Anonimizacja danych a RODO — co wnoszą nowe wytyczne EROD?

„Dane zostały zanonimizowane, więc RODO przestaje mieć zastosowanie” — takie założenie w praktyce wielu organizacji pojawia się często. Trzeba pamiętać, że nie każda operacja na danych osobowych określana jako anonimizacja rzeczywiście prowadzi do powstania danych anonimowych. Skuteczna anonimizacja powoduje, że dane przestają podlegać RODO.  Osiągnięcie takiego rezultatu jest jednak znacznie trudniejsze niż samo usunięcie imienia, nazwiska czy innych elementów identyfikujących podmiot danych.

W lipcu 2026 r. Europejska Rada Ochrony Danych (EROD) przyjęła Wytyczne 02/2026 dotyczące anonimizacji, które aktualizują i rozwijają podejście przedstawione wcześniej w Opinii 05/2014 Grupy Roboczej Art. 29. Dokument uwzględnia zmiany, jakie w ostatnich latach zaszły zarówno w orzecznictwie, jak i w technologii oraz sposobach wykorzystywania danych. Co szczególnie istotne, EROD proponuje konkretne mechanizmy pozwalające ocenić, czy proces anonimizacji zakończył się powodzeniem.

Trzeba mieć na uwadze, że dokument został przyjęty w wersji 1.0 do konsultacji publicznych, które potrwają do 30 października 2026 r. Finalna treść wytycznych może więc jeszcze ulec zmianie. Już teraz jednak wyraźnie pokazują, w jaki sposób EROD podchodzi do pojęcia anonimowości danych i jakie elementy powinny być brane pod uwagę przy ocenie skuteczności anonimizacji.

Dlaczego skuteczna anonimizacja ma tak duże znaczenie

Z motywu 26 preambuły RODO wynika, że prawidłowo zanonimizowane dane nie są objęte przepisami RODO. W praktyce daje to organizacjom znacznie większą swobodę w ich dalszym wykorzystywaniu m.in. do analiz, badań, rozwoju i trenowania modeli AI.

Jest jeden konieczny warunek: anonimizacja musi być skuteczna. Jeżeli mimo zastosowanych przez organizację środków jest możliwe zidentyfikowanie konkretnych podmiotów danych, dane nadal są danymi osobowymi, a ich przetwarzanie podlega RODO. Może się wówczas okazać, że organizacja przetwarza dane osobowe bez uwzględnienia wymogów, które uznała za nieaktualne (np. odpowiedniej podstawy prawnej, obowiązków informacyjnych czy zasad retencji i bezpieczeństwa).

Nieskuteczna „anonimizacja” nie usuwa więc ryzyka regulacyjnego. Przeciwnie, może je zwiększać, ponieważ organizacja działa w przekonaniu, że RODO nie ma już zastosowania, choć w rzeczywistości nadal przetwarza dane osobowe.

Względny charakter anonimowości — kluczowy punkt wyjścia

Jednym z najważniejszych założeń wytycznych jest to, że anonimowość danych nie ma charakteru absolutnego. Ten sam zbiór danych może stanowić dane osobowe dla jednego podmiotu, a dla innego być anonimowy. Ocena powinna być zatem dokonywana z perspektywy konkretnego podmiotu i z uwzględnieniem środków, którymi może on rozsądnie dysponować w celu identyfikacji osoby.

W praktyce oznacza to, że fakt, że jedna organizacja jest w stanie powiązać określone informacje z konkretną osobą, nie przesądza automatycznie, że ten sam charakter będą miały dane znajdujące się w rękach innego odbiorcy, który nie dysponuje możliwością dokonania takiego powiązania. Takie podejście znajduje oparcie w wyroku TSUE z 4 września 2025 r. w sprawie C-413/23 P, EDPS przeciwko SRB, dotyczącym oceny statusu danych z perspektywy ich odbiorcy.

Dlatego też przy planowaniu anonimizacji trzeba wcześniej ustalić, dla jakiego podmiotu dane mają stać się anonimowe. Jeżeli mają być przekazywane lub udostępniane kolejnym podmiotom, ocena skuteczności anonimizacji powinna uwzględniać również perspektywę tych odbiorców i ich realne możliwości identyfikacji osób.

Test w dwóch pytaniach

Nowe wytyczne proponują uporządkować ocenę charakteru danych w następujący sposób:

1. Czy dana informacja odnosi się do osoby fizycznej — ze względu na swoją treść, cel wykorzystania albo skutek, jaki może wywołać?
2. Czy osoba, której informacja dotyczy, jest zidentyfikowana lub możliwa do zidentyfikowania, przy uwzględnieniu środków, których wykorzystania można rozsądnie oczekiwać?

Pozytywna odpowiedź na oba pytania prowadzi do wniosku, że mamy do czynienia z danymi osobowymi. Jeżeli natomiast osoby nie można zidentyfikować przy użyciu środków, których zastosowanie jest rozsądnie prawdopodobne, dane mogą zostać uznane za anonimowe.

W praktyce największe znaczenie ma zatem ustalenie, jakie środki identyfikacji są „rozsądnie prawdopodobne” do wykorzystania.

„Środki, których użycie jest rozsądnie prawdopodobne” — szerokie spojrzenie EROD

EROD interpretuje pojęcie środków możliwych do wykorzystania przy identyfikacji bardzo szeroko. Może chodzić zarówno o zwykłe odczytanie dokumentu czy wyszukanie dodatkowych informacji w internecie, jak i o przeprowadzenie bardziej zaawansowanych analiz. Co istotne, nie bierze się pod uwagę wyłącznie możliwości, którymi dysponuje bezpośrednio dany podmiot. Znaczenie mogą mieć również narzędzia, informacje i możliwości dostępne za pośrednictwem innych osób.

Wytyczne zwracają uwagę na kilka szczególnie istotnych kwestii:

• Krąg podmiotów, które trzeba brać pod uwagę, może być bardzo szeroki. W zależności od okoliczności mogą to być nie tylko administrator i odbiorcy danych, lecz także nieuczciwi pracownicy, osoby z otoczenia osoby fizycznej, dziennikarze śledczy, krajowe i zagraniczne służby, nieetycznie działające przedsiębiorstwa czy cyberprzestępcy. Nie oznacza to, że każdy z tych podmiotów trzeba analizować w każdej sytuacji, zakres oceny zależy od konkretnego kontekstu i tego, kto może bezpośrednio lub pośrednio uzyskać dostęp do danych.
• „Nikt nie będzie chciał tego robić” nie jest wystarczającym argumentem. EROD przestrzega przed opieraniem oceny na braku motywacji do identyfikacji. Motywacja jest trudna do obiektywnego ustalenia, może zmieniać się w czasie, a identyfikacja może nastąpić również przypadkowo, wskutek zaniedbania albo działania innych okoliczności.
• Rozwój AI może ułatwiać ponowną identyfikację. EROD zauważa, że wiele technik re-identyfikacji staje się coraz łatwiej dostępnych, a rozwój sztucznej inteligencji może dodatkowo ograniczać czas i koszty potrzebne do ich zastosowania oraz do łączenia informacji z różnych źródeł.
• Sama umowa nie wystarczy. Umowny zakaz podejmowania prób identyfikacji może wzmacniać ochronę, ale nie jest odpowiednikiem zakazu wynikającego z prawa i sam w sobie nie powoduje, że dane stają się anonimowe. Środki umowne powinny uzupełniać rozwiązania techniczne, a ich skuteczność musi być realna — powinny być wiarygodne, możliwe do zweryfikowania i egzekwowalne.

W praktyce oznacza to, że anonimizacji nie można oceniać wyłącznie na podstawie samego zbioru danych. Trzeba spojrzeć również na otoczenie, w którym dane będą wykorzystywane, możliwych odbiorców, dostępne im źródła informacji oraz technologie, które mogą pozwolić na ponowną identyfikację.

Dwa sposoby oceny anonimowości

Wytyczne przewidują dwa możliwe podejścia do oceny czy dane osobowe można uznać za anonimowe.

Podejście kontekstowe polega na analizie sytuacji z perspektywy poszczególnych podmiotów, które mogą mieć dostęp do danych i potencjalnie podjąć próbę identyfikacji osoby. Uwzględnia więc różnice w ich wiedzy, możliwościach technicznych, dostępie do dodatkowych informacji czy zasobach. Pozwala ocenić anonimowość danych odrębnie dla każdego podmiotu. Jest bardziej precyzyjne i najpełniej odpowiada prawnemu testowi identyfikowalności, ale jednocześnie wymaga bardziej rozbudowanej analizy.

Podejście uproszczone nie różnicuje sytuacji poszczególnych podmiotów i przyjmuje bardziej zachowawczą perspektywę. W rezultacie dane mogą zostać potraktowane jako osobowe także wtedy, gdy dla niektórych odbiorców w praktyce byłyby anonimowe. Takie rozwiązanie upraszcza ocenę i zapewnia większy margines bezpieczeństwa.

EROD zaznacza przy tym, że podejście uproszczone nie stanowi odrębnego testu prawnego ani innego standardu anonimizacji. Jest raczej ostrożniejszą metodą praktycznego stosowania tego samego kryterium. W zależności od charakteru danych i sposobu ich wykorzystywania oba podejścia mogą być również stosowane łącznie.

Trzy kryteria skutecznej anonimizacji

W nowych wytycznych EROD wskazuje trzy kryteria, które pomagają ocenić, czy dane można rzeczywiście uznać za anonimowe:

Brak możliwości wyodrębnienia osoby (singling out). Chodzi o to, aby na podstawie danych nie można było wyodrębnić konkretnej, zindywidualizowanej osoby spośród pozostałych. Ryzyko rośnie wraz z liczbą i szczegółowością dostępnych atrybutów — nawet jeśli żaden z nich samodzielnie nie identyfikuje osoby, ich kombinacja może okazać się unikalna i pozwolić na wyodrębnienie konkretnego podmiotu danych.

Brak możliwości powiązania danych (linkage). Drugie kryterium dotyczy możliwości zestawienia rekordu z informacjami znajdującymi się w innym zbiorze danych i odnoszącymi się do tej samej osoby. Takie powiązanie może nastąpić zarówno poprzez wspólny identyfikator, jak i poprzez charakterystyczną kombinację cech. Ocena anonimizacji wymaga więc uwzględnienia także innych zbiorów danych, które mogą być dostępne dla podmiotu dokonującego identyfikacji.

Brak możliwości wnioskowania (inference). Dane nie powinny pozwalać na wyprowadzenie konkretnego i istotnego wniosku dotyczącego określonej osoby. Wniosek jest konkretny, jeżeli odnosi się do jednej możliwej do zidentyfikowania osoby, a istotny gdy może rzeczywiście wpływać na jej sytuację, prawa lub interesy i wynika z analizowanych danych, a nie jedynie z wiedzy ogólnej. EROD wskazuje przykładowo, że stwierdzenie, iż „Connor lubi kolor zielony”, może być konkretne, ale niekoniecznie będzie miało wystarczająco istotny charakter.

Jeżeli dane przechodzą wszystkie trzy testy, niezależnie od tego, czy zastosowano podejście kontekstowe, czy uproszczone, przemawia to za uznaniem ich za anonimowe. Niespełnienie jednego z kryteriów nie przesądza jednak automatycznie, że mamy do czynienia z danymi osobowymi. Oznacza konieczność pogłębionej analizy, w szczególności sprawdzenia, czy dostępne informacje pozwalają w rzeczywistości wyodrębnić lub zidentyfikować konkretną osobę.

Dla ułatwienia tej oceny EROD dołączyła do wytycznych również diagram decyzyjny, który prowadzi krok po kroku przez poszczególne elementy testu.

Anonimizacja to też przetwarzanie danych

Trzeba pamiętać, że sam proces prowadzący do powstania danych anonimowych jest jeszcze przetwarzaniem danych osobowych, a więc podlega przepisom RODO.

Z tego wynikają konkretne obowiązki po stronie administratora:

• Anonimizacja musi mieć podstawę prawną. Proces anonimizowania danych wymaga oparcia na jednej z przesłanek z art. 6 RODO, a jeżeli obejmuje szczególne kategorie danych spełnienia odpowiedniego warunku z art. 9 ust. 2 RODO.
• Trzeba zachować przejrzystość wobec osób, których dane dotyczą. Administrator powinien rzetelnie informować o planowanej anonimizacji. Nie powinien również określać danych jako „anonimowe” czy „zdepersonalizowane”, jeżeli w rzeczywistości możliwa pozostaje identyfikacja konkretnych osób.
• Proces anonimizacji powinien być udokumentowany. Dokumentacja powinna obejmować nie tylko zastosowane techniki, ale również sposób oceny ich skuteczności i przeprowadzone testy zbiorów uznawanych za anonimowe. Ma to znaczenie zarówno z perspektywy zasady rozliczalności, jak i możliwości wykazania, że anonimizacja rzeczywiście była skuteczna.
• Szybka anonimizacja może ograniczać ingerencję w prywatność. Jeżeli dane źródłowe są anonimizowane niezwłocznie po zebraniu, a następnie usuwane, może to przemawiać na korzyść administratora przy ocenie proporcjonalności przetwarzania, w szczególności w ramach testu równowagi dla prawnie uzasadnionego interesu.

Sama deklaracja, że celem operacji jest anonimizacja, nie zwalnia więc administratora z obowiązków wynikających z RODO. Do momentu skutecznego zakończenia tego procesu organizacja nadal operuje na danych osobowych.

Anonimizacja – o czym jeszcze warto pamiętać

Anonimizacja i pseudonimizacja to nie to samo. Pseudonimizacja ogranicza możliwość bezpośredniego przypisania danych do konkretnej osoby, ale nie pozbawia ich charakteru danych osobowych. Tak samo szyfrowanie jest środkiem bezpieczeństwa, a nie metodą, która sama w sobie prowadzi do anonimizacji.

Zbiory mieszane mogą nadal podlegać RODO. Jeżeli jeden zbiór obejmuje zarówno dane anonimowe, jak i dane osobowe, a poszczególne części nie są przetwarzane w sposób pozwalający na ich wyraźne rozdzielenie, do całości należy stosować wymagania właściwe dla danych osobowych.

Anonimowość trzeba oceniać także w czasie. Zbiór uznany dziś za anonimowy nie musi zachować tego statusu bezterminowo. Rozwój technologii, pojawienie się nowych źródeł informacji czy łatwiejszy dostęp do dodatkowych danych mogą zwiększyć możliwość ponownej identyfikacji. Dlatego skuteczność anonimizacji warto okresowo weryfikować.

Incydent bezpieczeństwa może zmienić sytuację. Jeżeli anonimizacja opierała się m.in. na niedostępności określonych informacji, a w wyniku incydentu informacje te zostaną ujawnione, konieczna może być ponowna ocena możliwości identyfikacji osób. Jeżeli okaże się, że dane należy jednak traktować jako osobowe, aktualne mogą stać się również obowiązki dotyczące naruszeń ochrony danych, w tym wynikające z art. 33 i 34 RODO.

Najczęstsze błędy i mity dotyczące anonimizacji

„Usunęliśmy imiona i nazwiska, więc dane są anonimowe.” Brak bezpośrednich identyfikatorów nie przesądza o anonimowości. Do wyodrębnienia lub identyfikacji osoby może wystarczyć charakterystyczna kombinacja pozostałych informacji.

Mylenie anonimizacji z pseudonimizacją. Zastąpienie identyfikatorów numerami ogranicza możliwość bezpośredniej identyfikacji, ale nie powoduje automatycznie, że dane przestają być danymi osobowymi.

Założenie, że nikt nie będzie próbował identyfikować osób. Ocena skuteczności anonimizacji nie powinna opierać się na przewidywanej motywacji potencjalnych odbiorców. Motywacja może się zmieniać, a możliwość identyfikacji powinna być oceniana obiektywnie.

Analizowanie zbioru w oderwaniu od innych źródeł danych. Informacje, które same w sobie wydają się anonimowe, mogą umożliwiać identyfikację po zestawieniu ich z innymi dostępnymi zbiorami. Dlatego trzeba uwzględniać ryzyko powiązania danych.

Brak testowania skuteczności anonimizacji. Samo zastosowanie określonej techniki nie wystarcza. Trzeba sprawdzić, czy po jej zastosowaniu nadal możliwe jest wyodrębnienie osoby, powiązanie danych z innymi źródłami lub wyciąganie istotnych wniosków na jej temat.

Brak dokumentacji procesu. Bez udokumentowania przyjętych założeń, zastosowanych metod i wyników testów trudno wykazać, że anonimizacja została przeprowadzona prawidłowo.

Traktowanie anonimowości jako stanu trwałego. Ocena dokonana dziś nie musi pozostać aktualna za kilka lat. Nowe technologie, dodatkowe źródła danych czy zmiana sposobu udostępniania zbioru mogą zwiększyć ryzyko ponownej identyfikacji, dlatego anonimowość powinna być okresowo weryfikowana.

Checklista — jak ocenić skuteczność anonimizacji

• Określ, dla kogo dane mają być anonimowe — zidentyfikuj podmioty, które mogą mieć do nich dostęp, i perspektywy wymagające uwzględnienia.
• Wybierz sposób przeprowadzenia oceny — podejście kontekstowe, uproszczone albo połączenie obu metod.
• Zmapuj sam zbiór oraz dostępne informacje dodatkowe, które mogłyby zostać wykorzystane do identyfikacji osób.
• Przeprowadź test trzech kryteriów anonimowości — możliwości wyodrębnienia osoby (singling out), powiązania danych z innymi zbiorami (linkage) oraz wnioskowania o konkretnej osobie (inference).
• Oceń środki, których wykorzystania można rozsądnie oczekiwać — uwzględnij m.in. czas, koszty, dostęp do dodatkowych danych, możliwości techniczne oraz rozwój technologii, w tym AI.
• Sprawdź kontekst udostępniania danych — krąg odbiorców, zakres ich dostępu oraz środki techniczne, organizacyjne i umowne ograniczające możliwość identyfikacji.
• Zapewnij podstawę prawną dla samego procesu anonimizacji i uwzględnij wynikające z RODO wymogi przejrzystości.
• Nie określaj danych jako anonimowe, dopóki istnieje realna możliwość identyfikacji osób przy użyciu środków rozsądnie prawdopodobnych.
• Udokumentuj cały proces, w tym przyjęte założenia, zastosowane techniki oraz wyniki przeprowadzonych testów.
• Zaplanuj okresową ponowną ocenę anonimowości, uwzględniając rozwój technologii i pojawianie się nowych źródeł danych.
• Przeprowadź ponowną ocenę po istotnej zmianie okoliczności, np. zmianie sposobu udostępniania danych, pojawieniu się nowych zbiorów możliwych do połączenia albo incydencie bezpieczeństwa.

Potrzebujesz ocenić, czy Twoje dane są naprawdę anonimowe?

W Kancelarii Radcowskiej dr Joanny Maniszewskiej-Ejsmont wspieramy organizacje w ocenie skuteczności anonimizacji, analizie ryzyka ponownej identyfikacji oraz doborze odpowiednich środków technicznych i organizacyjnych. Pomagamy również dokumentować proces anonimizacji i ustalić, kiedy właściwszym rozwiązaniem będzie pseudonimizacja albo dalsze przetwarzanie danych osobowych w oparciu o odpowiednią podstawę prawną.

Jeżeli wykorzystujesz dane do analiz, badań, rozwoju produktów lub projektów związanych z AI i chcesz sprawdzić, czy rzeczywiście można je uznać za anonimowe, sprawdź ofertę audytu RODO i wsparcia RODO dla projektów data i AI lub skontaktuj się z nami.