02.08.2026 · Bezpieczeństwo · ~12 min czytania

Anonimizacja a pseudonimizacja — czym się różnią i jak zanonimizować dokument

Anonimizacja a pseudonimizacja to nie są synonimy i nie jest to spór o słowa. RODO traktuje je zupełnie inaczej: dane prawidłowo zanonimizowane przestają być danymi osobowymi i wychodzą spod rozporządzenia, a dane pseudonimizowane pozostają danymi osobowymi ze wszystkimi obowiązkami, jakie się z tym wiążą. W tym przewodniku tłumaczymy tę różnicę na konkretach: co podlega anonimizacji w umowie, aktach sprawy i dokumentacji medycznej, jak zanonimizować dokument krok po kroku i dlaczego najpopularniejsza metoda — zamazanie tekstu czarnym prostokątem w PDF — nie działa i regularnie kończy się ujawnieniem treści, którą miała ukryć.

Wpis jest praktyczny, nie sprzedażowy. Jeśli po przeczytaniu zaczniesz robić to ręcznie i poprawnie, uznamy go za udany.

Anonimizacja a pseudonimizacja: jedna różnica, która zmienia wszystko

Zacznijmy od definicji, bo tylko jedna z tych dwóch operacji ma w RODO własny przepis.

Pseudonimizacja jest zdefiniowana w art. 4 pkt 5 RODO jako przetworzenie danych w taki sposób, by nie można ich było przypisać konkretnej osobie bez użycia dodatkowych informacji, przechowywanych osobno i objętych zabezpieczeniami. Kluczowe są ostatnie słowa: dodatkowe informacje istnieją. Jest klucz, mapa podmian, tabela powiązań — coś, co pozwala wrócić do oryginału. Pseudonimizacja jest z definicji odwracalna.

Anonimizacja nie ma w RODO własnej definicji — i to nie przypadek. Opisuje ją motyw 26 preambuły, który mówi, że zasady ochrony danych nie mają zastosowania do informacji anonimowych, czyli takich, które nie wiążą się ze zidentyfikowaną lub możliwą do zidentyfikowania osobą. Ten sam motyw wskazuje test: żeby stwierdzić, czy osoba jest możliwa do zidentyfikowania, trzeba wziąć pod uwagę wszelkie rozsądnie prawdopodobne sposoby identyfikacji, uwzględniając koszt, czas i dostępną technologię. Anonimizacja jest nieodwracalna — klucza nie ma, bo został zniszczony albo nigdy nie powstał.

Praktyczny wniosek jest odwrotny do intuicji: anonimizacja jest „mocniejsza" prawnie, ale rzadko jest tym, czego naprawdę potrzebujesz. Umowa, w której nieodwracalnie usunięto strony, kwoty i daty, przestaje być umową. Do większości zastosowań biznesowych właściwym narzędziem jest pseudonimizacja — o czym piszemy w dalszej części.

Dlaczego „usunąłem nazwiska" to jeszcze nie anonimizacja

To najczęstszy i najkosztowniejszy błąd w tym temacie. Usunięcie imion i nazwisk usuwa identyfikatory bezpośrednie, ale identyfikacja rzadko przez nie przebiega. Grupa Robocza Art. 29 w opinii 05/2014 o technikach anonimizacji (dokument WP216) postawiła trzy pytania kontrolne, których warto używać jak listy kontrolnej. Anonimizacja jest skuteczna dopiero wtedy, gdy odpowiedź na wszystkie trzy brzmi „nie":

• Wyodrębnienie (singling out) — czy da się wyizolować rekord dotyczący jednej konkretnej osoby?
• Możliwość powiązania (linkability) — czy da się połączyć dwa rekordy dotyczące tej samej osoby, choćby w różnych zbiorach?
• Wnioskowanie (inference) — czy da się z dużym prawdopodobieństwem wywnioskować brakującą cechę osoby?

Dlaczego to takie trudne, pokazuje klasyczne badanie Latanyi Sweeney: kombinacja kodu pocztowego, płci i pełnej daty urodzenia wystarczała do jednoznacznego wskazania ok. 87% populacji USA. Późniejsza weryfikacja Philippe'a Golle'a na nowszych danych spisowych dała wynik niższy, ok. 63% — ale wniosek pozostał ten sam i jest brutalny: trzy zupełnie „niewrażliwe" pola potrafią wskazać jedną osobę na kraj. W dokumencie firmowym takich pól jest zwykle kilkanaście.

W polskich realiach identyfikacja pośrednia wygląda tak: „prezes spółki z Krakowa, o którym mowa w §2", „pacjentka, lat 34, z rozpoznaniem rzadkiej choroby genetycznej, przyjęta 12 marca", „jedyny pracownik działu kontroli jakości na drugiej zmianie". W żadnym z tych zdań nie ma nazwiska. W każdym z nich jest jedna, konkretna osoba, i to często osoba możliwa do wskazania przez kilkanaście minut.

Co podlega anonimizacji: konkretna lista

Poniższa lista to punkt wyjścia do własnej polityki. Dzielimy ją na trzy warstwy, bo każda wymaga innej decyzji.

Warstwa 1: identyfikatory bezpośrednie — usuwamy zawsze

• imiona, nazwiska, nazwiska panieńskie, pseudonimy, podpisy;
• PESEL, NIP osoby fizycznej, numer dowodu i paszportu, numer prawa jazdy;
• adres zamieszkania i korespondencyjny, numer telefonu, adres e-mail;
• numer rachunku bankowego, numer polisy, numer karty pacjenta, numer akt osobowych;
• numer rejestracyjny i VIN pojazdu, numer księgi wieczystej, numer działki;
• adres IP, identyfikator urządzenia, login, nazwa użytkownika w systemie.

Warstwa 2: identyfikatory pośrednie — oceniamy w kontekście

• data urodzenia (samo lata: 34 zwykle wystarczy zamiast pełnej daty);
• kod pocztowy i miejscowość — przy małych miejscowościach to praktycznie identyfikator bezpośredni;
• stanowisko i nazwa działu — w firmie na 15 osób „kierownik logistyki" wskazuje jedną osobę;
• rzadka jednostka chorobowa, nietypowa procedura medyczna, rzadki zawód;
• daty zdarzeń: wypadku, przyjęcia do szpitala, rozwiązania umowy — łatwe do skojarzenia z innym źródłem;
• sygnatury akt, numery spraw, numery faktur, numery zamówień — pozwalają wrócić do oryginału w innym rejestrze;
• nazwy spółek i jednoosobowych działalności, jeżeli w nazwie jest nazwisko.

Warstwa 3: kontekst opisowy — najczęściej pomijany

Zdania, które opisują osobę bez nazywania jej. To tu zawodzą wszystkie narzędzia oparte na wyrażeniach regularnych i słownikach: regex znajdzie PESEL, ale nie zrozumie, że „nasz jedyny dostawca komponentu X z Podkarpacia" wskazuje konkretny podmiot. Ta warstwa wymaga albo uważnego człowieka, albo modelu językowego rozumiejącego kontekst.

Co usuwać w zależności od typu dokumentu:

Dlaczego zamazanie tekstu w PDF nie działa

To jest ten fragment, po którym wiele osób sprawdza swoje wcześniejsze dokumenty. Czarny prostokąt narysowany na tekście w PDF niczego nie usuwa.

Plik PDF ma warstwową budowę: osobno przechowywana jest treść (strumień z tekstem i jego pozycjami na stronie), a osobno elementy graficzne i adnotacje narysowane na wierzchu. Kiedy zaznaczasz fragment markerem w przeglądarce PDF albo rysujesz na nim czarny prostokąt w edytorze graficznym, dokładasz warstwę na wierzch, nie ruszając tekstu pod spodem. Wizualnie treść znika. Technicznie leży tam, gdzie leżała, i wystarczy zaznaczyć ten obszar myszą i wkleić do notatnika, żeby ją odczytać. Ten sam efekt da wyciągnięcie tekstu dowolnym narzędziem konwertującym.

Podręcznikowym przykładem jest pismo procesowe obrońców Paula Manaforta złożone 8 stycznia 2019 r. Prawnicy zasłonili fragmenty czarnymi prostokątami, nie spłaszczając dokumentu. Dziennikarze skopiowali „zaczernioną" treść w ciągu kilku minut od publikacji — i tak opinia publiczna dowiedziała się o przekazaniu danych sondażowych kampanii wspólnikowi biznesowemu Manaforta. Sprawa jest dziś cytowana w amerykańskich materiałach szkoleniowych dla prawników jako modelowy przykład, jak nie redagować dokumentów.

Nie jest to problem wyłącznie prawniczy ani wyłącznie amerykański. Ta sama pomyłka powtarza się w ofertach przetargowych, wnioskach o dostęp do informacji publicznej i dokumentacji przekazywanej biegłym.

Pięć miejsc, w których dane zostają mimo „anonimizacji"

1. Warstwa tekstowa pod grafiką — opisany wyżej czarny prostokąt. Test: zaznacz i skopiuj obszar.
2. Metadane pliku — autor, nazwa organizacji, ścieżka zapisu (zawiera nazwisko w katalogu użytkownika), historia programu, daty. Test: właściwości dokumentu.
3. Śledzenie zmian i komentarze w Wordzie — odrzucone poprawki i komentarze na marginesie zostają w pliku i wracają po otwarciu w innym programie. Konwersja DOCX do PDF potrafi je wywołać na wierzch.
4. Ukryte elementy arkusza — ukryte kolumny i wiersze, zwinięte grupy, dane źródłowe tabel przestawnych zapisane w pamięci podręcznej pliku, komentarze w komórkach.
5. Warstwa OCR i miniatury — w skanie z rozpoznanym tekstem pod obrazem siedzi kopia treści; do tego dochodzą osadzone miniatury podglądu i dane EXIF w zdjęciach (w tym współrzędne GPS), a także sama nazwa pliku, w której nazwisko klienta ląduje wyjątkowo często.

Jak zanonimizować dokument krok po kroku

1. Ustal cel — czy dokument ma być anonimowy nieodwracalnie (publikacja, szkolenie, statystyka), czy pseudonimizowany z zachowaniem możliwości powrotu (analiza, przekazanie podwykonawcy, wysłanie do modelu AI). To decyduje o całej dalszej ścieżce.
2. Pracuj na kopii — oryginał zostaje nietknięty w repozytorium źródłowym, ze swoją kontrolą dostępu.
3. Wypisz elementy do usunięcia według trzech warstw z listy powyżej — najpierw bezpośrednie, potem pośrednie, na końcu kontekst opisowy. Ten ostatni przegląd rób zawsze na spokojnie i czytając całość, nie wyszukiwarką.
4. Użyj prawdziwej funkcji redakcji, która usuwa treść ze strumienia dokumentu, a nie narzędzia do rysowania. W praktyce najpewniejsze jest podejście dwuetapowe: redakcja narzędziem, a następnie spłaszczenie — wydrukowanie dokumentu do obrazu i ponowne złożenie w PDF. Traci się wtedy warstwę tekstową (przy potrzebie można ją odtworzyć własnym OCR-em), ale ma się pewność, że nic nie zostało pod spodem.
5. Wyczyść metadane — właściwości dokumentu, dane autora, historia zmian, EXIF w osadzonych obrazach. Zmień też nazwę pliku.
6. Zweryfikuj wynik — i to jest krok, który wszyscy pomijają. Minimum: zaznacz całą stronę i wklej do edytora tekstu; wyciągnij tekst narzędziem konwertującym (pdftotext lub odpowiednik); wyszukaj w wyniku nazwiska, PESEL-e i numery, które miały zniknąć; otwórz właściwości pliku. Weryfikację powinna wykonać inna osoba niż ta, która anonimizowała.
7. Udokumentuj operację — co, kiedy, przez kogo i według jakiej polityki zostało usunięte. Przy anonimizacji dodatkowo: gdzie i kiedy zniszczono mapę podmian. Bez tego trudno wykazać przed audytem, że dane rzeczywiście przestały być danymi osobowymi.

Kiedy pseudonimizacja jest lepsza od anonimizacji

Wróćmy do wniosku z początku wpisu. Anonimizacja niszczy użyteczność dokumentu, bo z definicji odbiera możliwość powrotu. W większości realnych zastosowań chcesz czegoś innego: żeby dane wyszły na zewnątrz pozbawione tożsamości, a odpowiedź wróciła do pełnego kontekstu u Ciebie. To jest dokładnie definicja pseudonimizacji — i dlatego RODO wskazuje ją wprost jako środek bezpieczeństwa w art. 32 ust. 1 lit. a oraz jako element ochrony danych w fazie projektowania w art. 25. Europejska Rada Ochrony Danych poświęciła jej osobny dokument: Wytyczne 01/2025 w sprawie pseudonimizacji, przyjęte 16 stycznia 2025 r.

Do tego doszła zmiana, która ma bezpośrednie znaczenie dla wysyłania treści do zewnętrznych modeli AI. 4 września 2025 r. Trybunał Sprawiedliwości UE wydał wyrok w sprawie C-413/23 P (EDPS przeciwko SRB), w którym po raz pierwszy wprost potwierdził kontekstowe podejście do identyfikowalności: te same dane pseudonimizowane mogą pozostawać danymi osobowymi dla administratora, który dysponuje kluczem, i jednocześnie nie być danymi osobowymi dla odbiorcy, który nie ma realnej możliwości ich odwrócenia ani zidentyfikowania osób w inny sposób. Sprawa dotyczyła przekazania pseudonimizowanych opinii akcjonariuszy zewnętrznemu podmiotowi wyceniającemu, ale wykładnia pojęcia „dane osobowe" jest zbieżna z RODO.

Przełóż to na sytuację, w której zapytanie do modelu w chmurze zawiera wyłącznie OSOBA_1, SPÓŁKA_2 i KWOTA_3, a mapa podmian nigdy nie opuszcza Twojej serwerowni. Uczciwe zastrzeżenie: to nie jest automatyczna zgoda na wszystko. Trybunał wymaga oceny konkretnego przypadku — trzeba wykazać, że odbiorca faktycznie nie ma rozsądnych środków identyfikacji, a przy dokumentach bogatych w kontekst opisowy (warstwa 3 z naszej listy) to wcale nie jest oczywiste. Ale kierunek jest jasny i po raz pierwszy poparty orzeczeniem Trybunału, a nie samą praktyką organów.

Kiedy ręczna anonimizacja przestaje mieć sens

Wszystko powyżej da się zrobić ręcznie i przy kilku dokumentach miesięcznie tak właśnie należy. Problem zaczyna się przy skali. Przy kilkudziesięciu dokumentach miesięcznie liczy się już nie czas, tylko powtarzalność: skuteczność ludzkiego przeglądu spada wraz ze zmęczeniem, a jedno przeoczone nazwisko w warstwie trzeciej unieważnia całą pracę — i, co gorsza, nikt się o tym nie dowie, dopóki dokument nie trafi tam, gdzie nie powinien.

Wtedy sensowniejszy jest proces zautomatyzowany z człowiekiem na końcu, a nie na każdym etapie. Tak działa nasz AI Privacy Gateway — lokalny model na serwerze w Twojej siedzibie wykrywa dane osobowe (również te z warstwy kontekstowej, których nie wychwyci żaden filtr oparty na wzorcach), pokazuje wykryte encje do zatwierdzenia i podmienia je zanim cokolwiek opuści firmę, a mapa podmian zostaje wyłącznie u Ciebie. W trybie bramy odpowiedź modelu chmurowego wraca z przywróconymi prawdziwymi danymi. Jeśli chcesz zobaczyć, ile to kosztuje przy Twojej skali, zajrzyj do cennika wdrożenia — konsultacja i wycena są bezpłatne.

Warto też pamiętać o granicy tego podejścia. Anonimizacja i pseudonimizacja są odpowiedzią na pytanie „jak bezpiecznie wysłać dane na zewnątrz". Nie są odpowiedzią na pytanie „czy w ogóle muszę je wysyłać" — a przy tajemnicy zawodowej i dokumentacji objętej szczególną ochroną właściwą odpowiedzią bywa model działający w całości lokalnie. Rozkładamy to na czynniki we wpisie o AI zgodnym z RODO, a to, co realnie dzieje się z treścią wysłaną do chmurowego chatbota, opisaliśmy we wpisie o danych wklejanych do ChatGPT. Branżowo temat rozwijamy na stronach AI dla kancelarii i AI w medycynie.

Najczęstsze pytania

Czym różni się anonimizacja od pseudonimizacji?

Odwracalnością i skutkiem prawnym. Anonimizacja jest nieodwracalna i zgodnie z motywem 26 RODO wyprowadza dane spod rozporządzenia. Pseudonimizacja jest odwracalna przy pomocy dodatkowych informacji przechowywanych osobno, więc dane nadal są danymi osobowymi.

Co podlega anonimizacji w dokumencie?

Identyfikatory bezpośrednie (nazwiska, PESEL, adresy, numery rachunków, IP), identyfikatory pośrednie (data urodzenia, kod pocztowy, stanowisko w małej organizacji, rzadkie rozpoznanie, daty zdarzeń, sygnatury) oraz opisy kontekstowe wskazujące jedną osobę bez nazywania jej.

Czy zamazanie tekstu markerem albo czarnym prostokątem wystarczy?

Nie. To adnotacja narysowana na wierzchu strony — tekst zostaje w warstwie tekstowej pliku i da się go skopiować. Potrzebna jest prawdziwa redakcja usuwająca treść ze strumienia dokumentu, najlepiej z późniejszym spłaszczeniem pliku i weryfikacją przez kopiuj-wklej.

Czy pseudonimizacja wystarczy, żeby wysłać dokument do chmurowego AI?

Nie jest to automatyczna zgoda, ale zmienia obraz ryzyka. Wyrok TSUE z 4 września 2025 r. w sprawie C-413/23 P potwierdził kontekstową ocenę identyfikowalności: dane mogą być osobowe dla podmiotu z kluczem i nie być nimi dla odbiorcy, który nie ma środków ich odwrócenia. Ocenę trzeba przeprowadzić dla konkretnego procesu.

Kiedy ręczna anonimizacja przestaje się opłacać?

Zwykle powyżej kilkudziesięciu dokumentów miesięcznie — nie ze względu na czas, tylko dlatego, że skuteczność ręcznego przeglądu spada wraz ze zmęczeniem, a jedno przeoczenie unieważnia całą pracę.

Źródła

• Rozporządzenie 2016/679 (RODO) — art. 4 pkt 5, art. 25, art. 32, motyw 26
• Grupa Robocza Art. 29, Opinia 05/2014 w sprawie technik anonimizacji (WP216) (10.04.2014)
• EROD, Wytyczne 01/2025 w sprawie pseudonimizacji (16.01.2025)
• TSUE, wyrok w sprawie C-413/23 P, EDPS przeciwko SRB (04.09.2025)
• L. Sweeney, Simple Demographics Often Identify People Uniquely oraz P. Golle, Revisiting the Uniqueness of Simple Demographics in the US Population
• ABA Journal, Paul Manafort's attorneys failed at redacting — learn how to do it right (styczeń 2019)

Ten wpis ma charakter informacyjny i nie stanowi porady prawnej. Ocenę konkretnego procesu przetwarzania warto potwierdzić z prawnikiem lub inspektorem ochrony danych.