Multă vreme, răspunsul prudent în protecția datelor din Europa a fost că datele pseudonimizate rămân date cu caracter personal atât timp cât cineva, oriunde, deține cheia. Proiectul de orientări al CEPD privind pseudonimizarea din ianuarie 2025 spune în continuare același lucru, chiar și atunci când datele și cheia sunt în mâini diferite. Două texte mai noi au făcut acest răspuns mai precis. La 4 septembrie 2025, Curtea de Justiție a hotărât în cauza AEPD/SRB (C-413/23 P), iar la 7 iulie 2026 Comitetul European pentru Protecția Datelor (CEPD) a adoptat proiectul de orientări 02/2026 privind anonimizarea, deschis pentru comentarii până la 30 octombrie 2026, ora 23:59 CET. Citite împreună, ele explică când același fișier poate fi dată personală pentru dumneavoastră și anonim pentru altcineva, și de ce asta ajută rareori atunci când acel altcineva este un furnizor de servicii care lucrează pentru dumneavoastră.
Mai jos găsiți ce spun cele două texte, cu trimiteri la puncte, apoi întrebarea practică pentru cabinetele de avocatură, contabili, echipele de HR și oricine lipește documente într-un instrument AI: pseudonimizare reversibilă sau mascare definitivă?
Faptele esențiale pe scurt
| Element | Fapt verificat | Sursa |
|---|---|---|
| Document CEPD | Orientări 02/2026 privind anonimizarea, versiunea 1.0 | PDF CEPD, copertă |
| Adoptare | 7 iulie 2026, „pentru consultare publică” | istoricul versiunilor, p. 1 |
| Consultare | 8 iulie - 30 octombrie 2026, ora 23:59 CET (115 zile) | pagina de consultare CEPD |
| Lungime | 103 puncte, 25 de exemple practice, o anexă cu diagramă | PDF CEPD |
| Înlocuiește | Avizul 05/2014 al Grupului de lucru Articolul 29 | pct. 2 |
| Text conex | Orientări 01/2025 privind pseudonimizarea, adoptate la 16 ianuarie 2025, consultare închisă la 14 martie 2025, versiune finală încă nepublicată | pagina de consultare CEPD |
| Hotărâre | CJUE, Camera întâi, C-413/23 P, AEPD/SRB, 4 septembrie 2025 | antetul hotărârii |
| Datele din cauză | 23 822 de comentarii de la 2 855 de persoane; 1 104 comentarii trimise către Deloitte cu un cod aleatoriu de 33 de cifre | punctele 23-26 |
| Legislație | Digital Omnibus, COM(2025) 837: mandatul Consiliului din 21 octombrie 2026 elimină noua formulare a art. 4 pct. 1; Parlamentul nu a votat încă | doc. Consiliu 14756/26; Observatorul legislativ al PE |
Este necesară o precizare, deoarece mai multe comentarii descriu textul din 2026 drept ghid despre „pseudonimizare și anonimizare”. Titlul și conținutul privesc exclusiv anonimizarea. Cuvântul „pseudonimizare” nu apare în document; pseudonimele sunt discutate într-un singur exemplu și într-un punct despre date vădit neanonime. Pseudonimizarea are propriul proiect, orientările 01/2025, pe care textul din 2026 nu le citează.
Ce a hotărât Curtea în cauza SRB
După rezoluția Banco Popular din 2017, Consiliul unic de rezoluție (SRB) a invitat acționarii și creditorii afectați să comenteze decizia sa preliminară. A primit 23 822 de comentarii de la 2 855 de participanți, a eliminat 20 101 identice și a păstrat 3 730 de comentarii individuale. Dintre acestea, 1 104 priveau evaluarea și au fost trimise către Deloitte la 17 iunie 2019 (punctele 24-26). Fiecare comentariu avea un identificator generat aleatoriu, de 33 de cifre, iar doar SRB putea lega acel cod de documentele de identitate colectate la înregistrare (punctele 23 și 28). Unii participanți s-au plâns că nota de informare nu menționa Deloitte printre destinatari.
Curtea a formulat patru principii care contează dincolo de faptele cauzei.
Opiniile sunt date personale ale celui care le exprimă. O opinie personală este „în mod necesar strâns legată de acea persoană” (punctul 58), deci nu este nevoie să se analizeze separat scopul sau efectul ei.
Datele pseudonimizate nu sunt automat personale pentru toată lumea. Pseudonimizarea este o măsură de reducere a riscului și nu face parte din definiția datelor personale (punctul 72). Fiindcă cheia există, datele pseudonimizate nu pot fi tratate drept anonime „în toate cazurile” (punctul 73). La fel de greșit este să fie tratate drept personale „în toate cazurile și pentru orice persoană” (punctul 86). Pentru un destinatar, datele pot fi nepersonale dacă sunt îndeplinite două condiții: destinatarul nu poate ridica măsurile tehnice și organizatorice, iar aceste măsuri împiedică efectiv atribuirea, inclusiv prin coroborare cu alte informații pe care destinatarul le deține (punctul 77).
Transferurile ulterioare readuc datele în sfera GDPR. Dacă nu se poate exclude faptul că un destinatar ulterior dispune de mijloace de reidentificare, datele sunt personale pentru acel transfer și pentru prelucrarea efectuată de acel destinatar (punctul 85).
Transparența se apreciază din perspectiva operatorului, la momentul colectării. SRB trebuia să menționeze Deloitte în nota de informare atunci când a colectat comentariile, „indiferent dacă aceste date erau sau nu date cu caracter personal” din punctul de vedere al Deloitte (punctele 111 și 112). Pe această bază, Curtea a respins motivul principal al SRB, a anulat hotărârea Tribunalului din 2023 și a trimis cauza înapoi doar pentru un motiv distinct privind buna administrare (punctele 118-122).
Hotărârea interpretează Regulamentul 2018/1725 privind instituțiile UE, a cărui definiție a datelor personale este citită de Curte în același fel ca articolul 4 punctul 1 din GDPR (punctul 52).
Ce adaugă proiectul CEPD
CEPD transformă raționamentul din SRB într-un test general. O informație este anonimă dacă nu se referă la o persoană sau dacă persoana nu este identificabilă, iar „aceste răspunsuri pot varia de la o entitate la alta” (pct. 6). Întrebarea călăuzitoare a oricărei evaluări este „pentru cine trebuie să fie anonime datele?” (pct. 12). Mai multe puncte restrâng apoi marja pe care o lasă această abordare relativă.
Persoanele împuternicite moștenesc perspectiva operatorului. Dacă o entitate prelucrează date în numele unui operator pentru care datele sunt personale, datele sunt personale și pentru acea entitate, care este persoană împuternicită în sensul GDPR (pct. 15). CEPD ilustrează cu un comerciant care trimite extrase unei agenții de analiză ce acționează în numele său: date personale pentru ambii (exemplul 3). Numai un destinatar care își stabilește singur scopurile și mijloacele, cum ar fi un institut de cercetare independent, este evaluat din propria perspectivă (exemplul 4).
Este suficientă o probabilitate neglijabilă. Identificarea nu trebuie să fie imposibilă, dar probabilitatea ei „ar trebui să fie nesemnificativă în realitate” (pct. 22), iar mijloacele sunt excluse doar când sunt imposibile, disproporționate ca timp, costuri și efort sau interzise prin lege (pct. 26).
Contractele nu sunt lege. O interdicție contractuală de reidentificare nu este o interdicție legală și poate doar să completeze măsurile tehnice (pct. 34). Nici lipsa motivației de a reidentifica nu este un argument de încredere (pct. 31).
Reidentificarea devine mai ieftină. Majoritatea tehnicilor documentate rulează pe hardware obișnuit, iar CEPD se așteaptă ca AI agentică să „reducă și mai mult timpul și costurile” reidentificării (pct. 92). Modelele AI pot fi de asemenea determinate să dezvăluie informații despre persoane (pct. 82).
Trei criterii. Datele trec testul dacă nu se poate izola o înregistrare, nu se poate face legătura cu alte date și nu se poate face nicio inferență; dacă toate cele trei sunt îndeplinite, datele „pot fi considerate în siguranță anonime” (pct. 52). Testul poate fi aplicat contextual, entitate cu entitate, sau în varianta simplificată, care ignoră diferențele dintre entități și este mai prudentă (pct. 45-47).
Cuvinte și evidențe. Operatorii nu ar trebui să numească datele „anonime”, „deidentificate” sau „depersonalizate” atunci când persoanele rămân identificabile (pct. 40) și ar trebui să documenteze procesul de anonimizare și testarea lui și să păstreze documentația (pct. 41). Evaluările făcute conform avizului din 2014 nu trebuie refăcute (nota 3).
Cum se îmbină proiectele din 2025 și 2026
Cele două proiecte ale CEPD au fost scrise de o parte și de alta a hotărârii, și se vede. Orientările 01/2025 afirmă că datele pseudonimizate rămân personale chiar și atunci când datele și informațiile suplimentare „nu se află în mâinile aceleiași persoane” (pct. 22). Curtea a decis apoi că datele pseudonimizate nu sunt personale „în toate cazurile și pentru orice persoană”. Proiectul din 2026 urmează Curtea și citează hotărârea SRB în zece note, dar nu menționează textul din 2025, care nici el nu a fost finalizat. Până când orientările privind pseudonimizarea vor fi actualizate, organizațiile vor citi 01/2025 pentru mecanica pseudonimizării (domenii de pseudonimizare, secrete, tabele de corespondență) și 02/2026 împreună cu SRB pentru întrebarea pentru cine sunt personale datele.
Terenul comun este mai larg decât sugerează tensiunea. Ambele texte sunt de acord că operatorul care deține cheia prelucrează întotdeauna date personale (sinteza orientărilor 01/2025; 02/2026, pct. 37), că o tabelă de corespondență este ea însăși o dată personală ce trebuie protejată (01/2025, pct. 93) și că pseudonimizarea este utilă drept garanție în temeiul articolelor 25 și 32 din GDPR chiar și atunci când nu scoate datele din domeniul de aplicare.
Digital Omnibus: legiuitorul preia întrebarea
Abordarea relativă se află acum și în fața legiuitorului UE. La 19 noiembrie 2025, Comisia a propus Digital Omnibus, COM(2025) 837 (procedura 2025/0360 (COD)), care ar adăuga trei fraze la definiția datelor personale din articolul 4 punctul 1 din GDPR. Cea centrală spune că informația „nu este personală pentru o anumită entitate atunci când entitatea respectivă nu poate identifica persoana fizică”, ținând seama de mijloacele pe care entitatea le-ar putea utiliza în mod rezonabil. Ultima adaugă că informația nu devine personală pentru acea entitate doar pentru că un eventual destinatar ulterior ar putea identifica persoana (articolul 3 punctul 1 din propunere). Comisia prezintă modificarea drept o codificare a jurisprudenței privind pseudonimizarea (expunerea de motive, p. 10 și 11), iar un nou articol 41a i-ar permite să stabilească prin act de punere în aplicare când datele pseudonimizate încetează să mai fie personale pentru anumite entități.
CEPD și AEPD au respins ambele idei în avizul comun 2/2026 din 10 februarie 2026. În opinia lor, textul alege „un singur element dintr-o singură cauză” (pct. 15), iar ultima frază depășește hotărârea SRB, în care Curtea a confirmat că datele puse la dispoziția unui destinatar capabil să identifice devin personale pentru acel destinatar și, indirect, pentru cel care le-a pus la dispoziție (pct. 16, cu trimitere la punctele 84 și 85 din hotărâre). Ele au îndemnat colegiuitorii să nu adopte modificarea (pct. 21), au cerut eliminarea articolului 41a (pct. 25) și au spus că întrebările rămase deschise aparțin orientărilor CEPD (pct. 19). Una dintre întrebările enumerate, dacă un destinatar care nu poate identifica pe nimeni, dar lucrează în numele unui operator, este persoană împuternicită (nota 29), este cea la care orientările 02/2026 au răspuns ulterior la pct. 15.
Consiliul urmează o altă cale decât Comisia. Mandatul său de negociere, convenit de Coreper la 21 octombrie 2026 (documentul Consiliului 14756/26), elimină frazele noi din articolul 4 punctul 1 și înlocuiește articolul 41a cu un nou articol 25a privind pseudonimizarea. Datele pseudonimizate nu sunt personale pentru un terț care nu poate identifica persoana (articolul 25a alin. 2); dacă acel terț le transmite cuiva care poate, atât transferul, cât și prelucrarea ulterioară privesc date personale (25a alin. 3); iar pentru o persoană împuternicită care acționează pentru operator sunt întotdeauna date personale (25a alin. 4). În locul actelor de punere în aplicare, CEPD ar emite un aviz privind pseudonimizarea și anonimizarea (25a alin. 6). În Parlamentul European, comisiile reunite ITRE și LIBE au un proiect de raport, dar la 27 octombrie 2026 nu votaseră: trilogurile nu au început și nimic din toate acestea nu este încă lege.
| Text | Data și stadiul | Ce spune despre datele pseudonimizate |
|---|---|---|
| CJUE, AEPD/SRB, C-413/23 P | Hotărâre, 4 septembrie 2025 | Nu sunt personale „în toate cazurile și pentru orice persoană” (punctul 86) |
| CEPD, orientări 01/2025 | Proiect din 16 ianuarie 2025, nefinalizat | Personale chiar dacă datele și cheia sunt în mâini diferite (pct. 22) |
| CEPD, orientări 02/2026 | Proiect din 7 iulie 2026, comentarii până la 30 octombrie 2026 | Test relativ, dar întotdeauna personale pentru o persoană împuternicită (pct. 15) |
| Comisia, Digital Omnibus, COM(2025) 837 | Propunere, 19 noiembrie 2025 | Formulare relativă în art. 4 pct. 1; acte de punere în aplicare în temeiul art. 41a |
| CEPD-AEPD, aviz comun 2/2026 | 10 februarie 2026 | Nu se adoptă noua definiție; se elimină art. 41a (pct. 21, 25) |
| Mandatul Consiliului, doc. 14756/26 | Coreper, 21 octombrie 2026 | Art. 4 pct. 1 neschimbat; nou art. 25a, personale pentru persoanele împuternicite (25a alin. 4) |
| Parlamentul European, ITRE și LIBE | Proiect de raport, fără vot în comisie la 27 octombrie 2026 | Nicio poziție adoptată |
Puse una lângă alta, textele converg mai mult decât lasă să se creadă dezbaterea. Curtea a acceptat că identificabilitatea depinde de cine deține datele (SRB, punctul 86). CEPD a transformat asta într-un test care păstrează furnizorii de servicii în sfera GDPR (02/2026, pct. 15). Textul Consiliului ar înscrie aceleași limite în regulamentul însuși. Singura formulare care ar fi tratat mai lejer transferurile ulterioare, a treia frază a Comisiei, nu are sprijinul nici al autorităților de supraveghere, nici al Consiliului. Pentru oricine hotărăște astăzi cum să pregătească un document pentru un instrument AI sau pentru un terț, hotărârea SRB și cele două proiecte ale CEPD rămân reperul.
Pseudonimizare reversibilă sau anonimizare definitivă
Cea mai mare parte a muncii cu documente se încadrează în unul dintre două tipare, iar SRB nu schimbă care dintre ele se potrivește unei anumite sarcini.
Pseudonimizarea reversibilă înlocuiește numele, identificatorii și alte detalii cu substituenți coerenți, iar operatorul păstrează o tabelă de corespondență. Este alegerea potrivită atunci când aveți nevoie de valorile reale înapoi: redactarea unui răspuns, analiza unui contract, rezumarea unui dosar cu un asistent AI sau transmiterea unei lucrări către un coleg care va trebui mai târziu să știe cine este cine. Pentru dumneavoastră, documentul rămâne dată personală. Rămâne personal și pentru un furnizor care îl prelucrează în numele dumneavoastră (pct. 15), deci este necesar în continuare un acord de prelucrare a datelor. Pseudonimizarea aduce minimizarea datelor și securitate: furnizorul vede mult mai puțin, iar o scurgere sau o utilizare abuzivă la el expune substituenți în loc de identități.
Anonimizarea definitivă sau mascarea elimină informația fără să lase nicio cheie nicăieri, inclusiv metadatele documentului. Este alegerea potrivită atunci când documentul iese din controlul dumneavoastră către un destinatar independent: publicare, comunicare către partea adversă sau către o instanță, răspuns la o cerere de acces care trebuie să protejeze terți, set de date pentru cercetare sau antrenare. Aici contează cel mai mult SRB și 02/2026, deoarece perspectiva destinatarului este cea care contează, iar cele trei criterii arată ce trebuie verificat: dacă o singură înregistrare se mai distinge, dacă poate fi legată de alte surse și dacă se poate deduce ceva concret.
| Situația | Cine primește | Alegerea tipică | Date personale pentru destinatar? |
|---|---|---|---|
| Redactare sau analiză cu un serviciu AI care acționează pentru dumneavoastră | Persoană împuternicită | Pseudonimizare reversibilă | Da (pct. 15); este necesar un acord de prelucrare |
| Lucrare partajată în cadrul cabinetului | Propriul personal | Pseudonimizare reversibilă | Da, dar expunerea este redusă |
| Act depus în instanță, publicare, comunicare către contraparte | Terț independent | Mascare definitivă | Doar dacă reidentificarea este rezonabil de probabilă (pct. 21, 22) |
| Set de date pentru un cercetător independent | Terț independent | Anonimizare testată pe cele trei criterii | Evaluat din perspectiva destinatarului (exemplul 4) |
Ce înseamnă în practică
Cabinete de avocatură. Actele de procedură și anexele care ajung la o instanță sau la partea adversă necesită mascare definitivă, iar testul este dacă partea adversă, un jurnalist sau oricine altcineva care citește dosarul mai poate identifica persoana (pct. 30 menționează, printre părțile de luat în calcul, jurnaliști de investigație, colegi și vecini). Detaliile din text liber sunt de obicei punctul slab: o funcție, o dată și un oraș pot indica pe cineva și fără nume, iar aceasta este exact problema izolării unei înregistrări. Pentru redactarea internă cu instrumente AI, pseudonimizarea reversibilă ține numele clienților în afara sistemelor furnizorului, fără să piardă posibilitatea de a le reface.
Contabili și consultanți fiscali. Registrele contabile și exporturile de salarii sunt date structurate, deci cele trei criterii se aplică aproape literal: o coloană cu un cod fiscal sau un IBAN este un identificator, iar combinația dintre salariu, data angajării și departament poate izola o înregistrare. Pseudonimizarea la nivel de coloană păstrează aritmetica și elimină identificatorii. Când fișierele merg la un auditor extern care lucrează pentru dumneavoastră, rețineți că auditorul este persoană împuternicită și că datele rămân personale.
HR. Sondajele în rândul angajaților și investigațiile sunt o sursă frecventă de falsă anonimitate. CEPD dă exemplul unui sondaj de echipă în care scorurile agregate dezvăluie totuși ce credea fiecare membru (exemplul 17), iar SRB confirmă că opiniile sunt date personale ale autorului lor. Dacă rezultatele sunt partajate cu managerii, contează mai mult pragurile de agregare și eliminarea grupurilor mici decât ștergerea numelor.
Oricine trimite documente către instrumente AI. Un furnizor AI care prelucrează solicitările dumneavoastră pe baza instrucțiunilor dumneavoastră este, potrivit CEPD, o persoană împuternicită pentru care datele rămân personale. Pseudonimizarea nu elimină această relație, dar schimbă ce este expus. Merită atenție două detalii: dacă tabela de corespondență iese vreodată din controlul dumneavoastră și dacă furnizorul păstrează datele introduse sau le folosește la antrenare. Avertismentul CEPD despre solicitările prin care modelele AI sunt determinate să extragă informații despre persoane (pct. 82) amintește că ceea ce intră poate ieși.
Instrumente precum Redactic aplică ambele tipare pe același fișier: substituenți reversibili pentru munca cu AI, cu valorile reale refăcute doar în browserul utilizatorului, și mascare definitivă cu eliminarea metadatelor pentru documentele care părăsesc organizația, plus un certificat de mascare cu hash-urile documentelor pentru fiecare operațiune, util pentru evidențele descrise la pct. 41.
Pentru a folosi AI fără a preda nume și identificatori, Redactic poate pregăti documentele dumneavoastră pentru AI: valorile detectate devin substituenți, iar numele reale revin în browserul dumneavoastră când sosește răspunsul.
Întrebări frecvente
Rămân datele pseudonimizate date cu caracter personal după hotărârea SRB?
Pentru operatorul care deține cheia, întotdeauna. Pentru un destinatar, depinde: datele pot să nu fie personale pentru un destinatar independent care nu poate anula pseudonimizarea și nu poate reidentifica prin coroborare cu alte informații (SRB, punctele 77 și 86), dar rămân personale pentru orice persoană împuternicită care lucrează în numele operatorului (02/2026, pct. 15).
Se referă orientările 02/2026 la pseudonimizare?
Nu, se referă la anonimizare. Pseudonimizarea este tratată în orientările 01/2025, adoptate pentru consultare la 16 ianuarie 2025 și încă nefinalizate.
Când se încheie consultarea CEPD și cum pot răspunde?
La 30 octombrie 2026, ora 23:59 CET, prin formularul de pe pagina de consultare a CEPD. Răspunsurile sunt publicate pe site-ul CEPD.
Un contract care interzice reidentificarea face datele anonime pentru destinatar?
Singur, nu. Potrivit CEPD, o interdicție contractuală nu este o interdicție legală și poate doar să completeze măsurile tehnice (pct. 34).
Va schimba Digital Omnibus definiția datelor cu caracter personal din GDPR?
Încă nu, și probabil nu în forma propusă inițial. Propunerea Comisiei COM(2025) 837 ar adăuga un test relativ la articolul 4 punctul 1 din GDPR. CEPD și AEPD au cerut colegiuitorilor să nu îl adopte (avizul comun 2/2026, pct. 21), iar mandatul de negociere al Consiliului din 21 octombrie 2026 îl elimină în favoarea unui nou articol 25a, potrivit căruia datele pseudonimizate rămân personale pentru persoanele împuternicite și pentru transferurile ulterioare către oricine poate identifica persoana. Parlamentul European nu și-a adoptat încă poziția, deci trilogurile nu au început. Până la adoptarea unui text, hotărârea SRB și orientările CEPD rămân reperul.
Trebuie să refac evaluările de anonimizare făcute conform avizului din 2014?
Nu, potrivit notei 3, deși se recomandă o reevaluare periodică, pentru că reidentificarea devine mai ușoară în timp (pct. 35).
Dacă lucrați cu documente ale clienților, angajaților sau pacienților și doriți să încercați ambele abordări pe fișierele dumneavoastră, puteți începe pe redactic.eu. Detectarea și mascarea rulează pe infrastructură controlată de Redactic în Europa, iar sarcinile AI opționale sunt un pas separat care lucrează pe textul pregătit.
Cum citați acest articol
Redactic. „Pseudonimizate sau anonime? CEPD 02/2026 și hotărârea SRB”. redactic.eu, octombrie 2026. https://redactic.eu/ro/blog/pseudonimizare-anonimizare-orientari-cepd-02-2026-srb/
Surse primare: CEPD, orientări 02/2026 privind anonimizarea (v1.0, 7 iulie 2026); CEPD, orientări 01/2025 privind pseudonimizarea (16 ianuarie 2025); CJUE, C-413/23 P, AEPD/SRB, 4 septembrie 2025; Comisia Europeană, Digital Omnibus, COM(2025) 837 final, 19 noiembrie 2025; CEPD-AEPD, aviz comun 2/2026, 10 februarie 2026; Consiliul UE, doc. 14756/26 (mandat de negociere), 22 octombrie 2026.
Ghiduri conexe
- Anonimizarea datelor personale: ghid GDPR și AI 2026
- Shadow AI în HR: AI fără încălcarea GDPR (2026)
- Avocați: anonimizarea contractelor și a dosarelor (2026)
- Contabili și GDPR: anonimizarea salariilor și a CNP (2026)
Vezi cum pune Redactic aceste principii în practică: Mascarea documentelor cu Redactic · Pagini despre încredere și acordul de prelucrare a datelor (DPA).