Dane są anonimowe dopiero wtedy, gdy żadnym rozsądnie prawdopodobnym sposobem nikt nie może ustalić, kogo dotyczą. Jeśli gdziekolwiek istnieje klucz, który pozwala odtworzyć nazwiska, dane są tylko spseudonimizowane. RODO stosuje się wtedy do nich w całości.
Co RODO uznaje za dane anonimowe
RODO definiuje pseudonimizację w art. 4 pkt 5. To przetworzenie danych tak, aby bez dodatkowych informacji nie dało się ich przypisać konkretnej osobie. Te dodatkowe informacje muszą być przechowywane osobno i chronione. Dane anonimowe w ogóle nie podlegają rozporządzeniu.
Granicę wyznacza test, który można zastosować do konkretnego pliku: czy ktokolwiek mógłby ustalić tożsamość osoby środkami, których użycie jest rozsądnie prawdopodobne? Chodzi o każdego: nadawcę, odbiorcę, dostawcę usługi i osobę, która przypadkiem znajdzie plik. Liczą się koszt, czas, dostępna technologia i inne dane, które ta osoba może mieć.
Tak ujmuje to opinia 05/2014 Grupy Roboczej Art. 29 w sprawie technik anonimizacji. Próg jest wysoki, ale nie absolutny: anonimizacji nie przekreśla teoretyczna możliwość identyfikacji, lecz dopiero możliwość rozsądnie prawdopodobna, dostępna komukolwiek.
Źródła mają różną wagę. Wiążącym przepisem jest samo RODO, a opinia Grupy Roboczej i wytyczne Europejskiej Rady Ochrony Danych pokazują, jak interpretują je organy nadzorcze, w tym Prezes UODO. Wytyczne brytyjskiego ICO opisują podobny test, ale dotyczą prawa Wielkiej Brytanii.
O statusie danych decyduje klucz
Dokument z kodami zamiast nazwisk może wyglądać na anonimowy. Wygląd nie ma jednak znaczenia prawnego. Jeśli gdziekolwiek istnieje klucz lub tabela, która łączy kody z prawdziwymi danymi, dane są spseudonimizowane. Nie ma znaczenia, kto tę tabelę przechowuje ani jak dobrze ją chroni.
Europejska Rada Ochrony Danych potwierdziła w wytycznych o pseudonimizacji z 2025 r., że takie dane pozostają danymi osobowymi. Administrator danych zachowuje więc wszystkie obowiązki: nadal potrzebuje podstawy prawnej i umów powierzenia z podmiotami przetwarzającymi, a także musi przestrzegać zasady minimalizacji.
Dane spseudonimizowane mają inny status prawny niż anonimowe i wiążą się z innymi obowiązkami. RODO zalicza pseudonimizację do zabezpieczeń danych, a kosztowny błąd popełnia dopiero ten, kto uzna, że dokument przestał podlegać rozporządzeniu.
Gdy narzędzie pisze „anonimizacja”
Wiele narzędzi nazywa anonimizacją wynik jednego kliknięcia. W języku prawa oznacza to jednak, że nikt już nie zdoła ustalić, kogo dotyczą dane. Za prawdziwość tego twierdzenia odpowiada ten, kto wpisuje to słowo do rejestru czynności przetwarzania, oceny skutków albo pisma do Prezesa UODO.
Po której stronie granicy jest promptShield
Metoda promptShield też musi przejść ten test. Funkcja „Zakoduj” zastępuje każdą wartość kodem odwracalnym. Tabela kodów zostaje w Rejestrze kodów na komputerze użytkownika. Skoro klucz istnieje, wynik kodowania jest pseudonimizacją, a nie anonimizacją.
Rejestr kodów to lokalny plik bazy SQLite i celowo nie jest szyfrowany. Dokumenty źródłowe leżą bez szyfrowania na tym samym dysku, więc szyfrowanie tabeli nie dodałoby ochrony. Odkodowanie odbywa się lokalnie, bez usługi zewnętrznej.
Kody są przypisane do folderu. Ta sama wartość ma ten sam kod tylko w obrębie jednego folderu, a w innym folderze dostaje inny. Wyjątkiem jest kod dodany ręcznie w Ustawieniach, który obowiązuje wszędzie. Szczegóły opisujemy w artykule o tym, jak działają kody odwracalne.
Najwięcej ryzyka niesie eksport. Powstaje wtedy zwykły plik JSON ze wszystkimi kodami i odpowiadającymi im oryginalnymi wartościami. Dokument z kodami wysłany razem z takim plikiem nie chroni już nikogo.
Bliżej anonimizacji jest funkcja „Zaczernij”. Usuwa tekst z pliku, zamiast zakrywać go czarnym prostokątem. W ukrytych częściach PDF, takich jak metadane czy pola formularzy, zostawia neutralny znacznik. Taki plik może spełnić test anonimizacji, ale tylko wtedy, gdy nie istnieje żaden eksport tabeli, a reszta tekstu nie zdradza osoby.
Wykrywanie nie znajduje wszystkich danych, dlatego wynik trzeba przejrzeć przed zapisaniem. Ocena, czy plik jest anonimowy, należy do administratora danych.
Najczęstsze pytania
Czy dane spseudonimizowane podlegają RODO?
Tak, pozostają danymi osobowymi, co potwierdza Europejska Rada Ochrony Danych w wytycznych z 2025 r. Pseudonimizacja zmniejsza ryzyko, ale nie wyłącza stosowania rozporządzenia.
Czy plik z kodami odwracalnymi można nazwać zanonimizowanym?
Nie, dopóki istnieje Rejestr kodów albo jego eksport. Taki plik jest spseudonimizowany. O tym, jak opisać przetwarzanie w konkretnej sprawie, decydują administrator danych i inspektor ochrony danych.
Czy dokument trafia na serwer promptShield?
Nie, aplikacja na komputer przetwarza plik lokalnie, a w bezpłatnej aplikacji w przeglądarce dokument również nie opuszcza komputera. Przy dokumentach objętych tajemnicą adwokacką lub radcowską pomocny będzie tekst o tym, jak zaczerniać pliki PDF bez chmury.