Podczas przesyłania dokumentów do innych organizacji lub publikowania ich na stronach internetowych powinniśmy zwrócić szczególną uwagę na ochronę danych osobowych. Ważnym aspektem niezmiennie pozostaje anonimizacja danych i pseudonimizacja danych – pokrewne procesy, znacznie różniące się pod kątem obowiązków administratora. Warto pamiętać o tym, że niektóre metody anonimizacji informacji mogą być nieskuteczne, co naraża nas na ewentualne naruszenia ochrony danych osobowych.
Czym jest anonimizacja danych?
Zgodnie z Ustawą o otwartych danych i ponownym wykorzystywaniu informacji sektora publicznego anonimizacja danych w JST polega na przekształceniu informacji w taki sposób, aby nie odnosiły się do „możliwej do zidentyfikowania osoby fizycznej”.
Motyw 26 RODO jednoznacznie rozróżnia pseudonimizację i anonimizację pod kątem ochrony danych osobowych. W rozporządzeniu wyraźnie zaznaczono, że spseudonimizowane dane, które można powiązać z konkretną osobą przy użyciu dodatkowego zestawu informacji, należy traktować jak dane osobowe. Jednocześnie podkreślono, że do anonimowych danych nie stosuje się przepisów RODO. W ocenie trzeba wykorzystać „wszelkie obiektywne czynniki”, takie jak m.in. technologia i czas takiej operacji.
Przykład 1.
Szpital postanowił zastąpić imiona i nazwiska pacjentów unikalnymi identyfikatorami, złożonych z litery „P” oraz pięciocyfrowego ciągu liczb (np. P084245). Placówka oddzielnie przechowuje zaszyfrowany wykaz z wymienionymi informacjami, co pozwala przypisać je do osoby fizycznej. Jest to przykład pseudonimizacji.
Przykład 2.
W opinii 05/2014 w sprawie technik anonimizacji autorstwa Grupy Roboczej art. 29 dyrektywy 95/46/WE przywołano wyciek 20 mln słów kluczy, wpisanych do wyszukiwarki AOL przez 650 tys. użytkowników, który miał miejsce w 2006 roku. Jedynym środkiem „zachowania prywatności” była zmiana identyfikatorów użytkowników na numery. Zdarzenie miało doprowadzić do zidentyfikowania oraz zlokalizowania użytkowników, ponieważ w zbiorze znalazły się m.in. adresy IP i parametry konfiguracyjne klienta. Jest to przykład złej pseudonimizacji z racji pozostawienia nadmiarowych informacji.
Przykład 3.
Szpital publikuje informacje dotyczące przypadków zachorowań na określone choroby. Zbiór zawiera jedynie dwie kolumny (nazwę choroby oraz liczbę), bez dodatkowych danych o pacjentach, a pojedyncze przypadki zawarte są w grupach (np. „choroby rzadkie” czy „inne”). Jest to przykład anonimizacji.
UODO o anonimizacji
W opracowaniach UODO „Wyzwania związane z przetwarzaniem danych osobowych w JST” ze stycznia 2025 roku oraz „Dotychczasowe doświadczenia w zakresie zgłaszania naruszeń ochrony danych osobowych i zawiadamiania o nich osób, których dane dotyczą” ze stycznia 2019 roku podkreślono, że anonimizacja wciąż pozostaje bardzo ważnym zagadnieniem. Urząd zalecił administratorom m.in.:
- regularne szkolenie pracowników z zakresu ochrony danych osobowych;
- wdrożenie instrukcji postępowania z dokumentami uwzględniającej anonimizację danych;
- określenie wewnętrznych procedur regulujących przechowywanie i niszczenie archiwalnych dokumentów.
W lipcu 2025 roku w artykule „Anonimizacja nie kończy się na zasłonięciu imienia i nazwiska” Prezes UODO odniósł się do publikacji odręcznie napisanych protestów wyborczych, które zostały opublikowane na stronie Sądu Najwyższego. PUODO stwierdził, że pisma zostały nieskutecznie zanonimizowane, ponieważ istnieje możliwość powiązania charakteru pisma z osobą fizyczną.
Błędy podczas anonimizacji
Popularnym błędem podczas anonimizacji danych jest stosowanie jedynie pozornego zaczernienia, które pozwala na odczytanie danych osobowych przy wykorzystaniu prostych technik. Kluczowym zagadnieniem anonimizacji pozostaje faktyczne przeprowadzenie tego procesu, który można przeprowadzić na różne sposoby – mowa tu o zamianie (np. zastąpieniu numeru PESEL losowymi wartościami liczbowymi), usuwaniu lub ukrywaniu informacji.
Wiele incydentów dotyczy zaczerniania pól w dokumentach typu PDF. Warto pamiętać o tym, że otworzenie tego pliku w innym formacie (np. jako .docx w Wordzie lub LibreOffice Writer) lub skopiowanie tego fragmentu może umożliwić odczytanie pierwotnej informacji.
W 2017 roku portal Niebezpiecznik w artykule „Wpadki instytucji państwowych podczas anonimizacji dokumentów” opisał zastosowanie czarnych „zasłonek” przez Rządowe Centrum Legislacji. Do poznania zawartości wystarczyło skopiowanie pozornie zakrytego pola do edytora tekstowego (np. notatnika), ponieważ w dokumencie wciąż znajdował się tekst.
We wspomnianym opracowaniu podkreślono również rolę metadanych, czyli informacji dotyczących plików, które nie stanowią ich merytorycznej zawartości (np. data ostatniej edycji). Warto pamiętać, że właściwości dokumentów, takie jak m.in. informacja o autorze, mogą ujawnić informacje, które nie powinny być publiczne.
Przykładem niepoprawnego zaciemnienia (zakrycia) tekstu może być poniższy ciąg znaków – skopiowanie go pozwala na odczyt pierwotnej treści:
Tutaj znajduje się niepoprawnie ukryty tekst
Praktyczne anonimizowanie danych
Kluczowe w anonimizacji dokumentów jest określenie docelowego formatu oraz nośnika. Warto pamiętać o tym, że proces anonimizacji może dotyczyć zarówno papierowych, jak i elektronicznych dokumentów.
W przypadku plików graficznych, takich jak m.in. PNG i JPG, warto rozważyć zakrycie odpowiednich pól za pomocą czarnych prostokątów w programie graficznym (np. Paint) oraz ewentualne wykonanie zrzutu ekranu, który będzie naszym docelowym plikiem. Dzięki temu dane „pod prostokątem” nie będą jedynie zamaskowane, lecz faktycznie zastąpione pikselami we wskazanym przez nas kolorze. Wbrew pozorom takie działanie daje większą pewność co do poufności danych, co wykazano w artykule Niebezpiecznika z października 2017 roku, dotyczącego zamazywania danych przez rozmycie – wówczas czytelnikowi udało się odzyskać dane z dowodu osobistego jednego z redaktorów portalu.
Ważnym aspektem pozostaje anonimizacja fizycznych dokumentów. Wśród rekomendowanych metod anonimizacji wymienia się m.in. fizyczne zakrycie danych osobowych (np. kartką papieru) podczas skanowania – dzięki temu otrzymamy zanonimizowaną kopię.
Przykład 4.
Pismo Urzędu Miasta Szczecin zanonimizowane za pomocą kartki papieru. Zmieniono jasność i kontrast obrazu w celu uwidocznienia zakrycia informacji.
Źródło: https://bip.um.szczecin.pl/files/7E42FD0609FA4750B54B5488208D6118/54949%20-%20zanonimizowane.pdf
Przykład 5.
Pismo Zachodniopomorskiego Wojewódzkiego Inspektora Farmaceutycznego w Szczecinie zanonimizowane za pomocą naniesienia na obraz czarnych prostokątów. Dokument faktycznie jest obrazem, eksportowanym do formatu PDF, dzięki czemu niemożliwe jest poznanie wcześniejszej zawartości.
Źródło: https://mgr.farm/wp-content/uploads/2020/01/1-zanonimizowane-decyzje-do-sprawy.pdf
Elektroniczne dokumenty i cyberbezpieczeństwo
W przypadku elektronicznych dokumentów kluczowe pozostaje pytanie o to, jaki zestaw informacji jest konieczny do osiągnięcia zamierzonego celu. W niektórych przypadkach może okazać się, że potrzebujemy jedynie kilku parametrów z większego zbioru danych lub możemy całkowicie pominąć pewne informacje (np. numer PESEL).
W zakresie cyberbezpieczeństwa należy podkreślić, że nie rekomenduje się korzystania z nieautoryzowanego oprogramowania (tzw. shadow IT) do anonimizowania dokumentów – szczególnie w przypadku usług firm trzecich. Trzeba pamiętać o tym, że artykuł 28 RODO zobowiązuje administratora do podpisania umowy powierzenia przetwarzania danych osobowych, jeśli dokonywana jest przez zewnętrzny podmiot. Korzystanie ze stron internetowych do anonimizacji PDF może skutkować utratą poufności informacji, czyli naruszeniem ochrony danych osobowych. Należy również nadmienić konieczność uwzględnienia efektów korzystania z wybranego narzędzia w analizie ryzyka.
Podczas tworzenia wzorów dokumentów zaleca się bazowanie na wersjach bez danych użytkowników lub wypełnienie pól anonimowymi wartościami (np. Jan Kowalski), zamiast edycji wypełnionych pól. Pozwoli to uniknąć ewentualnych błędów w anonimizacji dokumentów.
Przykład 6.
Sklep internetowy chce przeanalizować zachowania swoich klientów pod kątem statystycznym, korzystając przy tym z usług zewnętrznego podmiotu. W tym celu powinien przekazać jedynie potrzebne informacje (np. kwoty zakupów użytkowników), pomijając te nadmiarowe (np. imiona i nazwiska, adresy e-mail czy numery telefonów). W celu dalszej anonimizacji można zastosować przedziały wiekowe (np. 25-30 lat) czy wykorzystać kody pocztowe, zamiast adresów dostaw.
W zarządzeniu Wójta Gminy Koszęcin z 8 lutego 2021 roku wskazano, że zanonimizowany dokument powinien być sprawdzony przez drugiego pracownika, aby wykluczyć możliwość przypisania danych do osób fizycznych. Jest to bardzo ważny aspekt anonimizacji danych pod kątem procesów w organizacji.
Podsumowując, anonimizacja to ważny proces, który wymaga określenia jasnych procedur i wyznaczenia odpowiednich narzędzi.
