Z tego artykułu dowiesz się:
- Co to jest pseudonimizacja
- Na czym polega kontrowersyjna propozycja, by dane pseudonimizowane nie zawsze podlegały RODO.
- Dlaczego organizacje chroniące prywatność alarmują, że zmiana może ułatwić handel danymi.
- Jakie zastrzeżenia do unijnego projektu zgłasza polski Urząd Ochrony Danych Osobowych.
- W jaki sposób nowe przepisy mogą wpłynąć na rynek reklamy i profilowania w internecie.
W piątek, w ramach prac Rady UE nad „Cyfrowym Omnibusem”, ponownie zajmie się unijna Grupa Antici ds. uproszczeń. Podstawą rozmów będzie nowy dokument prezydencji irlandzkiej dotyczący zmian w pakiecie, w tym ochrony danych osobowych. Zaproponowano w nim m.in., by dane poddane pseudonimizacji nie podlegały RODO, jeśli dany podmiot nie może ich powiązać z konkretną osobą.
Pseudonimizacja to proces, podczas którego informacje przestają być przypisane do konkretnej osoby. Przykładowo imię i nazwisko może zostać zastąpione specjalnym identyfikatorem. Nie jest to pełna anonimizacja, ponieważ proces ten można odwrócić, jeżeli dysponuje się kluczem pozwalającym przypisać identyfikator konkretnej osobie.
Czytaj więcej:
Jeżeli dyrektor przedszkola uważa, że nazwiska nagrodzonych nauczycieli nie mogą zostać ujawnione z powodu ochrony prywatności, powinien odmówić ic...
Pro
Kiedy dane przestają być osobowe
Komisja Europejska zaproponowała w listopadzie 2025 r., aby informacja nie była uznawana za dane osobowe dla podmiotu, który nie jest w stanie zidentyfikować człowieka za pomocą środków, jakich użycia można od niego rozsądnie oczekiwać.
KE argumentuje, że ma to doprecyzować RODO i ułatwić wykorzystywanie danych. Co to oznacza z perspektywy konkretnego przedsiębiorstwa? Hipotetycznie firma X może posiadać klucz pozwalający połączyć identyfikator o numerze 35897 z Janem Kowalskim, więc dla niej będzie to dana osobowa. Z kolei firma Y może otrzymać te same informacje, ale bez możliwości ustalenia, jakiej osoby dotyczą. Dla niej nie byłyby to już dane osobowe i nie podlegałyby RODO.
Budzi to sprzeciw organizacji społecznych zajmujących się ochroną prywatności.
– Możemy rozmawiać o różnych ułatwieniach dla podmiotów przetwarzających dane pseudonimizowane. Problem zaczyna się wtedy, kiedy w przepisie pojawia się stwierdzenie, że nie są one danymi osobowymi. Mniejsze obciążenia dla przetwarzających i zupełny brak ochrony dla podmiotów danych to dwie zupełnie różne rzeczy – zaznacza w rozmowie z „Rzeczpospolitą” prezeska Fundacji Panoptykon Katarzyna Szymielewicz.
– Przyjęcie w prawie, że pseudonim raz jest, a raz nie jest daną osobową, w zależności od tego, czy konkretny podmiot może zidentyfikować osobę, której dane dotyczą, to jak wyciągnięcie klocka z samego dołu wysokiej wieży i sprawdzanie, czy cała konstrukcja się nie przewróci – dodaje.
Czytaj więcej
– Po incydencie MyDr trzeba wyciągnąć systemowe wnioski. Należy myśleć nie tylko o kupowaniu czołgów, ale inwestować miliardy również w zabezpiecze...
UODO wskazuje na ryzyko zbyt szerokiego wyłączenia
Urząd Ochrony Danych Osobowych podziela część tych zastrzeżeń, choć zaznacza, że możliwość uznania danych pseudonimizowanych za nieosobowe dla konkretnego odbiorcy dopuścił już TSUE w sprawie SRB (C-413/23 P).
– Proponowany przepis może prowadzić do zbyt szerokiego wyłączenia danych poddanych pseudonimizacji z zakresu pojęcia danych osobowych – przyznaje dla „Rz” prezes UODO Mirosław Wróblewski.
W jego opinii problemem są nadmierne uogólnienie i niejasne kryterium identyfikowalności.
– W pewnych sytuacjach mogłoby to oznaczać obniżenie standardu ochrony prawnej wynikającej z prawa ochrony danych osobowych, czyli w szczególności RODO – zaznacza Wróblewski i dodaje, że podmiot, dla którego informacje przestałyby być danymi osobowymi, nie musiałby np. zapewniać standardu ich zabezpieczenia wynikającego z art. 32 RODO.
Dane nadal mogą być cenne
Krytycy propozycji zwracają też uwagę, że przedsiębiorca z branży reklamy lub analityki internetowej wcale nie musi znać nazwiska użytkownika, aby wiedzieć o nim naprawdę dużo. Identyfikator reklamowy pozwala bowiem namierzyć tę samą osobę, tworzyć jej profil i kierować do niej określone treści.
– A co z ochroną pseudonimów przed wyciekami, sprzedażą czy łączeniem z innymi danymi? Administrator może autentycznie nie być w stanie połączyć identyfikatora z nazwiskiem, ale nie znaczy to jeszcze, że informacja nie ma wartości dla kogoś innego – przestrzega Szymielewicz.
W propozycji prezydencji irlandzkiej przewidziano zabezpieczenie: jeśli pseudonimizowane dane mają być przekazane odbiorcy, który ma możliwość zidentyfikowania konkretnych osób, transfer i dalsze przetwarzanie mają być traktowane jako przetwarzanie danych osobowych.
– Skąd przeciętny przedsiębiorca ma wiedzieć, kto i przy użyciu jakich dodatkowych danych będzie potrafił zidentyfikować człowieka? Na papierze takie zabezpieczenie wygląda dobrze, ale w praktyce może okazać się zupełną fikcją – ocenia prezeska Panoptykonu.
Czytaj więcej
Do posłów, senatorów oraz członków rządu trafił właśnie raport stworzonej przez Rafała Brzoskę inicjatywy „150% Stop Scam”, który obnaża skalę pato...
Dodaje też, że proponowana zmiana będzie miała szczególne znaczenie dla rynku reklamy internetowej i handlu danymi. Brokerom zazwyczaj wystarcza internetowe ID, żeby zbudować profil użytkownika albo przypisać osobę do większej grupy o określonym profilu.
– Większość prowadzonych przez nas czy przez NOYB (Europejskie Centrum Praw Cyfrowych) spraw przeciwko firmom technologicznym dotyczy właśnie nielegalnego przetwarzania pseudonimów. Jeżeli takie informacje przestaną być chronione jako dane osobowe, egzekwowanie naszych praw wobec najbardziej agresywnych graczy – wielkich platform i brokerów danych – będzie znacznie trudniejsze – podsumowuje Szymielewicz.
MC analizuje nowy projekt
Ministerstwo Cyfryzacji nie przesądza jeszcze stanowiska wobec najnowszej wersji przepisu.
– Projektowany art. 25a RODO zmierza do odzwierciedlenia w przepisach RODO podejścia, wynikającego z orzecznictwa TSUE dotyczącego identyfikowalności osoby fizycznej w odniesieniu do danych pseudonimizowanych – odpowiada „Rz” Jan Ziętara z Biura Komunikacji MC.
Resort dodaje też, że nowy kompromisowy tekst został przekazany państwom członkowskim w trybie roboczym dopiero w ostatnich dniach.
– Ministerstwo będzie analizowało proponowane rozwiązania w toku dalszych prac nad najnowszym roboczym projektem – z uwzględnieniem zarówno celu projektowanych zmian, jak i ich skutków dla stosowania przepisów o ochronie danych osobowych – zapewnia Ziętara.
