Zastąpienie nazw symbolami zastępczymi to dobry pierwszy krok. Zgodnie z RODO samo w sobie nie sprawia jednak, że dane stają się anonimowe. W tym artykule przedstawiamy, co mówi rozporządzenie, co orzekł Trybunał Sprawiedliwości Unii Europejskiej we wrześniu 2025 r. i co z tego wynika.
Krótka odpowiedź
Zasadniczo tak. RODO stanowi, że dane osobowe poddane pseudonimizacji, które można przypisać konkretnej osobie przy użyciu dodatkowych informacji, są informacjami o osobie możliwej do zidentyfikowania. Jeśli posiadasz klucz łączący „Person_1” z prawdziwym imieniem i nazwiskiem, zastąpiony przez Ciebie tekst nadal jest dla Ciebie daną osobową, a jego przetwarzanie podlega RODO.
Ostrożniejsza odpowiedź brzmi: zależy to od tego, kto posiada dane i jakimi środkami można w rozsądny sposób posłużyć się, aby zidentyfikować daną osobę. To właśnie dlatego znaczenie ma orzeczenie sądu z 2025 r.
Co mówi RODO
Artykuł 4 ust. 5 definiuje pseudonimizację jako:
„przetworzenie danych osobowych w taki sposób, by nie można ich było już przypisać konkretnej osobie, której dane dotyczą, bez użycia dodatkowych informacji, pod warunkiem że takie dodatkowe informacje są przechowywane osobno i są objęte środkami technicznymi i organizacyjnymi uniemożliwiającymi ich przypisanie zidentyfikowanej lub możliwej do zidentyfikowania osobie fizycznej”
Motyw 26 stanowi, że dane osobowe poddane pseudonimizacji, które można przypisać osobie fizycznej przy użyciu dodatkowych informacji, należy uznać za informacje o możliwej do zidentyfikowania osobie fizycznej. Aby ustalić, czy osoba jest możliwa do zidentyfikowania, należy uwzględnić wszelkie środki, których zastosowanie jest w rozsądnym zakresie prawdopodobne, takie jak wyodrębnienie osoby, przez administratora lub inną osobę, w tym czas i koszty potrzebne do identyfikacji oraz dostępną technologię.
Z tego sformułowania wynikają dwie praktyczne kwestie. Klucz należy przechowywać oddzielnie i stosować środki techniczne oraz organizacyjne. Ponadto „możliwość zidentyfikowania” ocenia się na podstawie realistycznych sposobów identyfikacji, a nie tego, czy identyfikacja jest teoretycznie możliwa.
Co Trybunał Sprawiedliwości dodał w 2025 r.
4 września 2025 r. Trybunał Sprawiedliwości UE wydał orzeczenie w sprawie EDPS przeciwko SRB (sprawa C-413/23 P). Dotyczyła ona uwag, które organ nadzoru bankowego przekazał firmie doradczej po zastąpieniu tożsamości autorów kodami. Sprawę rozstrzygnięto na podstawie rozporządzenia 2018/1725, które ma zastosowanie do instytucji UE, ale jego definicje danych osobowych i pseudonimizacji odpowiadają definicjom z RODO.
Trybunał orzekł, że danych spseudonimizowanych nie należy uznawać za dane osobowe „we wszystkich przypadkach i wobec każdej osoby”. To, czy dane stanowią dane osobowe dla konkretnego odbiorcy, zależy od okoliczności, w tym od tego, czy odbiorca dysponuje środkami, których zastosowanie w celu ponownej identyfikacji osób jest w rozsądnym zakresie prawdopodobne. Strona, która dokonała pseudonimizacji i posiada dodatkowe informacje, znajduje się w innej sytuacji niż odbiorca, który nie ma możliwości powiązania kodów z jakimikolwiek osobami.
To zmiana prawna, którą specjaliści nadal analizują. Nie należy odczytywać jej jako pozwolenia na przesyłanie gdziekolwiek spseudonimizowanych danych klientów. Orzeczenie mówi, że kwestię ocenia się z perspektywy odbiorcy, a nie że przestaje ona mieć znaczenie.
Co to oznacza dla chatbota AI
- Nadal jesteś administratorem pierwotnych danych i klucza. Twoje obowiązki wynikające z RODO dotyczą tego, co robisz z dokumentem, w tym jego zastępowania.
- To, czy dostawca AI otrzymuje dane osobowe, zależy od konkretnych okoliczności. Kontekst może umożliwić identyfikację osoby nawet bez nazwiska: rzadki zawód, mała miejscowość, nietypowe zdarzenie. Jeśli ktoś może w realistyczny sposób ustalić, o kim jest mowa w tekście, traktuj go jako daną osobową.
- Nie opieraj swojego podejścia do zgodności z przepisami na założeniu, że symbole zastępcze czynią tekst anonimowym. Załóż, że tekst może nadal stanowić dane osobowe, a symbole zastępcze traktuj jako jeden z kilku środków ochrony.
Warto stosować pseudonimizację i RODO to potwierdza. Artykuł 32 ust. 1 lit. a wymienia pseudonimizację jako jeden ze środków bezpieczeństwa, z których może skorzystać administrator. Motywy 28 i 78 stanowią, że może ona ograniczać ryzyko dla osób, których dane dotyczą, oraz wspierać ochronę danych w fazie projektowania i domyślną ochronę danych. Rozporządzenie traktuje ją jako środek ochronny, a nie sposób na wyłączenie się spod jego przepisów.
Co robić w praktyce
- Najpierw ogranicz zakres danych. Przesyłaj tylko fragment niezbędny do wykonania zadania. Zobacz jak korzystać z narzędzi AI z dokumentami klientów.
- Zastąp wszystkie identyfikatory, nie tylko imiona i nazwiska. Numery kont, numery identyfikacyjne i daty urodzenia również identyfikują osoby. Na liście kontrolnej znajdziesz ich wykaz.
- Klucz pozostaw po swojej stronie, oddzielony od wysyłanego tekstu, i usuń go po zakończeniu sprawy.
- Sprawdź warunki dostawcy i swój plan. Plan biznesowy z umową powierzenia przetwarzania danych to inna sytuacja niż bezpłatne konto osobiste. Zobacz co mówią ustawienia dotyczące danych.
- W sprawach wysokiego ryzyka zasięgnij porady: dotyczy to danych o zdrowiu, danych dzieci, szczególnych kategorii danych oraz wszelkich informacji, których naruszenie mogłoby mieć poważne skutki.
W potocznych rozmowach tych pojęć używa się dość swobodnie. Artykuł „Anonimizacja, pseudonimizacja i redakcja” porównuje je.
Często zadawane pytania
Czy dane spseudonimizowane to to samo co dane anonimowe?
Nie. Motyw 26 stanowi, że zasady ochrony danych nie mają zastosowania do informacji anonimowych, czyli informacji, które nie dotyczą możliwej do zidentyfikowania osoby, ani do danych, które zanonimizowano w taki sposób, że osoba nie jest już możliwa do zidentyfikowania. Dane spseudonimizowane, które można ponownie powiązać z osobą, stanowią odrębną kategorię.
Czy RODO zabrania korzystania z narzędzi AI przy przetwarzaniu danych osobowych?
Nie. Wymaga podstawy prawnej, minimalizacji danych i bezpieczeństwa, a w przypadku dostawcy — odpowiedniej umowy. Używanie symboli zastępczych pomaga ograniczyć zakres danych.
Czy ma to zastosowanie poza UE?
Wielka Brytania ma własną wersję przepisów, a wiele krajów stosuje podobne regulacje. RODO może też obejmować przedsiębiorstwa spoza UE, które oferują usługi osobom znajdującym się na jej terytorium.
ClientSafe przechowuje na Twoim komputerze tabelę łączącą symbole zastępcze z prawdziwymi nazwami. Tekst kopiowany do narzędzia AI zawiera wyłącznie symbole zastępcze. Najpierw sprawdzasz wyniki działania narzędzia, ponieważ żadne narzędzie nie wykrywa wszystkiego.
To ogólne informacje, a nie porada prawna. Skonsultuj swoją sytuację z wykwalifikowanym doradcą ds. ochrony danych.