Szyfrowanie danych a RODO — praktyczny przewodnik po art. 32

Szyfrowanie to jeden z najskuteczniejszych i zarazem najczęściej wprost wskazywanych w RODO środków ochrony danych osobowych. Artykuł 32 wymienia je z nazwy, a mimo to brak szyfrowania na zgubionych i skradzionych urządzeniach pozostaje jedną z najczęstszych przyczyn kar nakładanych przez UODO. Zaszyfrowany laptop, który wypadł z plecaka w metrze, to co najwyżej strata sprzętu. Ten sam laptop bez szyfrowania to naruszenie ochrony danych — a często również kara finansowa.

RODO nie nakazuje szyfrować wszystkiego i zawsze. Obowiązuje podejście oparte na ryzyku: administrator sam ocenia, jakie środki są odpowiednie. W praktyce jednak w wielu sytuacjach — urządzenia przenośne, nośniki zewnętrzne, transmisja przez sieci publiczne, praca zdalna, dane szczególnych kategorii — trudno uzasadnić rezygnację z szyfrowania.

W tym artykule wyjaśniam, jak szyfrowanie osadzone jest w art. 32 RODO, czym różni się od pseudonimizacji i anonimizacji, co i kiedy warto szyfrować, jak szyfrowanie wpływa na obowiązki przy naruszeniach oraz jakie wnioski płyną z decyzji UODO.

Szyfrowanie w art. 32 RODO

Artykuł 32 RODO zobowiązuje administratora i podmiot przetwarzający do wdrożenia odpowiednich środków technicznych i organizacyjnych, aby zapewnić bezpieczeństwo przetwarzania odpowiadające ryzyku. Co istotne, przepis wymienia przykładowe środki wprost — i wśród nich, w art. 32 ust. 1 lit. a, wskazuje pseudonimizację i szyfrowanie danych osobowych.

Nie oznacza to bezwzględnego obowiązku szyfrowania w każdej sytuacji. Dobór środków zależy od stanu wiedzy technicznej, kosztów wdrożenia, charakteru, zakresu, kontekstu i celów przetwarzania oraz od ryzyka naruszenia praw i wolności osób. Im wyższe ryzyko i im bardziej wrażliwe dane, tym mocniejsze zabezpieczenia są oczekiwane. W praktyce oznacza to, że przy urządzeniach mobilnych, nośnikach przenośnych czy przesyłaniu danych przez internet szyfrowanie staje się standardem, od którego trudno odstąpić bez dobrego uzasadnienia.

Standardy bezpieczeństwa informacji omawiamy też w artykule o ISO 27001 i ISO 27701.

Szyfrowanie a pseudonimizacja i anonimizacja

Te trzy pojęcia bywają mylone, a różnice mają realne skutki prawne.

Szyfrowanie przekształca dane w postać nieczytelną dla osób nieposiadających klucza. Jest odwracalne — po odszyfrowaniu odzyskujemy dane w pierwotnej postaci. Dane zaszyfrowane wciąż pozostają danymi osobowymi, ponieważ dysponent klucza może je odczytać.

Pseudonimizacja polega na przetworzeniu danych tak, by nie można było ich przypisać konkretnej osobie bez dodatkowych informacji przechowywanych osobno. Dane pseudonimizowane również pozostają danymi osobowymi.

Anonimizacja to nieodwracalne pozbawienie danych cech umożliwiających identyfikację. Dane prawidłowo zanonimizowane przestają być danymi osobowymi i nie podlegają RODO.

Wniosek praktyczny: szyfrowanie zabezpiecza dane, ale ich „nie usuwa” w rozumieniu RODO. Jeśli celem jest trwałe wyłączenie danych spod RODO, potrzebna jest anonimizacja, a nie szyfrowanie.

Więcej o okresach przechowywania i anonimizacji danych przeczytasz w osobnym artykule.

Co i kiedy szyfrować

Szyfrowanie stosuje się w dwóch podstawowych stanach danych.

Dane w spoczynku (at rest). Dyski komputerów i laptopów (szyfrowanie całego dysku, np. BitLocker, FileVault, LUKS), nośniki przenośne (pendrive’y, dyski zewnętrzne), bazy danych, kopie zapasowe oraz pliki zawierające dane wrażliwe. Szyfrowanie całego dysku chroni dane, gdy urządzenie zostanie zgubione lub skradzione.

Dane w tranzycie (in transit). Transmisja przez sieć — protokół TLS/HTTPS na stronach i w usługach, VPN przy pracy zdalnej, szyfrowanie poczty (np. S/MIME lub PGP) przy przesyłaniu wrażliwych informacji, bezpieczne kanały wymiany plików zamiast zwykłego e-maila. 

Szczególnie warto szyfrować w sytuacjach podwyższonego ryzyka: na urządzeniach przenośnych i nośnikach wynoszonych poza siedzibę, przy pracy zdalnej i hybrydowej, przy korzystaniu z chmury, przy przesyłaniu danych przez sieci publiczne oraz zawsze, gdy przetwarzane są dane szczególnych kategorii (art. 9 RODO), takie jak dane o zdrowiu. 

Jak zabezpieczyć dane przy pracy zdalnej opisujemy w osobnym artykule. Więcej o transferze danych poza EOG przeczytasz w naszym przewodniku.

Szyfrowanie a naruszenia ochrony danych

To jeden z najsilniejszych praktycznych argumentów za szyfrowaniem. Zgodnie z art. 34 ust. 3 lit. a RODO zawiadomienie osób, których dane dotyczą, o naruszeniu może nie być wymagane, jeżeli administrator wdrożył odpowiednie środki ochrony i zastosował je do danych objętych naruszeniem — w szczególności środki takie jak szyfrowanie, które sprawiają, że dane są nieczytelne dla osób nieuprawnionych.

W praktyce oznacza to, że utrata prawidłowo zaszyfrowanego laptopa czy nośnika, do którego klucz nie został skompromitowany, może znacząco obniżyć ryzyko dla osób i pozwolić uniknąć obowiązku ich powiadamiania. Uwaga: nie zwalnia to automatycznie z oceny naruszenia i — w zależności od okoliczności — zgłoszenia do UODO; chodzi o to, że skuteczne szyfrowanie realnie zmniejsza wagę naruszenia. Warunkiem jest jednak, by szyfrowanie było mocne i faktycznie zastosowane, a klucz pozostał bezpieczny. Jak postępować przy naruszeniu ochrony danych opisujemy krok po kroku w osobnym artykule. 

Utrata niezaszyfrowanego nośnika niemal zawsze oznacza naruszenie podlegające zgłoszeniu — jeśli to właśnie Twój przypadek, zobacz, co zrobić po naruszeniu ochrony danych, zanim minie 72 godziny.

Szyfrowanie w decyzjach UODO — czego uczą kary

Orzecznictwo UODO pokazuje, jak poważnie traktowany jest brak szyfrowania urządzeń przenośnych.

Skradziony laptop uczelni (SGGW). Dane około 100 tysięcy kandydatów na studia z pięciu lat znalazły się na prywatnym laptopie pracownika, wykorzystywanym też służbowo; urządzenie skradziono, a dane nie były odpowiednio zabezpieczone. Prezes UODO nałożył karę 50 000 zł, wskazując m.in. na brak należytego nadzoru i niewystarczającą ocenę środków technicznych. Naczelny Sąd Administracyjny podtrzymał to stanowisko w wyroku z 7 lutego 2025 r., przesądzając, że to uczelnia jako administrator odpowiada za działania pracownika.

Zdecydowano o szyfrowaniu, ale go nie wdrożono (gmina Dobrzyniewo Duże). Administrator w analizie ryzyka prawidłowo zidentyfikował ryzyko kradzieży laptopa i zdecydował o szyfrowaniu dysku — jednak faktycznie go nie zaszyfrował, tłumacząc to nawałem innych zadań. Po kradzieży urządzenia Prezes UODO nałożył karę 8 000 zł, podkreślając, że zakup i zabezpieczenie sprzętu nie stanowi nadzwyczajnej okoliczności. To ważna lekcja: samo zaplanowanie środka nie wystarczy — trzeba go wdrożyć.

Zgubiony w metrze laptop z danymi wrażliwymi (ZHP). Instruktor zgubił plecak ze służbowym laptopem, na którym znajdowały się m.in. dane o zdrowiu, numery PESEL i dane dzieci oraz wolontariuszy. Wobec braku skutecznych zabezpieczeń Prezes UODO nałożył karę 24 555 zł, przypominając, że zabezpieczenia trzeba nie tylko wdrożyć, ale też testować i aktualizować.

Wspólny mianownik tych spraw jest jasny: urządzenia i nośniki wynoszone poza siedzibę należą do najbardziej narażonych, a szyfrowanie to podstawowy środek ochrony na wypadek ich utraty. UODO oczekuje też, by analiza ryzyka obejmowała nie tylko włamanie i kradzież, ale również zwykłe zagubienie sprzętu.

Zasady prawidłowego szyfrowania

Szyfrowanie działa tylko wtedy, gdy jest zrobione dobrze. W praktyce warto trzymać się kilku reguł:

Silne, aktualne algorytmy. Standardem jest AES-256 dla danych w spoczynku oraz nowoczesne wersje TLS (1.2 lub 1.3) dla transmisji. Należy unikać przestarzałych i uznanych za niebezpieczne rozwiązań.

Sprawdzone, gotowe narzędzia. Nie należy tworzyć własnych algorytmów kryptograficznych — bezpieczniej korzystać z uznanych, przetestowanych rozwiązań i bibliotek.

Aktualne rekomendacje. Warto śledzić wytyczne instytucji takich jak ENISA czy NIST, bo standardy kryptograficzne z czasem się zmieniają.

Szyfrowanie całego dysku na urządzeniach końcowych. Laptopy i urządzenia mobilne warto szyfrować w całości, a nie tylko wybrane pliki.

Zarządzanie kluczami — najsłabsze ogniwo

Nawet najmocniejszy algorytm nie pomoże, jeśli klucz jest źle chroniony. Zarządzanie kluczami to w praktyce najczęstszy słaby punkt szyfrowania. Klucze i hasła należy przechowywać bezpiecznie i oddzielnie od zaszyfrowanych danych, ograniczać do nich dostęp zgodnie z zasadą wiedzy koniecznej, a klucze odzyskiwania (recovery keys) przechowywać w bezpiecznym miejscu. Utrata klucza oznacza najczęściej nieodwracalną utratę danych, dlatego proces musi uwzględniać kopie i procedury odzyskiwania. Z drugiej strony klucz przechowywany razem z danymi albo hasło typu „abc123″ sprawiają, że szyfrowanie staje się iluzoryczne.

Szyfrowanie a rozliczalność

Szyfrowanie to nie tylko środek techniczny, ale i element rozliczalności (art. 5 ust. 2 oraz art. 24 RODO). Decyzje o zastosowaniu (lub niezastosowaniu) szyfrowania powinny wynikać z udokumentowanej analizy ryzyka i znaleźć odzwierciedlenie w polityce bezpieczeństwa. Kluczowa nauka z decyzji UODO jest jednak prosta: nie wystarczy zaplanować szyfrowanie na papierze — trzeba je faktycznie wdrożyć, utrzymywać i okresowo weryfikować jego skuteczność.

Najczęstsze błędy

Brak szyfrowania urządzeń przenośnych i nośników wynoszonych poza siedzibę.

Zaplanowanie szyfrowania bez jego wdrożenia — środek istnieje tylko w dokumentacji.

Przerzucenie szyfrowania na pracowników bez zapewnienia narzędzi i egzekwowania.

Słabe hasła i zła ochrona kluczy — klucz przechowywany razem z danymi.

Pominięcie zagubienia sprzętu w analizie ryzyka (uwzględnienie wyłącznie kradzieży).

Mylenie szyfrowania z anonimizacją i traktowanie danych zaszyfrowanych jak usuniętych.

Brak szyfrowania transmisji danych przez sieci publiczne.

Checklist — szyfrowanie danych osobowych

1. Przeprowadź analizę ryzyka obejmującą kradzież i zagubienie sprzętu.
2. Włącz szyfrowanie całego dysku na laptopach i urządzeniach mobilnych.
3. Szyfruj nośniki przenośne (pendrive’y, dyski zewnętrzne) i kopie zapasowe.
4. Zabezpiecz transmisję danych (TLS/HTTPS, VPN, szyfrowanie poczty przy danych wrażliwych).
5. Stosuj silne, aktualne algorytmy (np. AES-256, TLS 1.2/1.3).
6. Wdróż bezpieczne zarządzanie kluczami i przechowywanie kluczy odzyskiwania.
7. Nie przerzucaj szyfrowania na pracowników — zapewnij narzędzia i egzekwuj.
8. Udokumentuj decyzje o szyfrowaniu w analizie ryzyka i polityce bezpieczeństwa.
9. Uwzględnij szyfrowanie w ocenie naruszeń (art. 34 ust. 3 lit. a).
10. Okresowo testuj i aktualizuj zastosowane środki.

Potrzebujesz pomocy z bezpieczeństwem danych i art. 32 RODO?

Szyfrowanie to jeden z filarów bezpieczeństwa danych — ale tylko wtedy, gdy jest prawidłowo dobrane, wdrożone i udokumentowane. W Kancelarii Radcowskiej dr Joanny Maniszewskiej-Ejsmont pomagamy przeprowadzić analizę ryzyka, dobrać odpowiednie środki techniczne i organizacyjne zgodne z art. 32 RODO oraz przygotować politykę bezpieczeństwa i dokumentację potwierdzającą rozliczalność.