W lipcu 2026 r. Europejska Rada Ochrony Danych (EDPB) opublikowała wytyczne nr 02/2026 dotyczące anonimizacji w celu przeprowadzenia konsultacji społecznych. Konsultacje potrwają do 30 października 2026 r., co oznacza, że tekst może ulec zmianie przed przyjęciem ostatecznej wersji. Jednak już na tym etapie projekt stanowi użyteczne ramy dla organizacji, które muszą ocenić, czy informacje zostały skutecznie zanonimizowane.
Czym są wytyczne EDPB nr 02/2026 dotyczące anonimizacji?
Celem niniejszych wytycznych jest wyjaśnienie pojęcia informacji anonimowej oraz przedstawienie praktycznych wytycznych pozwalających ocenić, czy proces anonimizacji zakończył się powodzeniem. Stanowią one aktualizację podejścia omówionego wcześniej przez Grupę Roboczą ds. Artykułu 29 w opinii z 2014 r. dotyczącej technik anonimizacji.
Od 2014 roku środowisko technologiczne uległo znacznym zmianom. Sztuczna inteligencja, wyszukiwarki internetowe, publiczne bazy danych i narzędzia analityczne ułatwiają łączenie informacji pochodzących z wielu źródeł. W rezultacie informacje, które kilka lat temu mogły wydawać się anonimowe, można obecnie łatwiej powiązać z konkretną osobą.
Właśnie dlatego anonimizacji nie należy traktować jedynie jako jednorazowego działania technicznego. Ważniejsze jest pytanie, czy dana osoba nadal może zostać zidentyfikowana przy użyciu środków, których zastosowanie w danym kontekście jest racjonalnie prawdopodobne.
Usunięcie nazwiska niekoniecznie oznacza anonimizację
Jest to jeden z najważniejszych wniosków praktycznych dla organizacji zajmujących się dokumentami.
Załóżmy, że z dokumentu usunięto następujące informacje:
- imię
- nazwisko
- adres e-mail
- numer telefonu
- numer identyfikacyjny
Na pierwszy rzut oka dokument ten może wydawać się anonimowy. Niemniej jednak może on zawierać stanowisko danej osoby, nazwę pracodawcy, nazwę miasta, dokładną datę zdarzenia oraz informacje dotyczące rzadkiej choroby.
Każdy z tych szczegółów rozpatrywany osobno może nie pozwolić na identyfikację żadnej osoby. Jednak po połączeniu mogą one wskazywać na jedną konkretną osobę.
W przypadku anonimizacji dokumentów ocena nie może zatem ograniczać się jedynie do sprawdzenia, czy usunięto imię i nazwisko, adres lub krajowy numer identyfikacyjny. Należy również rozważyć, czy pozostałe informacje nadal pozwalają na rozróżnienie lub identyfikację konkretnej osoby.
Trzy kryteria oceny skutecznej anonimizacji
EDPB wymienia trzy kryteria, które pomagają ustalić, czy informacje można uznać za anonimowe: brak izolacji danych, brak powiązania oraz brak możliwości wyciągania wniosków.
1. Brak izolacji rekordów
Pierwsze kryterium dotyczy tego, czy informacje dotyczące konkretnej osoby można nadal wyodrębnić z pozostałej części zbioru danych lub zbioru dokumentów.
Informacje mogą nadal pozwalać na identyfikację osoby, nawet jeśli nie zawierają imienia i nazwiska. Na przykład kombinacja takich danych, jak: regionalny dyrektor ds. sprzedaży + Szczecin + 42 lata + wypadek 17 marca, może w konkretnym kontekście organizacyjnym wskazywać wyłącznie na jedną osobę.
Oznacza to, że w procesie anonimizacji należy uwzględnić nie tylko bezpośrednie identyfikatory, ale także kombinacje cech i informacji kontekstowych.
2. Brak powiązania
Drugie kryterium dotyczy tego, czy informacje można powiązać z innym źródłem danych. Dokument może nie zawierać żadnego bezpośredniego identyfikatora, a mimo to da się go powiązać z innym zbiorem danych.
Takie źródło może obejmować:
- rejestr publiczny
- strona internetowa firmy
- baza danych klientów
- wewnętrzny system kadrowy
- opublikowana decyzja administracyjna
- kolejny dokument
Na przykład usunięcie nazwiska pracownika może okazać się niewystarczające, jeśli pozostałe informacje – takie jak stanowisko, dział i nazwa projektu – pozwalają łatwo zidentyfikować tę osobę za pośrednictwem strony internetowej organizacji. Skuteczna anonimizacja powinna zatem uwzględniać również informacje dostępne poza samym dokumentem.
3. Brak wnioskowania
Trzecie kryterium dotyczy tego, czy na podstawie pozostałych danych można wywnioskować informacje dotyczące konkretnej osoby. Jest to często najtrudniejszy element oceny.
Dokument może nie zawierać imienia ani nazwiska i nie da się go bezpośrednio powiązać z innym zbiorem danych, ale pozostałe informacje mogą mimo to pozwolić komuś na wyciągnięcie wniosków dotyczących konkretnej osoby.
Na przykład w raporcie dotyczącym niewielkiego zespołu mogą zostać ujawnione wynagrodzenia pięciu z sześciu pracowników, przy czym podana zostanie funkcja szóstej osoby. W niektórych okolicznościach może to umożliwić ustalenie wysokości wynagrodzenia szóstego pracownika.
Anonimizacja wymaga zatem czegoś więcej niż tylko wyszukiwania i usuwania danych osobowych z wcześniej ustalonej listy. Kontekst ma znaczenie.
Dwa sposoby przeprowadzenia oceny anonimizacji przez EDPB
EDPB rozróżnia również podejście kontekstowe od podejścia uproszczonego. W oficjalnym omówieniu projektu wytycznych Rada wyjaśnia, że podejście kontekstowe odzwierciedla pełny standard prawny poprzez uwzględnienie podmiotów, które mogą otrzymać informacje lub uzyskać do nich dostęp, oraz środków, które z rozsądnym prawdopodobieństwem mogą być im dostępne.
Podejście uproszczone jest bardziej konserwatywne. Może ono skłonić organizację do traktowania informacji jako nieanonimowych, nawet jeśli dla niektórych odbiorców mogą one być anonimowe, ale może być łatwiejsze w zastosowaniu i daje większą pewność, że informacje te są rzeczywiście anonimowe.
Dla organizacji zajmujących się dokumentami rozróżnienie to ma duże znaczenie, ponieważ ten sam plik może wiązać się z różnym ryzykiem związanym z identyfikacją w zależności od tego, kto go otrzymuje, jakie inne informacje posiada ta osoba oraz do jakich zewnętrznych źródeł ma dostęp.
Anonimowość dla kogo? Znaczenie kontekstu
Jednym z najważniejszych elementów podejścia EDPB jest to, że ocena ma charakter kontekstowy. Ta sama informacja może być anonimowa dla jednego odbiorcy, a jednocześnie umożliwiać identyfikację dla innego.
Na przykład organizacja usuwa numer klienta z dokumentu przed udostępnieniem go zewnętrznemu badaczowi. Badacz może nie dysponować żadnymi dodatkowymi danymi, które pozwoliłyby na identyfikację tej osoby. Jednocześnie organizacja, która przygotowała dokument, może nadal posiadać inną bazę danych, dzięki której łatwo jest ustalić, którego klienta dotyczy dany dokument.
W związku z tym nie wystarczy jedynie zapytać, czy dane osobowe zostały usunięte z dokumentu. Organizacje powinny również ustalić, kto otrzyma ten dokument oraz do jakich dodatkowych informacji odbiorca ten może w uzasadniony sposób mieć dostęp.
Sam proces anonimizacji nadal podlega przepisom RODO
Istnieje jeszcze jedna istotna różnica. Nawet jeśli ostateczny wynik stanie się rzeczywiście anonimowy, sam proces anonimizacji dotyczy danych osobowych.
Oznacza to, że podczas procesu anonimizacji nadal obowiązuje RODO. Organizacja powinna dysponować odpowiednią podstawą prawną do przetwarzania danych zgodnie z art. 6 RODO, a w przypadku przetwarzania szczególnych kategorii danych osobowych powinna również uwzględnić warunki określone w art. 9 RODO.
W praktyce można zatem wyróżnić dwa etapy:
- przed pomyślnym przeprowadzeniem anonimizacji – organizacja przetwarza dane osobowe;
- po pomyślnym przeprowadzeniu anonimizacji – uzyskane w ten sposób informacje mogą wykraczać poza zakres stosowania RODO.
Przejście między tymi etapami powinno być kontrolowane i wspierane poprzez ocenę, czy wynik faktycznie spełnia wymagany standard anonimowości.
Coraz większe znaczenie ma dokumentowanie procesu anonimizacji
W projekcie wytycznych podkreślono również znaczenie dokumentowania procesu anonimizacji oraz możliwości wykazania, w jaki sposób przeprowadzono ocenę.
W praktyce organizacje mogą dokumentować takie elementy, jak:
- w jaki sposób dane zostały zanonimizowane
- które informacje zostały usunięte lub zmienione
- jakie kryteria zostały zastosowane
- czy skuteczność tego procesu została zweryfikowana
- którzy brali udział w tym procesie
- kiedy przeprowadzono ten proces
Dla organizacji, które regularnie przetwarzają dokumenty, wynika z tego jasny wniosek: powtarzalny i identyfikowalny proces anonimizacji jest łatwiejszy do zweryfikowania i uzasadnienia niż ręczne i niekonsekwentne zamazywanie wybranych fragmentów dokumentu.
Z biegiem czasu może zaistnieć konieczność ponownej oceny procesu anonimizacji
Anonimowości nie należy zawsze traktować jako stałej cechy dokumentu lub zbioru danych. Nowe publiczne źródła danych, postęp technologiczny, zmiany w dostępie do informacji wewnętrznych lub inne okoliczności mogą mieć wpływ na to, czy dana osoba nadal może zostać zidentyfikowana.
Z tego powodu organizacje powinny rozważyć, czy wcześniejsza ocena anonimizacji pozostaje właściwa w przypadku zmiany kontekstu. Ma to szczególne znaczenie w przypadku dokumentów przechowywanych przez długi czas lub udostępnianych nowym kategoriom odbiorców.
Co oznaczają wytyczne w kontekście anonimizacji dokumentów?
W przypadku organizacji, które zajmują się przede wszystkim dokumentami, a nie dużymi zbiorami danych statystycznych, zasady EDPB można przełożyć na kilka praktycznych pytań.
Przed udostępnieniem dokumentu organizacje powinny rozważyć:
- Czy usunięto wszystkie bezpośrednie identyfikatory?
- Czy pozostały jakieś pośrednie identyfikatory, które mogłyby pozwolić na rozróżnienie konkretnej osoby?
- Czy połączenie pozostałych informacji mogłoby doprowadzić do ustalenia tożsamości?
- Czy dokument ten może być powiązany z innym publicznym lub wewnętrznym źródłem informacji?
- Czy na podstawie pozostałości można wywnioskować informacje dotyczące konkretnej osoby?
- Kto otrzyma ten dokument i do jakich dodatkowych informacji może uzyskać dostęp?
- Czy organizacja jest w stanie wykazać, w jaki sposób przeprowadzono proces anonimizacji?
Pytania te pokazują, dlaczego profesjonalna anonimizacja dokumentów w coraz większym stopniu wymaga połączenia automatycznej klasyfikacji, z góry określonych reguł, kontroli ze strony użytkownika oraz historii procesów.
W jaki sposób Bluur wspiera ustrukturyzowany proces anonimizacji
Anonimizacja dokumentów w systemie Bluur® opiera się na procesie, w ramach którego informacje zawarte w dokumentach są najpierw wykrywane i klasyfikowane, a następnie użytkownik decyduje, które elementy należy trwale usunąć.
System wykorzystuje klasyfikację dokumentów opartą na sztucznej inteligencji do wykrywania i kategoryzowania informacji zawartych w plikach. Użytkownicy mogą następnie przejrzeć wykryte elementy, skorygować wynik, dodać własne obszary redakcji oraz zdecydować, które informacje powinny zostać zanonimizowane.
W kontekście wytycznych EDPB wartość tego schematu działania polega nie tylko na automatycznym wykrywaniu, ale także na stworzeniu powtarzalnego procesu, który nadal pozostawia miejsce na ludzką ocenę kontekstu.
Schematy powtarzalnej anonimizacji
Bluur umożliwia organizacjom korzystanie z konfigurowalnych szablonów redagowania oraz reguł anonimizacji, które określają, jakie kategorie informacji należy uwzględnić w poszczególnych typach dokumentów.
Można przygotować odrębne konfiguracje dla takich procesów, jak:
- umowy
- Dokumentacja kadrowa
- dokumentacja medyczna
- akta spraw
- dokumenty przeznaczone do publicznego ujawnienia
- dokumentacja dla klientów
Dzięki temu ogranicza się liczbę sytuacji, w których każdy pracownik samodzielnie decyduje, jakie rodzaje informacji należy usunąć. System nie wydaje prawnej opinii, że ostateczna wersja dokumentu jest anonimowa, ale może pomóc organizacjom w stworzeniu bardziej spójnego i powtarzalnego procesu.
Automatyczna klasyfikacja w połączeniu z weryfikacją przez człowieka
Wytyczne EDPB pokazują, dlaczego pełna automatyzacja procesu anonimizacji nie zawsze jest wystarczająca. System może prawidłowo wykryć imię i nazwisko, adres, numer dokumentu lub numer konta bankowego, jednak recenzent może nadal musieć ocenić, czy nazwa projektu, konkretne stanowisko, data zdarzenia lub nietypowa kombinacja informacji mogłyby umożliwić identyfikację osoby w konkretnym kontekście.
W związku z tym Bluur umożliwia użytkownikom przeglądanie wykrytych informacji, ręczne dodawanie obszarów do zamazania oraz korygowanie wyników przed wygenerowaniem ostatecznej wersji dokumentu. To połączenie automatyzacji i weryfikacji przez człowieka ma szczególne znaczenie w przypadkach, gdy ryzyko ponownej identyfikacji zależy od informacji wykraczających poza standardowe kategorie danych.
Historia procesów i możliwość audytu
Skupienie się EDPB na dokumentacji sprawia również, że historia procesów nabiera coraz większego znaczenia. Bluur rejestruje operacje związane z przetwarzaniem dokumentów, pomagając organizacjom odtworzyć przebieg zdarzeń oraz ustalić, kto brał udział w danym przepływie pracy, w zależności od uprawnień przypisanych w systemie.
Takie mechanizmy mogą wspierać wewnętrzną rozliczalność i ułatwić kontrolę procesu anonimizacji. Jednak rejestr działań lub certyfikat anonimizacji nie powinny być interpretowane jako prawne potwierdzenie, że dokument spełnia kryteria anonimowości określone przez EDPB. Stanowią one dowód na istnienie ustrukturyzowanego i podlegającego kontroli procesu, a nie zastępują samej oceny kontekstowej.
Technologia ułatwia anonimizację, ale nie zastępuje oceny kontekstowej
Jednym z najważniejszych wniosków płynących z wytycznych EDPB nr 02/2026 jest to, że anonimizacji nie można sprowadzać wyłącznie do jednej funkcji technicznej.
Oprogramowanie może:
- wykrywać dane osobowe i informacje wrażliwe
- zautomatyzować powtarzalne zadania
- trwale usunąć wybrane informacje
- stosować spójne zasady
- zapisać historię procesu
Organizacja musi jednak nadal oceniać kontekst, w jakim dane będą wykorzystywane. Kryteria „braku izolacji danych”, „braku powiązań” i „braku wnioskowania” wymagają od organizacji uwzględnienia nie tylko tego, co zostało usunięte, ale także tego, co pozostało w dokumencie oraz jakie dodatkowe informacje mogą być dostępne dla odbiorcy.
Dojrzały proces anonimizacji powinien zatem łączyć w sobie rozwiązania technologiczne, z góry określone zasady, kontrolę ludzką oraz ocenę ryzyka ponownej identyfikacji.
Sprawdź swój proces anonimizacji z Bluur
Jeśli Państwa organizacja nadal przeprowadza anonimizację dokumentów ręcznie, projekt wytycznych EDPB stanowi dobrą okazję do sprawdzenia, czy obecny proces jest powtarzalny, podlega kontroli i jest odpowiednio udokumentowany.
Bluur® łączy w jednym środowisku automatyczną klasyfikację informacji, konfigurowalne schematy anonimizacji, ręczną weryfikację, trwałe usuwanie treści oraz historię procesów.
Zamiast testować system wyłącznie na sztucznym przykładzie, zacznij od prawdziwego dokumentu używanego w Twojej organizacji: umowy, dokumentu kadrowego, raportu, wniosku lub innego pliku, który obecnie wymaga ręcznej anonimizacji.
Wypróbuj Bluur® i sprawdź, jakie dane identyfikacyjne oraz informacje wrażliwe system wykrywa automatycznie, zanim zdecydujesz, co powinno pozostać w ostatecznej wersji dokumentu.
Celem skutecznej anonimizacji nie powinno być jedynie stworzenie dokumentu, który sprawia wrażenie anonimowego. Powinno nim być ograniczenie realnej możliwości zidentyfikowania konkretnej osoby na podstawie zachowanych informacji.
Najczęściej zadawane pytania dotyczące wytycznych EDPB nr 02/2026
Czy wytyczne EDPB nr 02/2026 mają charakter ostateczny?
Nie. Od września 2026 r. wytyczne nr 02/2026 są przedmiotem konsultacji społecznych, które potrwają do 30 października 2026 r. Ostateczna wersja może zatem różnić się od obecnego projektu.
Jakie są trzy kryteria anonimizacji określone przez EDPB?
W ramach tego modelu stosuje się trzy kryteria: brak izolacji danych, brak powiązań oraz brak wnioskowania. Łącznie pomagają one ocenić, czy dana osoba może nadal zostać zidentyfikowana, powiązana z innymi danymi lub czy można wywnioskować informacje na jej temat.
Czy dane zanonimizowane podlegają przepisom RODO?
Informacje, które zostały skutecznie zanonimizowane, mogą wykraczać poza zakres stosowania RODO. Jednak przetwarzanie mające na celu zanonimizowanie dotyczy danych osobowych i w związku z tym podlega przepisom RODO w trakcie jego trwania.
Czy oprogramowanie do anonimizacji danych może zagwarantować zgodność z RODO?
Żadne oprogramowanie nie jest w stanie zastąpić przeprowadzonej przez organizację oceny prawnej i kontekstowej dotyczącej tego, czy informacje są rzeczywiście anonimowe. Technologia może wykrywać dane, stosować reguły, usuwać wybrane informacje oraz dokumentować przebieg procesu, jednak to organizacja musi nadal oceniać ryzyko identyfikacji w konkretnym kontekście, w jakim dane będą wykorzystywane lub udostępniane.
