Dane pseudonimizowane a dane osobowe — przełomowy wyrok TSUE

Czy dane pseudonimizowane zawsze są danymi osobowymi? Przez lata organy ochrony danych odpowiadały na to pytanie zasadniczo twierdząco. Wyrok TSUE z 4 września 2025 r. w sprawie EDPS przeciwko SRB (C-413/23 P) pokazuje bardziej złożone podejście. Trybunał uznał, że status tych samych danych osobowych może zależeć od konkretnego podmiotu. Dla jednego odbiorcy mogą być to dane osobowe, a dla innego już nie.

Kluczowe znaczenie ma możliwość identyfikacji osoby. Trzeba więc sprawdzić, czy dany podmiot dysponuje środkami ,,rozsądnie prawdopodobnymi” do ponownego ustalenia tożsamości. Wyrok nie oznacza jednak, że pseudonimizacja automatycznie wyłącza stosowanie RODO. Administrator, który nadal może zidentyfikować osoby, pozostaje związany wszystkimi obowiązkami wynikającymi z przepisów.

Orzeczenie ma duże znaczenie dla organizacji udostępniających dane, prowadzących analizy lub rozwijających rozwiązania AI. W tym artykule wyjaśniam najważniejsze wnioski z wyroku i ich praktyczne konsekwencje.

Tło sprawy

Sprawa dotyczyła restrukturyzacji hiszpańskiego banku Banco Popular. Jednolita Rada ds. Restrukturyzacji i Uporządkowanej Likwidacji, czyli SRB, prowadziła postępowanie dotyczące możliwej rekompensaty. Byli akcjonariusze i wierzyciele mogli w jego ramach przesyłać swoje uwagi. SRB zebrała komentarze i następnie je spseudonimizowała. Każdy formularz otrzymał unikalny kod alfanumeryczny, a bezpośrednie identyfikatory zostały usunięte. Następnie SRB przekazała 1104 komentarze firmie Deloitte. Firma miała wykorzystać je przy ocenie skutków restrukturyzacji. Problem dotyczył jednak obowiązku informacyjnego. Osoby przesyłające uwagi nie zostały poinformowane, że ich komentarze mogą trafić do Deloitte. Po złożeniu skarg sprawą zajął się Europejski Inspektor Ochrony Danych.

EIOD uznał Deloitte za odbiorcę danych osobowych. Wskazał przy tym, że SRB nadal posiadała informacje umożliwiające ponowne powiązanie komentarzy z konkretnymi osobami. W konsekwencji organ stwierdził naruszenie obowiązku informacyjnego. Sąd UE uchylił jednak tę decyzję. Uznał, że status danych trzeba oceniać również z perspektywy odbiorcy, czyli Deloitte. EIOD zaskarżył wyrok. TSUE następnie go uchylił i przekazał sprawę Sądowi do ponownego rozpoznania. Formalnie sprawa dotyczyła rozporządzenia 2018/1725 dotyczącego instytucji Unii. Regulacja ta w dużej mierze odpowiada jednak rozwiązaniom przyjętym w RODO. Dlatego wyrok ma istotne znaczenie także dla interpretacji pojęcia danych osobowych na gruncie RODO.

Trzy kluczowe wnioski z wyroku TSUE

1. Opinie i poglądy mogą być danymi osobowymi

Pierwszy wniosek dotyczy samego charakteru informacji przekazanych SRB. Trybunał uznał, że opinie i poglądy wyrażone przez osobę pozostają nierozerwalnie związane z ich autorem. Z tego powodu mogą stanowić informacje odnoszące się do konkretnej osoby. Ma to szerokie znaczenie praktyczne. Firmy często zbierają ankiety, komentarze, oceny klientów czy opinie pracowników. Brak imienia i nazwiska nie oznacza automatycznie, że taka wypowiedź znajduje się poza RODO. Jeżeli informacja odnosi się do możliwej do zidentyfikowania osoby, nadal może stanowić dane osobowe.

2. Status danych pseudonimizowanych może zależeć od konkretnego podmiotu

To najważniejszy element wyroku. TSUE wyraźnie rozróżnił pseudonimizację od anonimizacji. Pseudonimizacja ogranicza ryzyko identyfikacji, ale sama nie powoduje, że dane stają się anonimowe. Jednocześnie Trybunał odrzucił podejście, zgodnie z którym dane pseudonimizowane zawsze mają taki sam status dla każdego podmiotu. Nadawca może posiadać klucz umożliwiający odtworzenie tożsamości osoby. W takim przypadku dane nadal pozostają dla niego danymi osobowymi. Odbiorca może jednak nie posiadać tego klucza. Może także nie dysponować innymi realnymi sposobami identyfikacji. W takiej sytuacji ten sam zbiór może nie stanowić dla odbiorcy danych osobowych.

Nie wystarczy jednak wskazać czysto teoretycznej możliwości identyfikacji. Trzeba ocenić, czy istnieją środki rozsądnie prawdopodobne do wykorzystania. Znaczenie mają więc m.in. dostęp do dodatkowych informacji, technologia, czas, koszty oraz możliwość pozyskania danych od innych podmiotów.

Kiedy dane są naprawdę anonimowe — opisujemy w osobnym artykule o wytycznych EROD.

3. Obowiązek informacyjny ocenia się z perspektywy administratora

Trzeci wniosek ma szczególne znaczenie dla praktyki. Administrator powinien ocenić obowiązek informacyjny w momencie zbierania danych. Liczy się wtedy jego własna perspektywa. SRB posiadała informacje umożliwiające ponowne powiązanie komentarzy z konkretnymi osobami. Dla SRB były to zatem nadal dane osobowe. Planowane przekazanie danych Deloitte należało więc uwzględnić w informacji przekazywanej osobom. Nie zmienia tego nawet sytuacja, w której sam Deloitte nie mógłby zidentyfikować żadnego autora. Trzeba więc podkreślić, że pseudonimizacja nie zwalnia administratora z obowiązku przejrzystości. Jak napisać prawidłową klauzulę informacyjną opisujemy w osobnym artykule.

Co wyrok zmienia w praktyce

Z jednej strony TSUE potwierdził kontekstowy charakter pojęcia danych osobowych. Status informacji może zależeć od tego, kto je posiada i jakimi środkami dysponuje. Takie podejście ma szczególne znaczenie przy udostępnianiu danych innym organizacjom. Może się zdarzyć, że zbiór pozostaje danymi osobowymi dla nadawcy. Jednocześnie dla odbiorcy nie musi mieć już takiego charakteru. Warunkiem jest brak środków rozsądnie prawdopodobnych do identyfikacji osób. Może to mieć znaczenie dla badań, analiz, współpracy między organizacjami oraz projektów związanych z AI. Jak wytyczne EROD podchodzą do web scrapingu pod AI opisujemy w oddzielnym artykule.

Z drugiej strony TSUE nie obniżył poziomu ochrony po stronie administratora. Podmiot, który zebrał dane i nadal może zidentyfikować osoby, musi stosować RODO. Dotyczy to także danych, które później spseudonimizował i udostępnił innemu odbiorcy. Ponadto analiza identyfikowalności nie może ograniczać się do informacji dostępnych bezpośrednio. Trzeba uwzględniać także możliwości pozyskania danych z innych źródeł.

Pseudonimizacja to nie anonimizacja

Wyrok ponownie pokazuje różnicę między pseudonimizacją i anonimizacją.

Pseudonimizacja utrudnia przypisanie danych do konkretnej osoby. Przykładowo organizacja może zastąpić imię, nazwisko lub numer klienta losowym kodem. Nie oznacza to jednak, że dane przestają być osobowe. Podmiot posiadający klucz lub inne informacje umożliwiające identyfikację nadal przetwarza dane osobowe.

Anonimizacja prowadzi natomiast do dalej idącego rezultatu. Jeżeli proces jest skuteczny, osoby nie można zidentyfikować przy użyciu środków rozsądnie prawdopodobnych. Wtedy dane przestają podlegać RODO.

Dlatego sama zamiana identyfikatorów na kody nie wystarczy. Trzeba ocenić cały kontekst, dostępne informacje oraz realne możliwości konkretnego podmiotu.

Co wyrok oznacza dla firm

Dla organizacji korzystających z pseudonimizacji wyrok oznacza przede wszystkim potrzebę dokładniejszej oceny statusu danych. Przed udostępnieniem zbioru warto sprawdzić kilka kwestii:

• Czy dane pozostają osobowe dla nadawcy? Jeżeli organizacja ma klucz identyfikacyjny, odpowiedź zwykle będzie twierdząca.
• Jak wygląda sytuacja odbiorcy? Trzeba ustalić, czy może realnie zidentyfikować osoby.
• Czy odbiorca może pozyskać dodatkowe informacje? Należy uwzględnić także środki dostępne przez osoby trzecie.
• Czy obowiązek informacyjny obejmuje odbiorcę? Ocena powinna nastąpić z perspektywy administratora w momencie zbierania danych.
• Czy analiza została udokumentowana? Warto zapisać przyjęte założenia, oceniane środki oraz wynik testu.
• Czy klucz re-identyfikacyjny jest odpowiednio zabezpieczony? Powinien być oddzielony od samego zbioru.
• Czy ocena nadal pozostaje aktualna? Technologia i dostępność dodatkowych danych zmieniają się w czasie.

Szczególnie ważne jest też prawidłowe określanie statusu opinii i komentarzy. Trzeba pamiętać, że ankiety czy oceny klientów mogą stanowić dane osobowe. Dotyczy to także sytuacji, gdy usunięto z nich oczywiste identyfikatory.

Najczęstsze błędy przy pseudonimizacji

Traktowanie pseudonimizacji jak anonimizacji. Zastąpienie danych identyfikacyjnych kodami nie powoduje automatycznego wyłączenia RODO.

Założenie, że status danych jest zawsze taki sam. Ten sam zbiór może mieć różny status dla nadawcy i odbiorcy.

Pominięcie odbiorcy w klauzuli informacyjnej. Pseudonimizacja nie usuwa obowiązku przejrzystości po stronie administratora.

Analiza wyłącznie bezpośrednich możliwości odbiorcy. Trzeba uwzględnić także dodatkowe informacje dostępne z innych źródeł.

Brak udokumentowanego testu identyfikowalności. Organizacja powinna potrafić uzasadnić przyjętą kwalifikację danych.

Niewystarczające zabezpieczenie klucza. Dostęp do informacji umożliwiających re-identyfikację powinien podlegać ścisłym ograniczeniom.

Jednorazowa ocena. Rozwój technologii lub nowe źródła informacji mogą zwiększyć możliwość ponownej identyfikacji.

Pseudonimizacja i udostępnianie danych — praktyczna checklista

• Ustal status danych po stronie nadawcy. Sprawdź, czy możesz powiązać je z konkretnymi osobami.
• Przeanalizuj sytuację odbiorcy. Oceń jego realne możliwości ponownej identyfikacji.
• Uwzględnij dodatkowe źródła informacji oraz środki dostępne za pośrednictwem innych podmiotów.
• Wskaż odbiorców lub ich kategorie w odpowiedniej informacji dotyczącej przetwarzania.
• Nie utożsamiaj pseudonimizacji z anonimizacją.
• Udokumentuj test identyfikowalności i podstawę przyjętej kwalifikacji danych.
• Oddziel klucz re-identyfikacyjny od zbioru danych.
• Ogranicz dostęp do informacji umożliwiających ponowną identyfikację.
• Stosuj odpowiednie środki techniczne i organizacyjne chroniące dodatkowe informacje.
• Regularnie ponawiaj ocenę, szczególnie po zmianie technologii lub sposobu udostępniania danych.

Potrzebujesz ocenić status danych pseudonimizowanych?

Prawidłowe rozróżnienie danych pseudonimizowanych, anonimowych i osobowych może mieć istotne znaczenie dla zgodności z RODO. Od kwalifikacji danych zależy zakres obowiązków administratora i odbiorcy. Ma ona również znaczenie przy udostępnianiu zbiorów, analizach oraz projektach data i AI.

W Kancelarii Radcowskiej dr Joanny Maniszewskiej-Ejsmont wspieramy organizacje w ocenie statusu danych z perspektywy nadawcy i odbiorcy.

Pomagamy przeprowadzić test identyfikowalności, ocenić ryzyko re-identyfikacji oraz prawidłowo udokumentować proces. Przygotowujemy także klauzule informacyjne i dokumentację dotyczącą udostępniania danych.

Jeżeli wykorzystujesz pseudonimizację w analizach, badaniach lub projektach AI, sprawdź ofertę audytu i wsparcia RODO lub skontaktuj się z nami.