zawsze stanowi daną osobową w rozumieniu RODO.

Czy NIP firmy to dane osobowe? NIP spółki kapitałowej co do zasady nie jest daną osobową, bo dotyczy osoby prawnej. NIP jednoosobowej działalności gospodarczej jest daną osobową, bo stoi za nim konkretny człowiek — zwłaszcza w połączeniu z imieniem, nazwiskiem czy adresem.

Czy usunięcie samego numeru wystarcza do anonimizacji? Nie. Zgodnie ze stanowiskiem UODO anonimizacja nie kończy się na usunięciu jednego identyfikatora. Jeśli pozostałe dane (imię, adres, data urodzenia, numer sprawy) nadal pozwalają wskazać osobę, dokument nie jest zanonimizowany.

Czy zamiana PESEL na token to anonimizacja? Tylko wtedy, gdy nie istnieje żaden klucz do odtworzenia numeru, a reszta rekordu nie identyfikuje osoby. Jeśli klucz mapowania jest przechowywany — to pseudonimizacja, a dane nadal podlegają RODO.

Jak zamaskować REGON i KRS w dokumencie mieszanym? Najbezpieczniej maskować wszystkie numery tokenami ([REGON], [KRS]) i osobno zdecydować, które z nich dotyczą osób fizycznych. Zwróć uwagę na nazwiska członków zarządu i wspólników powiązane z numerem KRS.

Potrzebujesz powtarzalnej rutyny? Skorzystaj z krok-po-kroku listy kontrolnej anonimizacji polskich danych — maskuj, przejrzyj mniej oczywiste miejsca i zweryfikuj przed udostępnieniem.

Część naszego kompletnego przewodnika po anonimizacji danych.