Lista kontrolna anonimizacji polskich danych (PESEL, NIP, REGON, KRS)

Anonimizacja polskich dokumentów jest trudniejsza niż usunięcie nazwiska, ponieważ polskie identyfikatory kodują dane osobowe w swoich cyfrach, a polskie nazwiska zmieniają pisownię w zależności od przypadka gramatycznego. Ta lista kontrolna daje powtarzalną rutynę „maskuj i sprawdź” — czego szukać, jak to zamaskować i jak potwierdzić, że nic nie zostało pominięte — tak aby dokument był naprawdę zanonimizowany zgodnie z RODO, a nie tylko wizualnie uporządkowany.

W skrócie — cała lista na jednym ekranie

• Zamaskuj cztery polskie identyfikatory w całości: PESEL, NIP, REGON, KRS — łącznie z każdym wariantem formatowania (spacje, myślniki, brak separatorów).
• Zamaskuj też quasi-identyfikatory: imię i nazwisko, datę urodzenia, adres, kod pocztowy, stanowisko. PESEL już koduje datę urodzenia i płeć, więc pozostawienie osobnej daty urodzenia niweczy cały wysiłek.
• Wyłap odmienione nazwiska: Kowalski / Kowalskiego / Kowalskiemu / Kowalskim to ta sama osoba — dosłowne znajdź-i-zamień na jednej formie zostawia pozostałe.
• Sprawdź metadane oraz nagłówki i stopki, nie tylko treść.
• Zweryfikuj przed udostępnieniem: przeskanuj ponownie, sprawdź pozostałe pola i zadaj pytanie „czy te resztki mogą wskazać jedną osobę?”.
• Świadomie wybierz odwracalność: trwały token (anonimizacja) albo token oparty na osobno przechowywanym kluczu (pseudonimizacja — nadal dane osobowe).

📄 Pobierz wersję jednostronicową: Lista kontrolna anonimizacji polskich danych (PDF) — wydrukuj, przypnij obok ekranu, uruchamiaj przed każdym eksportem.

Krok 1 — Ustal, co jest daną osobową

Zanim zamaskujesz, wiedz, czego szukasz. W typowym polskim dokumencie firmowym dane osobowe kryją się w większej liczbie miejsc niż oczywiste pole z nazwiskiem:

Gdzie się kryją	Przykłady
Identyfikatory bezpośrednie	Imię i nazwisko, PESEL, NIP jednoosobowej firmy, e-mail, telefon
Identyfikatory strukturalne	Cyfry PESEL (data urodzenia + płeć), kod terytorialny REGON
Quasi-identyfikatory	Data urodzenia, kod pocztowy, miejscowość, stanowisko, pracodawca
Tekst swobodny	Nazwiska w zdaniach, podpisy, oznaczenia sprawy („dot.:“)
Treść poza tekstem głównym	Metadane pliku, właściwości dokumentu, nagłówki, stopki, śledzone zmiany

Polski organ (UODO) jasno wskazuje, że anonimizacja nie kończy się na zasłonięciu nazwiska: jeśli pozostaje choć jeden unikalny identyfikator lub identyfikująca kombinacja, dokument nie jest zanonimizowany.

Krok 2 — Zamaskuj cztery polskie identyfikatory (w całości)

Każdy identyfikator wymaga zamaskowania całej wartości, w każdym formacie, w jakim występuje:

• PESEL → [PESEL]. Wszystkie 11 cyfr — pierwsze sześć to data urodzenia, więc nigdy nie zostawiaj ich „bo to tylko data”.
• NIP → [NIP]. NIP jednoosobowej działalności to dana osobowa; zamaskuj go i ponownie sprawdź sąsiadujące imię, nazwisko i adres. Formaty: 5213051000, 521-30-51-000, 521 305 10 00.
• REGON → [REGON]. 9 lub 14 cyfr — znajdź-i-zamień nastawione na jedną długość pominie drugą.
• KRS → [KRS]. Zamaskuj go i uważaj na nazwiska członków zarządu i wspólników w tym samym wpisie.

Amaze wykrywa wszystkie cztery od ręki, w różnych wariantach formatowania, i maskuje je spójnymi tokenami (ta sama wartość → ta sama etykieta) — lokalnie, na Twoim komputerze.

Krok 3 — Wyłap odmienione polskie nazwiska

Tu właśnie po cichu zawodzi naiwna anonimizacja. Polskie rzeczowniki i nazwiska odmieniają się przez siedem przypadków, więc jedna osoba pojawia się pod kilkoma formami:

Przypadek	Przykład
Mianownik	Anna Kowalska
Dopełniacz	Anny Kowalskiej
Celownik	Annie Kowalskiej
Biernik	Annę Kowalską
Narzędnik	Anną Kowalską

Znajdź-i-zamień na „Kowalska” zostawia „Kowalskiej” i „Kowalską” nietknięte — dokument nadal wskazuje osobę. Amaze rozpoznaje polskie nazwiska w różnych przypadkach gramatycznych, więc formy odmienione też zostają zamaskowane, nie tylko forma słownikowa.

Krok 4 — Przejrzyj mniej oczywiste miejsca

• Metadane / właściwości dokumentu — autor, firma, ostatnio zapisujący.
• Nagłówki, stopki i bloki podpisu — często pomijane przy przeglądaniu samej treści.
• Tabele i ładunki danych — kolumna PESEL-i albo pole JSON to nadal dane osobowe.
• Skany — tekst wtopiony w obraz wymaga OCR, zanim da się go zamaskować. Amaze uruchamia lokalne OCR, więc skanowane pliki PDF są traktowane jak zwykły tekst, całkowicie offline.

Krok 5 — Zweryfikuj przed udostępnieniem

Maskowanie nie jest zakończone, dopóki go nie sprawdzisz:

1. Przeskanuj ponownie cały dokument, nie tylko fragment, który edytowałeś.
2. Przeczytaj resztki na głos: nazwiska nie ma, ale czy jest numer sprawy, pracodawca i miejscowość, które razem wskazują jedną osobę? To problem ponownej identyfikacji.
3. Potwierdź spójność tokenów — ten sam oryginał powinien wszędzie mapować się na ten sam token.
4. Sprawdź warianty formatu, które mogłeś pominąć (myślniki vs spacje, REGON 9- vs 14-cyfrowy).

Krok 6 — Świadomie wybierz odwracalność

• Anonimizacja (motyw 26 RODO): trwały token, bez klucza. Jeśli reszta rekordu też nie identyfikuje nikogo, dane wychodzą poza zakres RODO.
• Pseudonimizacja (art. 4 pkt 5 RODO): token oparty na osobno przechowywanym kluczu. Nadal dane osobowe, nadal w pełni w zakresie.

Dopóki gdziekolwiek istnieje klucz zdolny odtworzyć PESEL lub NIP, jest to pseudonimizacja — nawet jeśli dokument pokazuje już tylko [PESEL]. Amaze czyni anonimizację odwracalną prywatnym kluczem mapowania, gdy potrzebujesz oryginałów z powrotem, i pozwala działać bez klucza, gdy nie potrzebujesz. Rozróżnienie omawiamy w anonimizacja a pseudonimizacja.

FAQ

Dlaczego znajdź-i-zamień nie wystarcza dla polskich danych? Z dwóch powodów: polskie identyfikatory kodują dane osobowe w cyfrach (PESEL ujawnia datę urodzenia i płeć), a polskie nazwiska zmieniają pisownię przez przypadki, więc zamiana jednej formy zostawia pozostałe.

Czy muszę maskować NIP lub KRS firmy? Nie dla samej osoby prawnej — RODO nie chroni osób prawnych. Ale NIP jednoosobowej działalności to dana osobowa, a wpis KRS wymienia członków zarządu i wspólników będących osobami fizycznymi, więc w dokumentach mieszanych maskuj zapobiegawczo.

Czy zastąpienie PESEL tokenem to anonimizacja? Tylko jeśli nie istnieje klucz do jego odtworzenia, a reszta rekordu nie identyfikuje osoby. Jeśli klucz mapowania jest gdziekolwiek przechowywany, to pseudonimizacja i dane pozostają objęte RODO.

Gdzie najczęściej pomija się dane? Odmienione formy nazwisk, metadane dokumentu, nagłówki i stopki oraz quasi-identyfikatory (data urodzenia, kod pocztowy, pracodawca) pozostawione po usunięciu nazwiska.

Część naszego kompletnego przewodnika po anonimizacji danych.