Anonimizacja a pseudonimizacja — czym się różnią i którą wybrać?

Anonimizacja nieodwracalnie odbiera danym możliwość zidentyfikowania osoby — takie dane przestają być danymi osobowymi i RODO przestaje je obejmować. Pseudonimizacja jest odwracalna: dane wciąż są danymi osobowymi i podlegają wszystkim obowiązkom rozporządzenia — zmienia się tylko poziom ryzyka. To najczęściej mylona para pojęć w ochronie danych, a pomyłka ma realne konsekwencje: od błędnych decyzji o retencji po nieświadome naruszenie przepisów przy udostępnianiu „anonimowych” zbiorów.

Pseudonimizacja — co to znaczy według RODO

Definicję znajdziemy wprost w art. 4 pkt 5 RODO: to przetworzenie danych osobowych w taki sposób, by nie można ich było przypisać konkretnej osobie bez użycia dodatkowych informacji — pod warunkiem że te dodatkowe informacje są przechowywane osobno i objęte środkami technicznymi i organizacyjnymi.

Jak to wygląda w praktyce:

• zastąpienie imienia i nazwiska identyfikatorem (np. „pacjent 1042”), gdy tabela powiązań trzymana jest w osobnym, zabezpieczonym miejscu,
• tokenizacja numerów PESEL lub numerów kart w systemach IT,
• szyfrowanie danych, gdy klucz przechowywany jest oddzielnie od zbioru,
• rozdzielenie danych identyfikujących od danych merytorycznych w bazie.

Wspólny mianownik: istnieje droga powrotna. Kto ma klucz albo tabelę powiązań, może odtworzyć tożsamość. Dlatego RODO traktuje pseudonimizację jako środek bezpieczeństwa (art. 32 ust. 1 lit. a), a nie sposób na wyjście spod przepisów.

Anonimizacja — kiedy dane naprawdę przestają być osobowe

RODO nie definiuje anonimizacji wprost — kluczowa wskazówka to motyw 26: rozporządzenie nie dotyczy informacji anonimowych, czyli takich, których nie da się przypisać konkretnej osobie wszelkimi rozsądnie prawdopodobnymi sposobami, z uwzględnieniem kosztów, czasu i dostępnej technologii.

Zanim uznasz zbiór za anonimowy, musi przejść trzy testy (wywodzą się z opinii Grupy Roboczej Art. 29 nr 05/2014 w sprawie technik anonimizacji, do dziś stanowiącej punkt odniesienia):

1. Wyodrębnienie. Czy w zbiorze wciąż da się wskazać rekordy dotyczące jednej, konkretnej osoby?

2. Powiązanie. Czy rekordy można połączyć z innym zbiorem (np. publicznym rejestrem, mediami społecznościowymi) i w ten sposób kogoś rozpoznać?

3. Wnioskowanie. Czy z pozostawionych informacji można z dużym prawdopodobieństwem wywnioskować tożsamość albo cechę osoby?

Typowe techniki to agregacja i generalizacja (przedziały zamiast dokładnych wartości), dodawanie szumu statystycznego, usuwanie rekordów skrajnych czy k-anonimizacja. Uwaga: im bogatszy zbiór, tym trudniej o skuteczną anonimizację — kombinacja kodu pocztowego, daty urodzenia i płci potrafi jednoznacznie wskazać człowieka.

Najważniejsze różnice w praktyce

1. Odwracalność. Pseudonimizacja jest z założenia odwracalna — wystarczy dodatkowa informacja przechowywana osobno. Anonimizacja musi być trwała: jeśli ktokolwiek, jakimkolwiek rozsądnym sposobem, może odtworzyć tożsamość, to nie jest anonimizacja.

2. Status prawny danych. Dane spseudonimizowane nadal są danymi osobowymi (mówi o tym wprost motyw 26) — obowiązują podstawy prawne, obowiązki informacyjne, rejestr czynności i prawa osób. Dane skutecznie zanonimizowane są poza zakresem RODO.

3. Obowiązki przy naruszeniu. Wyciek zbioru spseudonimizowanego to naruszenie ochrony danych — z oceną ryzyka i ewentualnym zgłoszeniem do UODO w 72 godziny. Wyciek zbioru anonimowego naruszeniem nie jest — o ile anonimizacja rzeczywiście była skuteczna. Więcej o procedurze: gdzie zgłosić naruszenie RODO.

4. Zastosowanie. Pseudonimizacja chroni dane w bieżącym przetwarzaniu (systemy produkcyjne, obsługa klientów, dokumentacja). Anonimizacja otwiera drogę do statystyk, analityki, benchmarków i zachowania wartości danych po upływie okresu retencji.

Najczęstsze błędy, które widzimy w audytach

• „Usunęliśmy imiona i nazwiska, więc dane są anonimowe” — a w zbiorze zostały PESEL-e, adresy e-mail, numery telefonów albo identyfikatory umów. To wciąż dane osobowe.
• Hash PESEL-u traktowany jak anonimizacja — przestrzeń możliwych numerów PESEL jest na tyle mała, że bez dodatkowych zabezpieczeń można je odtworzyć. To co najwyżej pseudonimizacja.
• „Anonimowa” ankieta pracownicza z metryczką dział + staż + wiek — w kilkudziesięcioosobowej firmie taka kombinacja wskazuje konkretną osobę.
• Kopie zapasowe i eksporty z danymi sprzed anonimizacji, które zostają na serwerach i w skrzynkach — anonimizacja objęła tylko bazę produkcyjną.

Co wybrać? Praktyczne scenariusze

• Środowiska testowe i deweloperskie → pseudonimizacja albo dane syntetyczne — programiści nie potrzebują prawdziwych PESEL-i.
• Raporty, statystyki, analizy trendów → anonimizacja przez agregację — liczby zamiast rekordów jednostkowych.
• Koniec okresu retencji, ale dane mają wartość analityczną → skuteczna anonimizacja zamiast usunięcia — zbiór zostaje, obowiązki ustają. Jak to poukładać, opisujemy w usłudze retencji danych osobowych.
• Bieżąca obsługa klientów i pacjentów → pseudonimizacja jako środek bezpieczeństwa — dane muszą pozostać użyteczne, ale ryzyko wycieku ma być ograniczone.

Najczęstsze pytania

Nie wiesz, czy Twoje dane są naprawdę anonimowe?

Sprawdzamy skuteczność anonimizacji testami wyodrębnienia, powiązania i wnioskowania, projektujemy proces i dobieramy techniki do konkretnego zbioru. Zobacz, jak działa usługa anonimizacji danych osobowych w M3M, albo umów się na krótką rozmowę — podpowiemy, czy w Twoim przypadku lepsza będzie anonimizacja, czy pseudonimizacja.