AmazeAmaze
← Wróć do bloga

RODO a anonimizacja: wymogi UODO i jak poprawnie zanonimizować dane

4 min czytania

Anonimizacja w rozumieniu RODO to nieodwracalne przekształcenie danych osobowych w taki sposób, że osoby nie da się już zidentyfikować żadnymi rozsądnie prawdopodobnymi środkami — a wtedy, zgodnie z motywem 26, dane wychodzą spod RODO. UODO (Urząd Ochrony Danych Osobowych) konsekwentnie podkreśla, że anonimizacja to nie to samo co pseudonimizacja: liczy się faktyczna, trwała nieodwracalność, oceniana także wobec możliwości łączenia danych. Ten przewodnik pokazuje, kiedy anonimizacja jest skuteczna w świetle RODO i jak traktować polskie identyfikatory.

W skrócie

  • Anonimizacja = nieodwracalność. Dopiero gdy ponowna identyfikacja nie jest rozsądnie możliwa, dane przestają być danymi osobowymi (motyw 26 RODO).
  • Pseudonimizacja to nie anonimizacja. Dane spseudonimizowane pozostają danymi osobowymi (art. 4 pkt 5 RODO) i podlegają RODO w całości.
  • Ocena identyfikowalności musi uwzględniać wyróżnienie, powiązywalność i wnioskowanie — nie wystarczy usunąć imię i nazwisko.
  • Polskie identyfikatory (PESEL, NIP, REGON, KRS) to dane szczególnie „gadatliwe” — sam PESEL koduje datę urodzenia i płeć, więc jego zamaskowanie jest kluczowe.
  • UODO oczekuje rozliczalności (art. 5 ust. 2): udokumentuj metodę anonimizacji i ocenę ryzyka ponownej identyfikacji.

Co RODO i UODO rozumieją przez anonimizację

RODO nie definiuje „anonimizacji” wprost w artykule, ale motyw 26 wyznacza próg: zasad ochrony danych nie stosuje się do „danych osobowych zanonimizowanych w taki sposób, że osób, których dane dotyczą, w ogóle nie można zidentyfikować lub już nie można zidentyfikować”. Oceniając identyfikowalność, bierze się pod uwagę „wszelkie rozsądnie prawdopodobne sposoby”, którymi administrator lub inna osoba mogłaby zidentyfikować osobę.

W praktyce UODO i wcześniejsze wytyczne unijne (Opinia 05/2014 Grupy Roboczej Art. 29) sprowadzają skuteczną anonimizację do pokonania trzech ryzyk:

  • Wyróżnienie (singling out) — czy da się wyodrębnić rekord jednej osoby?
  • Powiązywalność (linkability) — czy da się połączyć rekordy tej samej osoby w różnych zbiorach?
  • Wnioskowanie (inference) — czy z pozostałych danych da się wywnioskować brakującą wartość?

Jeśli któreś z tych ryzyk pozostaje realne, dane nadal są danymi osobowymi.

Anonimizacja a pseudonimizacja — kluczowe rozróżnienie UODO

AnonimizacjaPseudonimizacja
Odwracalna?Nie — trwale nieodwracalnaTak — z osobnym kluczem
Status w RODOPoza RODO (motyw 26)Dane osobowe (art. 4 pkt 5)
Obowiązki administratoraUstają dla tych danychPełne obowiązki RODO
PrzykładJan Kowalski → [OSOBA], mapowanie zniszczoneJan Kowalski → USER_8842, klucz zachowany

To rozróżnienie ma realne konsekwencje: firmy często deklarują „anonimizację”, trzymając w tle klucz odwzorowania — a to jest pseudonimizacja, z pełnymi obowiązkami RODO. Pełne omówienie: anonimizacja a pseudonimizacja.

Polskie identyfikatory: PESEL, NIP, REGON, KRS

Polskie numery identyfikacyjne są wyjątkowo bogate w informacje, dlatego wymagają szczególnej uwagi:

  • PESEL — 11 cyfr kodujących datę urodzenia i płeć. Nawet po usunięciu nazwiska sam PESEL potrafi zawęzić tożsamość do jednej osoby.
  • NIP — identyfikator podatkowy; wiąże rekord z konkretnym podatnikiem (osobą lub firmą).
  • REGON — numer statystyczny podmiotu gospodarczego.
  • KRS — numer w Krajowym Rejestrze Sądowym, jednoznacznie wskazujący podmiot.

Poprawna anonimizacja musi wykrywać i maskować te numery jako całe tokeny, bo częściowe zaczernienie (np. zostawienie fragmentu PESEL) wciąż może umożliwić wyróżnienie:

Przed:
  Jan Kowalski, PESEL 85010212345, NIP 1234567890, tel. +48 601 234 567

Po (poprawna anonimizacja):
  [OSOBA], PESEL [PESEL], NIP [NIP], tel. [TELEFON]

Dodatkowa trudność po polsku: odmiana nazwisk przez przypadki. „Kowalski”, „Kowalskiego”, „Kowalskiemu” to ta sama osoba — narzędzie musi rozpoznać wszystkie formy, inaczej część wystąpień przecieknie.

Checklista poprawnej anonimizacji zgodnej z RODO

  1. Zinwentaryzuj dane osobowe — w tym identyfikatory pośrednie (quasi-identyfikatory): kod pocztowy, data urodzenia, stanowisko.
  2. Wykryj polskie identyfikatory — PESEL, NIP, REGON, KRS oraz nazwiska we wszystkich formach gramatycznych.
  3. Zamaskuj kompletnie i spójnie — całe tokeny, ta sama wartość zawsze tak samo (albo nieodwracalnie, albo z kluczem, jeśli potrzebujesz odwracalności).
  4. Sprawdź kombinacje — czy pozostałe pola nie wyróżniają osoby (zob. ryzyko ponownej identyfikacji).
  5. Zniszcz mapowanie, jeśli celem jest pełna, nieodwracalna anonimizacja (a więc wyjście spod RODO).
  6. Udokumentuj metodę i ocenę ryzyka ponownej identyfikacji — rozliczalność z art. 5 ust. 2.

FAQ

Czy anonimizacja wg RODO wymaga zgody osoby? Sama anonimizacja jest przetwarzaniem danych osobowych, ale gdy jej efektem są dane w pełni anonimowe, dalsze ich wykorzystanie jest poza RODO. Podstawę prawną należy jednak ocenić dla samego procesu.

Czy zamaskowanie PESEL wystarczy, by dane były anonimowe? Nie zawsze. Trzeba jeszcze sprawdzić, czy kombinacja pozostałych pól (np. miejscowość + data + zawód) nie wskazuje jednoznacznie na osobę.

Czy UODO wymaga konkretnej techniki anonimizacji? UODO nie narzuca jednej techniki, lecz oczekuje skuteczności (nieodwracalności) i rozliczalności — udokumentowania metody oraz oceny ryzyka.

Czy zaszyfrowanie danych to anonimizacja? Nie. Szyfrowanie jest odwracalne kluczem, więc to pseudonimizacja — dane pozostają osobowe.

Czy dane firmy (osoby prawnej) to dane osobowe? Co do zasady nie, ale dane osób fizycznych powiązane z firmą (np. właściciel jednoosobowej działalności, jego NIP/PESEL) już tak.

Amaze wykrywa i maskuje polskie identyfikatory — PESEL, NIP, REGON, KRS — oraz nazwiska we wszystkich przypadkach gramatycznych, w całości lokalnie na Twoim komputerze. Maskuj nieodwracalnie zgodnie z motywem 26 albo zachowaj prywatny klucz, gdy potrzebujesz odwracalności; do tego raport audytowy dla IOD. Zobacz jak to działa.

Część naszego kompletnego przewodnika po anonimizacji danych.