Anonimizacja nie kończy się na zasłonięciu imienia i nazwiska

Prezes UODO wystąpił do I Prezes Sądu Najwyższego o wyjaśnienie opublikowania nieskutecznie zanonimizowanych pism.

Charakter pisma w sytuacji, gdy można go powiązać z określoną osobą fizyczną, stanowi daną osobową objętą ochroną prawną na podstawie ogólnego rozporządzenia o ochronie danych osobowych – zwraca uwagę Mirosław Wróblewski, prezes UODO, w piśmie skierowanym do dr hab. Małgorzaty Manowskiej, Pierwszej Prezes Sądu Najwyższego. Prezes UODO prosi o wyjaśnienie powodów, dla których na stronie internetowej Sądu Najwyższego, a także w mediach społecznościowych opublikowano zdjęcia protestów wyborczych, które zostały napisane odręcznie. Inne dane osób zgłaszających protesty do SN zostały zasłonięte, ale charakter pisma może pozwolić na identyfikację tych osób.

Prezes UODO zwrócił się więc także o wskazanie stosowanej w Sądzie Najwyższym procedury anonimizacji treści dokumentów umieszczanych na stronie internetowej oraz w mediach społecznościowych, w której zawarto zasady jej dokonywania w celu uniemożliwienia jednoznacznego rozpoznania osoby składającej protest wyborczy (np. poprzez wyeliminowanie możliwości rozpoznania charakteru pisma tej osoby). Dodatkowo Prezes UODO chce się dowiedzieć czy w tworzenie tych zasad był zaangażowany inspektor ochrony danych.

W piśmie Prezes UODO zwrócił się również o przedstawienie zasad dotyczących udostępniania na stronie internetowej Sądu Najwyższego i w mediach społecznościowych treści mogących zawierać dane osobowe.

DKN.5101.195.2025

Co to są dane osobowe?

Przy tej okazji warto przypomnieć definicję danych osobowych zawartą w art. 4 RODO. Zgodnie z nią danymi osobowymi są informacje o zidentyfikowanej lub możliwej do zidentyfikowania osobie fizycznej („osobie, której dane dotyczą”); możliwa do zidentyfikowania osoba fizyczna to osoba, którą można bezpośrednio lub pośrednio zidentyfikować, w szczególności na podstawie identyfikatora takiego jak imię i nazwisko, numer identyfikacyjny, dane o lokalizacji, identyfikator internetowy lub jeden bądź kilka szczególnych czynników określających fizyczną, fizjologiczną, genetyczną, psychiczną, ekonomiczną, kulturową lub społeczną tożsamość osoby fizycznej.

Definicja danych osobowych powoduje, że administratorzy danych powinni szczególną uwagę zwracać na anonimizację danych. Jest to istotne np. w przypadku publikowania dokumentów. Samo zasłonięcie danych może czasem nie być wystarczające, gdyż charakter pisma w pewnych okolicznościach również może pozwalać na identyfikację konkretnej osoby.

Czym jest anonimizacja?

W przepisach nie ma dokładnej instrukcji dotyczącej prawidłowej anonimizacji. Jednak powinna być ona przeprowadzona w taki sposób, aby publikując np. dokument nie dało się w żaden sposób zidentyfikować osób, jeżeli ich dane zawarte są w nim zawarte. Pomocna w zrozumieniu tego procesu może być definicja anonimizacji określona w art. 2 ustawy z dnia 11 sierpnia 2021 r. o otwartych danych i ponownym wykorzystywaniu informacji sektora publicznego. Zgodnie z nią jest to „proces zmiany informacji sektora publicznego w informacje anonimowe, które nie odnoszą się do zidentyfikowanej lub możliwej do zidentyfikowania osoby fizycznej, lub proces zmiany danych osobowych w dane anonimowe w taki sposób, że identyfikacja osoby, której dane dotyczą, nie jest lub już nie jest możliwa”.

A zatem administratorzy danych powinni za każdym razem zwróci uwagę czy w publikowanym dokumencie nie ma także informacji, które choćby bezpośrednio lub pośrednio pozwolą zidentyfikować daną osobę.