Czym są dane osobowe (PII)? Rodzaje danych osobowych według RODO
7 min czytania
PII (Personally Identifiable Information) to każda informacja, która pozwala zidentyfikować konkretną osobę — bezpośrednio, jak imię i nazwisko czy e-mail, albo pośrednio, jak adres IP w połączeniu z datą urodzenia. W RODO odpowiednikiem tego pojęcia jest termin prawny „dane osobowe”: art. 4 pkt 1 definiuje je jako wszelkie informacje o zidentyfikowanej lub możliwej do zidentyfikowania osobie fizycznej. Prawidłowe rozumienie tej definicji to pierwszy krok każdej anonimizacji i każdego działania compliance — nie da się zamaskować tego, czego nie potrafisz rozpoznać.
W skrócie (TL;DR)
- PII to termin potoczny (głównie amerykański); dane osobowe to termin prawny z RODO. Zakresy się pokrywają, ale dane osobowe są pojęciem szerszym.
- Art. 4 pkt 1 RODO obejmuje wszelkie informacje o osobie zidentyfikowanej lub możliwej do zidentyfikowania — bezpośrednio lub pośrednio.
- Identyfikatory dzielą się na bezpośrednie (imię i nazwisko, e-mail, PESEL), pośrednie / quasi-identyfikatory (kod pocztowy, stanowisko, data urodzenia) oraz szczególne kategorie danych (zdrowie, biometria, przekonania — art. 9).
- Adresy IP, pliki cookie i identyfikatory urządzeń są danymi osobowymi w UE (potwierdził to wyrok TSUE w sprawie Breyer).
- Dane w pełni zanonimizowane oraz dane osoby prawnej (firmy) co do zasady nie są danymi osobowymi.
Czym dokładnie jest PII?
PII (Personally Identifiable Information) to każda dana, która sama lub w połączeniu z innymi wskazuje na jedną konkretną osobę. Termin pochodzi z amerykańskiej praktyki ochrony prywatności i nie ma jednej definicji ustawowej — różne przepisy i urzędy w USA wyznaczają tę granicę inaczej.
RODO w ogóle nie posługuje się określeniem „PII”. Jego odpowiednikiem jest pojęcie danych osobowych, zdefiniowane w art. 4 pkt 1:
„»dane osobowe« oznaczają wszelkie informacje o zidentyfikowanej lub możliwej do zidentyfikowania osobie fizycznej (»osobie, której dane dotyczą«); możliwa do zidentyfikowania osoba fizyczna to osoba, którą można bezpośrednio lub pośrednio zidentyfikować, w szczególności na podstawie identyfikatora takiego jak imię i nazwisko, numer identyfikacyjny, dane o lokalizacji, identyfikator internetowy lub jeden bądź kilka szczególnych czynników określających fizyczną, fizjologiczną, genetyczną, psychiczną, ekonomiczną, kulturową lub społeczną tożsamość osoby fizycznej”
W tym tekście najwięcej pracy wykonują dwa słowa: „wszelkie” (definicja jest celowo szeroka) i „pośrednio” (do zidentyfikowania osoby nie trzeba znać jej imienia i nazwiska).
Czy PII to to samo co dane osobowe w RODO?
Nie do końca. Oba pojęcia opisują tę samą ideę — informację powiązaną z osobą — ale nie są wymienne:
| PII (użycie amerykańskie) | Dane osobowe (RODO) | |
|---|---|---|
| Status prawny | Brak jednej definicji prawnej | Zdefiniowane w art. 4 pkt 1 |
| Zakres | Często stała lista identyfikatorów | Zależny od kontekstu: wszystko, co pozwala zidentyfikować osobę |
| Adresy IP / cookies | Często nie traktowane jako PII | Dane osobowe |
| Gdzie stosowane | Ramy prawne USA, zespoły bezpieczeństwa | Prawo UE / UK |
Praktyczna zasada: całe PII jest daną osobową, ale nie każda dana osobowa była tradycyjnie nazywana PII. RODO jest szersze — obejmuje identyfikatory internetowe (cookies, identyfikatory urządzeń, adresy IP), które starsze listy PII pomijały.
Rodzaje identyfikatorów: bezpośrednie, pośrednie i szczególne kategorie
Dane osobowe występują w trzech praktycznych odmianach. To rozróżnienie ma znaczenie, bo to właśnie o identyfikatorach pośrednich najczęściej się zapomina przy maskowaniu.
| Rodzaj | Czym jest | Przykłady |
|---|---|---|
| Identyfikatory bezpośrednie | Wskazują osobę samodzielnie | Imię i nazwisko, adres e-mail, numer telefonu, PESEL, numer paszportu, IBAN, login |
| Identyfikatory pośrednie (quasi-identyfikatory) | Identyfikują osobę dopiero w połączeniu | Kod pocztowy, data urodzenia, stanowisko, pracodawca, płeć, numer rejestracyjny auta, adres IP |
| Szczególne kategorie danych (art. 9) | Dane wrażliwe objęte dodatkową ochroną | Dane o zdrowiu, genetyczne i biometryczne, pochodzenie rasowe/etniczne, poglądy polityczne, przekonania religijne/światopoglądowe, przynależność związkowa, życie seksualne lub orientacja seksualna |
Klasyczny wynik badań nad re-identyfikacją — że dużą część populacji można wskazać na podstawie samej kombinacji kodu pocztowego, daty urodzenia i płci — wprost pokazuje, dlaczego quasi-identyfikatory są niebezpieczne. Żadne z tych trzech pól „nie wygląda” na identyfikator, a razem robią swoje. (Więcej w artykule ryzyko ponownej identyfikacji.)
Czym są szczególne kategorie danych (dane wrażliwe)?
Art. 9 RODO wyróżnia dane szczególnie ryzykowne w razie niewłaściwego przetwarzania i co do zasady zakazuje ich przetwarzania, o ile nie zachodzi jeden z określonych warunków. Szczególne kategorie to:
- pochodzenie rasowe lub etniczne
- poglądy polityczne
- przekonania religijne lub światopoglądowe
- przynależność do związków zawodowych
- dane genetyczne
- dane biometryczne przetwarzane w celu jednoznacznej identyfikacji osoby
- dane dotyczące zdrowia
- dane dotyczące życia seksualnego lub orientacji seksualnej
Zgodne z prawem przetwarzanie tych danych wymaga jednocześnie podstawy prawnej z art. 6 oraz odrębnego warunku z art. 9. Uwaga: identyfikatory krajowe takie jak PESEL nie są automatycznie „szczególną kategorią” danych, ale nadal są danymi osobowymi i rządzą się własnymi zasadami postępowania.
Czy adres IP to dane osobowe (PII)?
Tak — w UE adres IP jest daną osobową. Przesądził o tym Trybunał Sprawiedliwości UE w wyroku Breyer przeciwko Niemcom (C-582/14, 19 października 2016 r.). Trybunał orzekł, że dynamiczny adres IP przechowywany przez operatora strony internetowej jest daną osobową zawsze wtedy, gdy operator dysponuje środkami prawnymi pozwalającymi połączyć go z informacjami posiadanymi przez dostawcę usług internetowych i zidentyfikować osobę. Nie ma znaczenia, że sam operator nie potrafi wskazać użytkownika z imienia i nazwiska; liczy się to, czy identyfikacja jest rozsądnie możliwa przy użyciu dodatkowych informacji.
Ta sama logika obejmuje pliki cookie, identyfikatory urządzeń i inne identyfikatory internetowe — dlatego RODO wprost wymienia „identyfikator internetowy” w art. 4 pkt 1.
Co NIE jest danymi osobowymi?
Dwa istotne wyłączenia:
- Dane w pełni zanonimizowane. Zgodnie z motywem 26 zasady ochrony danych nie mają zastosowania do informacji anonimowych — czyli takich, które nie wiążą się już z możliwą do zidentyfikowania osobą. Haczyk tkwi w standardzie: dane są anonimowe tylko wtedy, gdy ponowna identyfikacja nie jest możliwa żadnymi rozsądnie prawdopodobnymi środkami. Jeśli gdziekolwiek istnieje klucz lub tabela mapowań, mamy pseudonimizację, a nie anonimizację — i nadal są to dane osobowe.
- Dane osoby prawnej. Numer rejestrowy spółki czy NIP firmy co do zasady nie jest daną osobową, bo dotyczy podmiotu, a nie człowieka. Uważaj jednak na przypadki graniczne: NIP osoby fizycznej prowadzącej działalność albo nazwa firmy będąca nazwiskiem właściciela nadal mogą identyfikować konkretną osobę. (Zob. anonimizacja PESEL, NIP, REGON i KRS.)
Dlaczego to ma znaczenie dla anonimizacji
Zanonimizować można tylko to, co potrafisz wykryć. Narzędzie, które rozpoznaje imiona i e-maile, ale pomija numery PESEL, IBAN-y czy adresy IP, zostawia dane osobowe odsłonięte — a jeden przeoczony quasi-identyfikator potrafi wystarczyć do ponownej identyfikacji osoby.
Oto konkretna lista kategorii PII, które Amaze wykrywa na Twoim komputerze, od pierwszego uruchomienia — 13 kategorii dostrojonych do europejskich dokumentów:
| Kategoria | Rodzaj |
|---|---|
| Osoby (imiona i nazwiska, także w odmianie) | Bezpośredni |
| E-mail, Telefon, Login, Hasło | Bezpośredni |
| PESEL, NIP, REGON, KRS, IBAN | Bezpośredni (identyfikatory krajowe / finansowe) |
| Firmy, Lokalizacje, Daty | Pośredni / quasi-identyfikatory |
Przed i po, tak jak renderuje to Amaze:
Przed: Jan Kowalski, PESEL 85010212345, [email protected],
zalogowany z 91.198.174.192 dnia 2026-03-14.
Po: [OSOBA], PESEL [PESEL], [EMAIL],
zalogowany z [IP] dnia [DATA].Każde podstawienie odbywa się lokalnie, zanim jakikolwiek tekst trafi do modelu AI — dzięki temu możesz korzystać z ChatGPT, Claude czy Gemini bez wysyłania danych klientów do chmury. Pełny obraz strategii anonimizacji znajdziesz w naszym kompletnym przewodniku po anonimizacji danych.
FAQ
Jaka jest różnica między PII a danymi osobowymi? „PII” to popularny termin amerykański bez jednej definicji prawnej; „dane osobowe” to termin prawny z RODO (art. 4 pkt 1). Dane osobowe są pojęciem szerszym — obejmują identyfikatory internetowe, jak adresy IP i cookies, które wiele list PII pomija. W praktyce całe PII jest daną osobową, ale nie każda dana osobowa była tradycyjnie nazywana PII.
Czy imię i nazwisko to zawsze PII? Imię i nazwisko to identyfikator bezpośredni, ale bardzo popularne nazwisko samo w sobie może nie wskazywać jednej osoby. W połączeniu z dowolnym innym polem (pracodawca, miasto, data urodzenia) niemal zawsze już tak. Traktuj imiona i nazwiska jak dane osobowe.
Czy adres e-mail to dane osobowe?
Tak. Adres w rodzaju [email protected] identyfikuje osobę wprost — zawiera imię, nazwisko i miejsce pracy. Nawet nieopisowy adres jest daną osobową, jeśli da się go powiązać z osobą.
Czy dane firmy to dane osobowe? Dane osoby prawnej (spółki) co do zasady nie są danymi osobowymi. Ale NIP osoby prowadzącej jednoosobową działalność albo firma o nazwie będącej nazwiskiem właściciela mogą identyfikować konkretnego człowieka — zamiast zakładać, sprawdź kontekst.
Czy dane zanonimizowane liczą się jako PII? Nie. Dane rzeczywiście zanonimizowane przestają być danymi osobowymi i wychodzą spod RODO (motyw 26). Poprzeczka jest jednak wysoko: jeśli dane można ponownie zidentyfikować jakimikolwiek rozsądnie prawdopodobnymi środkami, nadal są danymi osobowymi.