Przez lata ostrożna odpowiedź w europejskiej ochronie danych brzmiała tak: dane spseudonimizowane pozostają danymi osobowymi, dopóki ktokolwiek i gdziekolwiek ma klucz. Projekt wytycznych EROD w sprawie pseudonimizacji ze stycznia 2025 r. nadal tak twierdzi, także wtedy, gdy dane i klucz są w różnych rękach. Dwa nowsze dokumenty uściśliły tę odpowiedź. 4 września 2025 r. Trybunał Sprawiedliwości rozstrzygnął sprawę EIOD przeciwko SRB (C-413/23 P), a 7 lipca 2026 r. Europejska Rada Ochrony Danych (EROD) przyjęła projekt wytycznych 02/2026 w sprawie anonimizacji, otwarty na uwagi do 30 października 2026 r. do godz. 23:59 CET. Czytane razem wyjaśniają, kiedy ten sam plik może być danymi osobowymi dla Państwa i anonimowy dla kogoś innego, a także dlaczego rzadko to pomaga, gdy tym kimś innym jest dostawca usług pracujący dla Państwa.
Poniżej znajdą Państwo, co mówią oba teksty, wraz z odesłaniami do punktów, a następnie praktyczne pytanie dla kancelarii prawnych, biur rachunkowych, działów HR i każdego, kto wkleja dokumenty do narzędzia AI: pseudonimizować w sposób odwracalny czy zaczernić na stałe?
Najważniejsze fakty w skrócie
| Element | Zweryfikowany fakt | Źródło |
|---|---|---|
| Dokument EROD | Wytyczne 02/2026 w sprawie anonimizacji, wersja 1.0 | PDF EROD, okładka |
| Przyjęcie | 7 lipca 2026 r., „do konsultacji publicznych” | historia wersji, s. 1 |
| Konsultacje | od 8 lipca do 30 października 2026 r., 23:59 CET (115 dni) | strona konsultacji EROD |
| Objętość | 103 punkty, 25 przykładów, jeden załącznik ze schematem blokowym | PDF EROD |
| Zastępuje | Opinię 05/2014 Grupy Roboczej Art. 29 | pkt 2 |
| Dokument powiązany | Wytyczne 01/2025 w sprawie pseudonimizacji, przyjęte 16 stycznia 2025 r., konsultacje zakończone 14 marca 2025 r., wersja ostateczna jeszcze nieopublikowana | strona konsultacji EROD |
| Wyrok | TSUE, Izba Pierwsza, C-413/23 P, EIOD przeciwko SRB, 4 września 2025 r. | nagłówek wyroku |
| Dane w sprawie | 23 822 uwagi od 2855 osób; 1104 uwagi przesłane do Deloitte z 33-cyfrowym losowym kodem | pkt 23-26 |
| Ustawodawstwo | Digital Omnibus, COM(2025) 837: mandat Rady z 21 października 2026 r. usuwa nowe brzmienie art. 4 pkt 1; Parlament jeszcze nie głosował | dok. Rady 14756/26; Obserwatorium Legislacyjne PE |
Potrzebne jest jedno wyjaśnienie, ponieważ kilka komentarzy opisuje tekst z 2026 r. jako wytyczne o „pseudonimizacji i anonimizacji”. Tytuł i treść dotyczą wyłącznie anonimizacji. Słowo „pseudonimizacja” nie występuje w dokumencie; pseudonimy pojawiają się w jednym przykładzie i w jednym punkcie o danych ewidentnie nieanonimowych. Pseudonimizacja ma własny projekt, wytyczne 01/2025, których tekst z 2026 r. nie cytuje.
Co Trybunał rozstrzygnął w sprawie SRB
Po uporządkowanej likwidacji Banco Popular w 2017 r. Jednolita Rada ds. Restrukturyzacji i Uporządkowanej Likwidacji (SRB) zaprosiła zainteresowanych akcjonariuszy i wierzycieli do zgłaszania uwag do jej wstępnej decyzji. Wpłynęły 23 822 uwagi od 2855 uczestników, z czego 20 101 identycznych odrzucono, a 3730 indywidualnych zachowano. Spośród nich 1104 dotyczyły wyceny i 17 czerwca 2019 r. przesłano je do Deloitte (pkt 24-26). Każda uwaga miała losowo wygenerowany 33-cyfrowy identyfikator i tylko SRB mogła powiązać ten kod z dokumentami tożsamości zebranymi przy rejestracji (pkt 23 i 28). Część uczestników skarżyła się, że w klauzuli informacyjnej nie wymieniono Deloitte jako odbiorcy.
Trybunał sformułował cztery zasady, które mają znaczenie wykraczające poza okoliczności sprawy.
Opinie są danymi osobowymi osoby, która je wyraża. Osobisty pogląd jest „nierozerwalnie związany z tą osobą” (pkt 58), więc nie trzeba osobno analizować jego celu ani skutku.
Dane spseudonimizowane nie są automatycznie osobowe dla wszystkich. Pseudonimizacja jest środkiem ograniczającym ryzyko i nie należy do definicji danych osobowych (pkt 72). Ponieważ klucz istnieje, danych spseudonimizowanych nie można uznać za anonimowe „w każdym przypadku” (pkt 73). Równie błędne jest jednak uznanie ich za osobowe „w każdym przypadku i dla każdej osoby” (pkt 86). Dla odbiorcy dane mogą nie być osobowe, jeżeli spełnione są dwa warunki: odbiorca nie może znieść środków technicznych i organizacyjnych, a środki te rzeczywiście uniemożliwiają przypisanie danych osobie, także przez zestawienie z innymi informacjami, którymi odbiorca dysponuje (pkt 77).
Dalsze przekazanie przywraca dane do zakresu RODO. Jeżeli nie można wykluczyć, że późniejszy odbiorca ma środki do reidentyfikacji, dane są osobowe dla tego przekazania i dla przetwarzania przez tego odbiorcę (pkt 85).
Przejrzystość ocenia się po stronie administratora, w chwili zbierania danych. SRB musiała wymienić Deloitte w klauzuli informacyjnej, gdy zbierała uwagi, „niezależnie od tego, czy dane te były danymi osobowymi” z punktu widzenia Deloitte (pkt 111 i 112). Na tej podstawie Trybunał oddalił główny zarzut SRB, uchylił wyrok Sądu z 2023 r. i przekazał sprawę do ponownego rozpoznania wyłącznie co do odrębnego zarzutu dotyczącego dobrej administracji (pkt 118-122).
Wyrok dotyczy rozporządzenia 2018/1725 o instytucjach UE, którego definicję danych osobowych Trybunał odczytuje tak samo jak art. 4 pkt 1 RODO (pkt 52).
Co dodaje projekt EROD
EROD przekłada rozumowanie z wyroku SRB na test ogólny. Informacja jest anonimowa, jeśli nie dotyczy osoby lub osoba nie jest możliwa do zidentyfikowania, a „odpowiedzi te mogą się różnić w zależności od podmiotu” (pkt 6). Pytanie przewodnie każdej oceny brzmi: „dla kogo dane mają być anonimowe?” (pkt 12). Kolejne punkty zawężają następnie pole, które pozostawia to podejście względne.
Podmioty przetwarzające dziedziczą perspektywę administratora. Jeżeli podmiot przetwarza dane w imieniu administratora, dla którego są one osobowe, to dane są osobowe także dla tego podmiotu, który jest podmiotem przetwarzającym w rozumieniu RODO (pkt 15). EROD ilustruje to przykładem sprzedawcy, który wysyła wyciągi do agencji analitycznej działającej w jego imieniu: dane osobowe dla obu (przykład 3). Tylko odbiorca, który sam ustala cele i sposoby przetwarzania, na przykład niezależny instytut badawczy, jest oceniany z własnej perspektywy (przykład 4).
Wystarczy znikome prawdopodobieństwo. Identyfikacja nie musi być niemożliwa, ale jej prawdopodobieństwo „powinno być w rzeczywistości nieistotne” (pkt 22), a środki pomija się tylko wtedy, gdy są niemożliwe, nieproporcjonalne pod względem czasu, kosztów i pracy albo zakazane przez prawo (pkt 26).
Umowy nie są prawem. Umowny zakaz reidentyfikacji nie jest zakazem prawnym i może jedynie uzupełniać środki techniczne (pkt 34). Brak motywacji do reidentyfikacji również nie jest wiarygodnym argumentem (pkt 31).
Reidentyfikacja jest coraz tańsza. Większość udokumentowanych technik działa na zwykłym sprzęcie, a EROD spodziewa się, że agentowa AI „dodatkowo skróci czas i obniży koszty” reidentyfikacji (pkt 92). Modele AI można też skłonić do ujawniania informacji o osobach (pkt 82).
Trzy kryteria. Dane przechodzą test, jeśli nie da się wyodrębnić rekordu, powiązać go z innymi danymi ani wnioskować o osobie; gdy spełnione są wszystkie trzy kryteria, dane „można bezpiecznie uznać za anonimowe” (pkt 52). Test można przeprowadzić kontekstowo, podmiot po podmiocie, albo w wersji uproszczonej, która pomija różnice między podmiotami i jest ostrożniejsza (pkt 45-47).
Słowa i dokumentacja. Administratorzy nie powinni nazywać danych „anonimowymi”, „zdeidentyfikowanymi” ani „zdepersonalizowanymi”, gdy osoby nadal można zidentyfikować (pkt 40), a proces anonimizacji i jego testy powinni udokumentować i przechowywać tę dokumentację (pkt 41). Ocen przeprowadzonych według opinii z 2014 r. nie trzeba powtarzać (przypis 3).
Jak łączą się projekty z 2025 i 2026 r.
Oba projekty EROD powstały po dwóch stronach wyroku i to widać. Wytyczne 01/2025 stwierdzają, że dane spseudonimizowane pozostają osobowe, nawet gdy dane i dodatkowe informacje „nie znajdują się w rękach tej samej osoby” (pkt 22). Trybunał orzekł następnie, że dane spseudonimizowane nie są osobowe „w każdym przypadku i dla każdej osoby”. Projekt z 2026 r. idzie za Trybunałem i cytuje wyrok SRB w dziesięciu przypisach, ale nie wspomina tekstu z 2025 r., który także nie został sfinalizowany. Dopóki wytyczne o pseudonimizacji nie zostaną zaktualizowane, organizacje będą sięgać po tekst 01/2025, by poznać mechanikę pseudonimizacji (domeny pseudonimizacji, sekrety, tabele odwzorowań), a po tekst 02/2026 wraz z wyrokiem SRB, by ustalić, dla kogo dane są osobowe.
Wspólny grunt jest szerszy, niż sugeruje napięcie. Oba teksty zgadzają się, że administrator posiadający klucz zawsze przetwarza dane osobowe (streszczenie wytycznych 01/2025; 02/2026, pkt 37), że tabela odwzorowań sama jest daną osobową, którą trzeba chronić (01/2025, pkt 93), oraz że pseudonimizacja jest wartościowym zabezpieczeniem na podstawie art. 25 i 32 RODO, nawet gdy nie wyprowadza danych poza zakres stosowania.
Digital Omnibus: pytanie trafia do ustawodawcy
Podejście względne jest teraz również przed ustawodawcą UE. 19 listopada 2025 r. Komisja zaproponowała Digital Omnibus, COM(2025) 837 (procedura 2025/0360 (COD)), który dodałby trzy zdania do definicji danych osobowych w art. 4 pkt 1 RODO. Zdanie centralne mówi, że informacja „nie jest osobowa dla danego podmiotu, jeżeli podmiot ten nie może zidentyfikować osoby fizycznej”, z uwzględnieniem środków, które ten podmiot może zasadnie wykorzystać. Ostatnie dodaje, że informacja nie staje się osobowa dla tego podmiotu tylko dlatego, że potencjalny późniejszy odbiorca mógłby zidentyfikować osobę (art. 3 pkt 1 wniosku). Komisja przedstawia tę zmianę jako kodyfikację orzecznictwa o pseudonimizacji (uzasadnienie, s. 10 i 11), a nowy art. 41a pozwoliłby jej rozstrzygać w drodze aktu wykonawczego, kiedy dane spseudonimizowane przestają być osobowe dla określonych podmiotów.
EROD i EIOD odrzuciły oba pomysły we wspólnej opinii 2/2026 z 10 lutego 2026 r. Ich zdaniem tekst wybiera „jeden element z jednej sprawy” (pkt 15), a jego ostatnie zdanie wykracza poza wyrok SRB, w którym Trybunał potwierdził, że dane udostępnione odbiorcy zdolnemu do identyfikacji stają się osobowe dla tego odbiorcy i pośrednio dla tego, kto je udostępnił (pkt 16, z odwołaniem do pkt 84 i 85 wyroku). Wezwały współustawodawców do nieprzyjmowania zmiany (pkt 21), poprosiły o usunięcie art. 41a (pkt 25) i stwierdziły, że otwarte pytania należą do wytycznych EROD (pkt 19). Jedno z wymienionych przez nie pytań, czy odbiorca, który nikogo nie może zidentyfikować, ale działa w imieniu administratora, jest podmiotem przetwarzającym (przypis 29), otrzymało później odpowiedź w pkt 15 wytycznych 02/2026.
Rada obiera inną drogę niż Komisja. Jej mandat negocjacyjny, uzgodniony przez Coreper 21 października 2026 r. (dokument Rady 14756/26), skreśla nowe zdania w art. 4 pkt 1 i zastępuje art. 41a nowym art. 25a o pseudonimizacji. Dane spseudonimizowane nie są osobowe dla osoby trzeciej, która nie może zidentyfikować osoby (art. 25a ust. 2); jeżeli ta osoba trzecia przekaże je komuś, kto może, to zarówno przekazanie, jak i dalsze przetwarzanie dotyczą danych osobowych (art. 25a ust. 3); a dla podmiotu przetwarzającego działającego w imieniu administratora są to zawsze dane osobowe (art. 25a ust. 4). Zamiast aktów wykonawczych EROD wydawałaby opinię o pseudonimizacji i anonimizacji (art. 25a ust. 6). W Parlamencie Europejskim połączone komisje ITRE i LIBE mają projekt sprawozdania, ale do 27 października 2026 r. nie głosowały: trilogi się nie rozpoczęły i nic z tego nie jest jeszcze prawem.
| Tekst | Data i status | Co mówi o danych spseudonimizowanych |
|---|---|---|
| TSUE, EIOD przeciwko SRB, C-413/23 P | Wyrok, 4 września 2025 r. | Nie są osobowe „w każdym przypadku i dla każdej osoby” (pkt 86) |
| EROD, wytyczne 01/2025 | Projekt z 16 stycznia 2025 r., niesfinalizowany | Osobowe, nawet gdy dane i klucz są w różnych rękach (pkt 22) |
| EROD, wytyczne 02/2026 | Projekt z 7 lipca 2026 r., uwagi do 30 października 2026 r. | Test względny, ale zawsze osobowe dla podmiotu przetwarzającego (pkt 15) |
| Komisja, Digital Omnibus, COM(2025) 837 | Wniosek, 19 listopada 2025 r. | Sformułowanie względne w art. 4 pkt 1; akty wykonawcze na podstawie art. 41a |
| EROD i EIOD, wspólna opinia 2/2026 | 10 lutego 2026 r. | Nie przyjmować nowej definicji; usunąć art. 41a (pkt 21, 25) |
| Mandat Rady, dok. 14756/26 | Coreper, 21 października 2026 r. | Art. 4 pkt 1 bez zmian; nowy art. 25a, osobowe dla podmiotów przetwarzających (art. 25a ust. 4) |
| Parlament Europejski, ITRE i LIBE | Projekt sprawozdania, brak głosowania w komisjach do 27 października 2026 r. | Brak przyjętego stanowiska |
Zestawione obok siebie teksty zbliżają się do siebie bardziej, niż sugeruje debata. Trybunał przyjął, że możliwość identyfikacji zależy od tego, kto ma dane (SRB, pkt 86). EROD zamienił to w test, który utrzymuje dostawców usług w zakresie RODO (02/2026, pkt 15). Tekst Rady wpisałby te same granice do samego rozporządzenia. Jedyne sformułowanie, które traktowałoby dalsze przekazania luźniej, czyli trzecie zdanie Komisji, nie ma poparcia ani organów nadzorczych, ani Rady. Dla każdego, kto dziś decyduje, jak przygotować dokument dla narzędzia AI lub osoby trzeciej, punktem odniesienia pozostają wyrok SRB i dwa projekty EROD.
Pseudonimizacja odwracalna czy anonimizacja trwała
Większość prac na dokumentach mieści się w jednym z dwóch wzorców, a wyrok SRB nie zmienia tego, który pasuje do danego zadania.
Pseudonimizacja odwracalna zastępuje imiona i nazwiska, identyfikatory i inne szczegóły spójnymi znacznikami, a administrator zachowuje tabelę odwzorowań. To właściwy wybór, gdy potrzebne są z powrotem prawdziwe wartości: przy przygotowaniu odpowiedzi, analizie umowy, streszczaniu akt sprawy z asystentem AI albo przekazaniu dokumentu roboczego koledze, który później będzie musiał wiedzieć, kto jest kim. Dla Państwa dokument nadal zawiera dane osobowe. Dla dostawcy, który przetwarza go w Państwa imieniu, także (pkt 15), więc nadal potrzebna jest umowa powierzenia przetwarzania danych. Pseudonimizacja daje minimalizację danych i bezpieczeństwo: dostawca widzi znacznie mniej, a wyciek lub nadużycie po jego stronie ujawnia znaczniki zamiast tożsamości.
Anonimizacja trwała, czyli zaczernienie, usuwa informację bez pozostawiania klucza gdziekolwiek, łącznie z metadanymi dokumentu. To właściwy wybór, gdy dokument opuszcza Państwa kontrolę i trafia do niezależnego odbiorcy: publikacja, ujawnienie stronie przeciwnej lub sądowi, odpowiedź na wniosek o dostęp, która musi chronić osoby trzecie, zbiór danych badawczych lub treningowych. Tutaj najwięcej znaczą wyrok SRB i tekst 02/2026, ponieważ liczy się perspektywa odbiorcy, a trzy kryteria wskazują, co sprawdzić: czy pojedynczy rekord nadal się wyróżnia, czy można go powiązać z innymi źródłami i czy da się wywnioskować coś konkretnego.
| Sytuacja | Kto otrzymuje | Typowy wybór | Dane osobowe dla odbiorcy? |
|---|---|---|---|
| Redagowanie lub analiza z usługą AI działającą w Państwa imieniu | Podmiot przetwarzający | Pseudonimizacja odwracalna | Tak (pkt 15); potrzebna umowa powierzenia |
| Dokument roboczy udostępniony w firmie | Własni pracownicy | Pseudonimizacja odwracalna | Tak, ale ekspozycja jest mniejsza |
| Pismo procesowe, publikacja, ujawnienie kontrahentowi | Niezależna osoba trzecia | Trwałe zaczernienie | Tylko jeśli reidentyfikacja jest w uzasadnionym stopniu prawdopodobna (pkt 21, 22) |
| Zbiór danych dla niezależnego badacza | Niezależna osoba trzecia | Anonimizacja sprawdzona według trzech kryteriów | Ocena z perspektywy odbiorcy (przykład 4) |
Co to oznacza w praktyce
Kancelarie prawne. Pisma i załączniki przekazywane sądowi lub stronie przeciwnej wymagają trwałego zaczernienia, a test polega na tym, czy strona przeciwna, dziennikarz lub ktokolwiek inny, kto przeczyta akta, nadal może zidentyfikować osobę (pkt 30 wymienia wśród podmiotów branych pod uwagę dziennikarzy śledczych, współpracowników i sąsiadów). Szczegóły w tekście swobodnym to zwykle słaby punkt: stanowisko, data i miejscowość mogą wskazać osobę nawet bez nazwiska, a to dokładnie problem wyodrębnienia rekordu. Przy wewnętrznym redagowaniu z narzędziami AI pseudonimizacja odwracalna trzyma nazwiska klientów poza systemami dostawcy, a jednocześnie pozwala je przywrócić.
Biura rachunkowe i doradcy podatkowi. Księgi i eksporty płacowe to dane strukturalne, więc trzy kryteria stosuje się niemal dosłownie: kolumna z numerem podatkowym lub IBAN-em jest identyfikatorem, a połączenie wynagrodzenia, daty zatrudnienia i działu może wyodrębnić rekord. Pseudonimizacja na poziomie kolumn zachowuje rachunki i usuwa identyfikatory. Gdy pliki trafiają do zewnętrznego weryfikatora działającego w Państwa imieniu, trzeba pamiętać, że jest on podmiotem przetwarzającym, a dane pozostają osobowe.
HR. Ankiety pracownicze i postępowania wyjaśniające to częste źródło fałszywej anonimowości. EROD podaje przykład ankiety zespołu, w której zagregowane wyniki mimo to ujawniają, co myślał każdy członek (przykład 17), a wyrok SRB potwierdza, że opinie są danymi osobowymi ich autora. Jeśli wyniki trafiają do przełożonych, większe znaczenie niż usuwanie nazwisk mają progi agregacji i pomijanie małych grup.
Każdy, kto wysyła dokumenty do narzędzi AI. Dostawca AI, który przetwarza Państwa polecenia zgodnie z Państwa instrukcjami, jest według EROD podmiotem przetwarzającym, dla którego dane pozostają osobowe. Pseudonimizacja nie znosi tej relacji, ale zmienia to, co jest ujawnione. Dwa szczegóły zasługują na uwagę: czy tabela odwzorowań kiedykolwiek opuszcza Państwa kontrolę oraz czy dostawca przechowuje wprowadzone dane lub używa ich do trenowania. Ostrzeżenie EROD o poleceniach, które skłaniają modele AI do wydobywania informacji o osobach (pkt 82), przypomina, że to, co wchodzi, może wyjść.
Narzędzia takie jak Redactic stosują oba wzorce na tym samym pliku: odwracalne znaczniki do pracy z AI, z prawdziwymi wartościami przywracanymi wyłącznie w przeglądarce użytkownika, oraz trwałe zaczernienie z usunięciem metadanych dla dokumentów opuszczających organizację, a także certyfikat zaczernienia z haszami dokumentów dla każdej operacji, co pomaga w prowadzeniu dokumentacji opisanej w pkt 41.
Aby korzystać z AI bez przekazywania nazwisk i identyfikatorów, Redactic może przygotować dokumenty dla AI: wykryte wartości zamieniają się w znaczniki, a prawdziwe nazwiska wracają w przeglądarce, gdy nadejdzie odpowiedź.
Najczęściej zadawane pytania
Czy dane spseudonimizowane nadal są danymi osobowymi po wyroku SRB?
Dla administratora, który przechowuje klucz, zawsze. Dla odbiorcy zależy to od okoliczności: dane mogą nie być osobowe dla niezależnego odbiorcy, który nie może cofnąć pseudonimizacji ani zidentyfikować osoby przez zestawienie z innymi informacjami (SRB, pkt 77 i 86), ale pozostają osobowe dla każdego podmiotu przetwarzającego działającego w imieniu administratora (02/2026, pkt 15).
Czy wytyczne 02/2026 dotyczą pseudonimizacji?
Nie, dotyczą anonimizacji. Pseudonimizację omawiają wytyczne 01/2025, przyjęte do konsultacji 16 stycznia 2025 r. i jeszcze niezatwierdzone w wersji ostatecznej.
Kiedy kończą się konsultacje EROD i jak odpowiedzieć?
30 października 2026 r. o 23:59 CET, za pomocą formularza na stronie konsultacji EROD. Odpowiedzi są publikowane na stronie EROD.
Czy umowa zakazująca reidentyfikacji sprawia, że dane są anonimowe dla odbiorcy?
Sama w sobie nie. Według EROD zakaz umowny nie jest zakazem ustawowym i może jedynie uzupełniać środki techniczne (pkt 34).
Czy Digital Omnibus zmieni definicję danych osobowych w RODO?
Na razie nie, a prawdopodobnie nie w pierwotnie zaproponowanej formie. Wniosek Komisji COM(2025) 837 dodałby do art. 4 pkt 1 RODO kryterium względne. EROD i EIOD zaapelowały do współustawodawców o jego nieprzyjmowanie (wspólna opinia 2/2026, pkt 21), a mandat negocjacyjny Rady z 21 października 2026 r. usuwa je na rzecz nowego art. 25a, zgodnie z którym dane spseudonimizowane pozostają osobowe dla podmiotów przetwarzających i przy dalszym przekazaniu każdemu, kto może zidentyfikować osobę. Parlament Europejski nie przyjął jeszcze stanowiska, więc trilogi się nie rozpoczęły. Do czasu przyjęcia tekstu punktem odniesienia są wyrok SRB i wytyczne EROD.
Czy muszę powtórzyć oceny anonimizacji przeprowadzone według opinii z 2014 r.?
Nie, zgodnie z przypisem 3, choć zaleca się okresowe ponowne oceny, ponieważ z czasem reidentyfikacja staje się łatwiejsza (pkt 35).
Jeśli pracują Państwo z dokumentami klientów, pracowników lub pacjentów i chcą wypróbować oba podejścia na własnych plikach, mogą zacząć na redactic.eu. Wykrywanie i zaczernianie działają na infrastrukturze kontrolowanej przez Redactic w Europie, a opcjonalne zadania AI to osobny krok, który pracuje na przygotowanym tekście.
Jak cytować ten artykuł
Redactic. „Pseudonimizacja czy anonimizacja? EROD 02/2026 i wyrok SRB”. redactic.eu, październik 2026. https://redactic.eu/pl/blog/pseudonimizacja-anonimizacja-wytyczne-edpb-02-2026-srb/
Źródła pierwotne: EROD, wytyczne 02/2026 w sprawie anonimizacji (v1.0, 7 lipca 2026 r.); EROD, wytyczne 01/2025 w sprawie pseudonimizacji (16 stycznia 2025 r.); TSUE, C-413/23 P, EIOD przeciwko SRB, 4 września 2025 r.; Komisja Europejska, Digital Omnibus, COM(2025) 837 final, 19 listopada 2025 r.; EROD i EIOD, wspólna opinia 2/2026, 10 lutego 2026 r.; Rada UE, dok. 14756/26 (mandat negocjacyjny), 22 października 2026 r.
Powiązane poradniki
- Anonimizacja danych osobowych: poradnik RODO i AI 2026
- Shadow AI w HR: AI bez naruszania RODO (2026)
- Anonimizacja umów i akt sądowych w kancelarii (2026)
- Biura rachunkowe i RODO: anonimizacja płac i NIP (2026)
Zobacz, jak Redactic stosuje to w praktyce: maskowanie danych w dokumentach z Redactic · strony dotyczące zaufania i umowa powierzenia przetwarzania danych osobowych.