Czy RODO obejmuje dane zanonimizowane? Usunięcie, retencja i motyw 26: Amaze

Nie — RODO nie stosuje się do danych, które zostały w pełni zanonimizowane. Motyw 26 stanowi, że zasady ochrony danych nie mają zastosowania do informacji anonimowych, które nie odnoszą się do zidentyfikowanej lub możliwej do zidentyfikowania osoby. Haczyk tkwi w słowie w pełni: anonimizacja wychodzi spod RODO tylko wtedy, gdy ponowna identyfikacja nie jest już rozsądnie możliwa przez żaden podmiot, przy użyciu środków, których użycie jest rozsądnie prawdopodobne. Jeśli tego progu nie osiągniesz — nadal przetwarzasz dane osobowe ze wszystkimi obowiązkami.

W skrócie

Dane w pełni zanonimizowane są poza zakresem RODO (motyw 26). Możesz je swobodnie przechowywać i ponownie wykorzystywać.
Standardem jest nieodwracalność — oceniana wobec wszystkich środków, których użycie jest rozsądnie prawdopodobne, po Twojej stronie lub kogokolwiek innego.
Dane spseudonimizowane to nadal dane osobowe (art. 4 pkt 5) i pozostają w pełni w zakresie RODO, bo klucz pozwala je odwrócić.
Prawdziwa anonimizacja realizuje prawo do usunięcia (art. 17) — możesz „usunąć” osobę, anonimizując rekord, jeśli jest to faktycznie nieodwracalne.
Anonimizacja to też czysta odpowiedź na ograniczenie przechowywania (art. 5 ust. 1 lit. e): anonimizuj zamiast trzymać dane identyfikowalne po ustaniu celu.

Czy RODO obejmuje dane zanonimizowane?

Nie. Motyw 26 jest jednoznaczny: „Zasady ochrony danych nie powinny więc mieć zastosowania do informacji anonimowych, czyli informacji, które nie wiążą się ze zidentyfikowaną lub możliwą do zidentyfikowania osobą fizyczną, ani do danych osobowych zanonimizowanych w taki sposób, że osób, których dane dotyczą, w ogóle nie można zidentyfikować lub już nie można zidentyfikować.”

Gdy dane są anonimowe, nie są już danymi osobowymi w rozumieniu art. 4 pkt 1, a RODO po prostu ich nie dotyczy. Możesz je przechowywać bezterminowo, analizować, udostępniać i trenować na nich modele bez podstawy prawnej, zgody czy limitu retencji.

Całe pytanie sprowadza się więc do jednego: czy dane są faktycznie anonimowe?

Kiedy dane są „w pełni” zanonimizowane?

Test wyznacza motyw 26. Aby ustalić, czy osoba jest możliwa do zidentyfikowania, trzeba uwzględnić „wszelkie rozsądnie prawdopodobne sposoby (…), w stosunku do których istnieje uzasadnione prawdopodobieństwo, iż zostaną wykorzystane” — przez administratora lub inną osobę — do bezpośredniej lub pośredniej identyfikacji.

Wynikają z tego trzy rzeczy:

Nie chodzi o Twój zamiar, lecz o możliwość. Jeśli ponowna identyfikacja jest rozsądnie możliwa dla kogokolwiek, dane nie są anonimowe.
Trzeba brać pod uwagę kombinacje. Usunięcie nazwiska nie wystarczy, jeśli data urodzenia plus kod pocztowy plus stanowisko wciąż wskazują jedną osobę. (Zob. ryzyko ponownej identyfikacji.)
Techniki odwracalne się nie kwalifikują. Jeśli klucz, tablica lub algorytm pozwala odtworzyć oryginał, to pseudonimizacja, nie anonimizacja.

Wytyczne unijne stojące za tym to Opinia 05/2014 Grupy Roboczej Art. 29 w sprawie technik anonimizacji, która podkreśla trzy ryzyka, jakie każda metoda musi pokonać: wyróżnienie (singling out), powiązywalność (linkability) i wnioskowanie (inference).

Anonimizacja a pseudonimizacja — granica, która decyduje o zakresie

	Anonimizacja	Pseudonimizacja
Odwracalna?	Nie — nieodwracalna	Tak — z osobnym kluczem
Status w RODO	Poza zakresem (motyw 26)	Dane osobowe, w zakresie (art. 4 pkt 5)
Prawo do usunięcia	Zrealizowane	Samo w sobie nie realizuje
Limit retencji	Brak	Ograniczenie przechowywania nadal obowiązuje
Przykład	`Jan Kowalski → [OSOBA]`, mapowanie zniszczone	`Jan Kowalski → USER_8842`, mapowanie zachowane

Rozróżnienie zależy wyłącznie od tego, czy zachowuje się powiązanie z osobą. Pełne omówienie: anonimizacja a pseudonimizacja.

Czy prawo do usunięcia (art. 17) wymaga skasowania — czy wystarczy anonimizacja?

Anonimizacja rekordu to uznany sposób realizacji żądania usunięcia. Gdy dane nie identyfikują już osoby, jej dane zostały w praktyce usunięte — nie ma do czego przypisać jej praw.

Dwa warunki:

Anonimizacja musi być rzeczywista i nieodwracalna — bez zachowanego klucza, bez identyfikowalnej kombinacji quasi-identyfikatorów.
Trzeba zanonimizować każdą kopię, w tym kopie zapasowe i zbiory pochodne, inaczej wersja identyfikowalna gdzieś nadal istnieje.

Czyni to z anonimizacji praktyczne narzędzie retencji: zamiast kasować cenne analitycznie rekordy, pozbawiasz je tożsamości i zachowujesz wartość zagregowaną — bez naruszania art. 5 ust. 1 lit. e (ograniczenie przechowywania).

Praktyczne „przed / po”

Załóżmy, że musisz zachować historię zakupów do analityki, ale nie masz już podstawy prawnej, by trzymać ją w formie identyfikowalnej:

Przed (dane osobowe, w zakresie):
  Jan Kowalski, 85010212345, [email protected], Kraków, kupił X dnia 2026-03-01

Po (zanonimizowane, poza zakresem):
  [OSOBA], [PESEL], [EMAIL], [MIASTO], kupił X w 2026-03

Jeśli mapowanie Jan Kowalski → [OSOBA] zostało zniszczone, a pozostałe pola nie wskazują jednoznacznie na niego, rekord jest poza RODO — i możesz go trzymać tak długo, jak jest użyteczny.

FAQ

Czy dane zanonimizowane to dane osobowe? Nie. Dane w pełni zanonimizowane nie odnoszą się do zidentyfikowanej ani możliwej do zidentyfikowania osoby, więc wypadają poza definicję z art. 4 pkt 1 i poza RODO (motyw 26).

Czy dane spseudonimizowane są poza RODO? Nie. Dane spseudonimizowane to wprost dane osobowe w rozumieniu art. 4 pkt 5, bo pseudonimizację można odwrócić osobnym kluczem. Pozostają w pełni w zakresie.

Czy dane zanonimizowane mogę trzymać bezterminowo? Tak. Ograniczenie przechowywania (art. 5 ust. 1 lit. e) dotyczy tylko danych osobowych. Gdy dane są w pełni anonimowe, nie ma limitu retencji.

Czy anonimizacja rekordu realizuje żądanie usunięcia? Może — jeśli jest nieodwracalna i objęła każdą kopię. Osoba przestaje być identyfikowalna, co realizuje cel art. 17.

Czy haszowanie lub szyfrowanie to anonimizacja? Nie. Szyfrowanie jest odwracalne kluczem; hasz małej, odgadywalnej wartości (jak numer PESEL) da się złamać metodą siłową. Oba to co najwyżej pseudonimizacja.

Amaze anonimizuje dane osobowe — imiona i nazwiska (także w polskiej odmianie przez przypadki), PESEL, NIP, REGON, KRS, e-maile, telefony, numery IBAN i więcej — w całości na Twoim komputerze. Maskuj nieodwracalnie, by wyprowadzić dane spod RODO, albo zachowaj prywatny klucz, gdy potrzebujesz odwracalności. Zobacz jak to działa.

Część naszego kompletnego przewodnika po anonimizacji danych.