Pseudonimizacja a RODO: przełomowa opinia rzecznika generalnego w sprawie EDPS przeciwko SRB (C-413/23 P)
Pseudonimizacja może przesądzać o tym, czy dane stanowią dane osobowe dla konkretnego odbiorcy, zależy to jednak od jego rzeczywistych możliwości zidentyfikowania danej osoby. We wrześniu 2025 r. Trybunał Sprawiedliwości UE potwierdził, że ocena musi uwzględniać okoliczności po stronie odbiorcy, a nie wyłącznie możliwość powiązania danych z osobą przez administratora. Artykuł omawia spór między EDPS a SRB na gruncie prawa UE, udostępnianie danych zewnętrznemu konsultantowi oraz konsekwencje dla ochrony danych osobowych.
Możliwa zmiana w rozumieniu pseudonimizacji
Stanowisko to oznacza istotną zmianę w rozumieniu pseudonimizacji jako środka, który mógłby sprawić, że dla odbiorcy danych dane te przestają być danymi osobowymi. Jeżeli pseudonimizacja została przeprowadzona w wystarczającym stopniu, a ponowna identyfikacja osób nie jest możliwa, dane takie nie powinny podlegać ochronie na gruncie RODO.
Przeciwne stanowisko EDPS
EDPS od dawna prezentuje jednak odmienny pogląd. Według niego dane spseudonimizowane pozostają danymi osobowymi, ponieważ nie ma decydującego znaczenia, czy odbiorca dysponuje środkami pozwalającymi na ponowną identyfikację osób. Podobnie argumentował w sprawie T-557/20 SRB/EDPS, wskazując, że RODO nie rozróżnia między podmiotami przechowującymi dane spseudonimizowane a podmiotami przechowującymi dodatkowe informacje umożliwiające ponowną identyfikację. Zdaniem EDPS chodzi więc zawsze o dane spseudonimizowane, a nie zanonimizowane.
Mierzą się Państwo z podobną sytuacją?
Odezwiemy się w ciągu 24 godzin.
Konsekwencje dla praktyki i dalszy rozwój
Trybunał Sprawiedliwości UE (TSUE) nie wydał jeszcze ostatecznego wyroku, którego spodziewano się w ciągu bieżącego roku. Trybunał nie jest przy tym związany opinią rzecznika generalnego, w związku z czym rozstrzygnięcie pozostaje otwarte.
Sprawa ta będzie szczególnie interesująca w kontekście niedawno opublikowanych wytycznych Europejskiej Rady Ochrony Danych (EROD) dotyczących pseudonimizacji, które są obecnie przedmiotem konsultacji publicznych. Oczekuje się, że rozstrzygnięcie tej sprawy może mieć zasadniczy wpływ na praktyki udostępniania i przetwarzania danych w UE, zwłaszcza w zakresie stosowania technik pseudonimizacji oraz polityk bezpieczeństwa przy postępowaniu z danymi.
Podsumowanie
Opinia rzecznika generalnego przynosi nowe spojrzenie na pseudonimizację jako potencjalne narzędzie wyłączenia stosowania RODO do udostępnianych danych. Gdyby TSUE przyjął ten pogląd, mogłoby to ułatwić udostępnianie danych między organizacjami, jednocześnie jednak mogłoby osłabić ochronę danych osobowych. Ostateczny werdykt poznamy dopiero w orzeczeniu TSUE, które będzie miało istotny wpływ na praktykę prawną w dziedzinie ochrony danych osobowych.
Autor artykułu:
Uwaga:
Informacje zawarte w tym artykule mają wyłącznie ogólny charakter informacyjny i służą podstawowej orientacji w problematyce według stanu prawnego na rok 2026. Choć dbamy o maksymalną dokładność treści, przepisy prawne i ich wykładnia zmieniają się w czasie. Jesteśmy kancelarią adwokacką ARROWS, podmiotem wpisanym do Czeskiej Izby Adwokackiej (Česká advokátní komora) (nasz organ nadzoru), a dla maksymalnego bezpieczeństwa klientów posiadamy ubezpieczenie odpowiedzialności zawodowej z limitem 350 000 000 CZK. W celu weryfikacji aktualnego brzmienia przepisów i ich zastosowania do Państwa konkretnej sytuacji niezbędny jest bezpośredni kontakt z kancelarią adwokacką ARROWS (konsultacja@arws.cz). Nie ponosimy odpowiedzialności za ewentualne szkody powstałe w wyniku samodzielnego wykorzystania informacji z tego artykułu bez uprzedniej indywidualnej konsultacji prawnej.