Usunięcie nazwiska nie wystarczy. EROD o skutecznej anonimizacji

Usunięcie nazwiska nie wystarczy. EROD o skutecznej anonimizacji Nazwisko usunięte, adres zasłonięty, numer PESEL niewidoczny. Czy taki dokument można już be…

Nazwisko usunięte, adres zasłonięty, numer PESEL niewidoczny. Czy taki dokument można już bezpiecznie opublikować w BIP? Niekoniecznie. Mieszkańca może zdradzić opis sprawy, wyjątkowa sytuacja rodzinna albo połączenie kilku informacji z różnych załączników. Październikowe opracowanie Europejskiej Rady Ochrony Danych przypomina, że o skuteczności anonimizacji decyduje możliwość rozpoznania osoby, a nie liczba czarnych prostokątów na stronie.

Dla urzędów, biur rady i jednostek samorządowych to praktyczny temat. Przed publikacją skargi, uzasadnienia uchwały czy skanu pisma trzeba sprawdzić zarówno treść, która pozostaje widoczna, jak i to, co faktycznie zawiera wynikowy plik.

Co opublikował EROD i jaki status mają wytyczne?

Europejska Rada Ochrony Danych, czyli EROD — po angielsku EDPB — przygotowała Wytyczne 02/2026 dotyczące anonimizacji. Wersję 1.0 przyjęto 7 lipca 2026 r. do konsultacji publicznych. W październiku ukazało się krótkie opracowanie „Anonymisation: How to assess the anonymity of data”, przedstawiające najważniejsze elementy proponowanej oceny.

Na dzień publikacji tego artykułu, 15 października 2026 r., konsultacje nadal trwają. Termin zgłaszania uwag upływa 30 października. Nie jest to więc ostateczna wersja po konsultacjach ani nowe rozporządzenie wprowadzające osobny obowiązek dla BIP. Materiał wyjaśnia sposób rozumienia anonimizacji na gruncie ochrony danych. [1][2]

Poniższe przykłady dotyczące pracy urzędu są naszym praktycznym zastosowaniem omawianych zasad. Nie są opisami incydentów ani przykładami zaczerpniętymi z wytycznych.

Dokument bez nazwiska nadal może wskazywać konkretną osobę

Wyobraźmy sobie uzasadnienie uchwały dotyczącej skargi mieszkańca. Pracownik usunął imię, nazwisko i adres. Pozostawił jednak informację, że skarżący jest jedynym prowadzącym określony rodzaj działalności w niewielkiej miejscowości, a spór dotyczy charakterystycznego budynku przy szkole.

Dla przypadkowego czytelnika tekst może wyglądać anonimowo. Sąsiad albo osoba znająca lokalną sprawę może od razu wiedzieć, o kogo chodzi.

Dlatego proponujemy, aby po zaznaczeniu danych do usunięcia przeczytać dokument jeszcze raz, z innym pytaniem: czy pozostały opis pozwala ustalić, kto jest bohaterem tej sprawy?

Podobny problem może pojawić się w materiałach komisji skarg, wniosków i petycji, dokumentach dotyczących pomocy społecznej lub opisach spraw pracowniczych. Im bardziej nietypowa historia, tym uważniej warto przyjrzeć się szczegółom, które nie wyglądają jak klasyczne dane identyfikacyjne.

Trzy obszary oceny skuteczności anonimizacji

EROD wskazuje trzy kryteria: brak izolacji rekordu, brak możliwości powiązania oraz brak określonego, istotnego wnioskowania. Dotyczą one odpowiednio unikalnych zestawów cech, łączenia informacji i wyprowadzania informacji o konkretnej osobie. Spełnienie wszystkich trzech pozwala uznać dane za anonimowe w ramach przyjętej oceny. Niespełnienie któregoś wymaga dalszej analizy — nie jest automatycznym dowodem naruszenia RODO. [1][3]

W pracy z dokumentami do BIP proponujemy przełożyć te obszary na następujące pytania:

Obszar Pytanie przed publikacją Przykładowy sygnał do sprawdzenia
Unikalny zestaw cech Czy opis wyróżnia jedną konkretną osobę? Rzadki zawód, mała miejscowość i charakterystyczne zdarzenie występujące razem.
Łączenie informacji Czy ten plik można zestawić z innym materiałem i odtworzyć tożsamość? Ten sam numer sprawy pojawia się w uzasadnieniu oraz w innym, publicznym piśmie z nazwiskiem.
Wnioskowanie Czy publikacja pozwala ustalić prywatną informację o rozpoznawalnej osobie? Zestawienie dwóch załączników ujawnia, z jakiego powodu konkretny mieszkaniec ubiegał się o wsparcie.

Nie chodzi o zakładanie, że każda hipotetyczna metoda identyfikacji zostanie zastosowana. Wytyczne uwzględniają środki, których użycie jest racjonalnie prawdopodobne, oraz perspektywę odpowiednich odbiorców. Opisują podejście kontekstowe i uproszczone. [3]

Nasz wniosek dla BIP: przy publicznej publikacji nie warto ograniczać oceny do perspektywy osoby, która nic nie wie o gminie. Wśród czytelników mogą znaleźć się osoby dobrze znające sprawę, jej uczestników i wcześniejsze dokumenty.

Ochrona prywatności nie oznacza usuwania wszystkich nazwisk

Zanim urząd zacznie anonimizować plik, powinien ustalić, jakie informacje podlegają udostępnieniu, a które wymagają ochrony. To ważne szczególnie przy dokumentach dotyczących radnych, burmistrza i innych osób pełniących funkcje publiczne.

Art. 5 ust. 2 ustawy o dostępie do informacji publicznej przewiduje ograniczenie jawności ze względu na prywatność osoby fizycznej. Zastrzega jednak, że ograniczenie to nie dotyczy informacji o osobach pełniących funkcje publiczne, związanych z pełnieniem tych funkcji. Nie oznacza to jawności całego życia prywatnego takiej osoby. [4]

Samo wykrycie nazwiska nie rozstrzyga, czy trzeba je usunąć. Decyzja powinna uwzględniać treść dokumentu, rolę danej osoby i właściwe przepisy. Automat może pomóc odnaleźć informacje, ale nie powinien zastępować tej oceny.

Dwa osobne zadania: wybrać zakres i skutecznie usunąć treść

Pierwsze zadanie to ustalenie, co wymaga ochrony. Drugie — poprawne przygotowanie pliku.

Graficzne zasłonięcie fragmentu PDF nie daje pewności, że tekst został usunięty. Dokument może również zawierać informacje niewidoczne na zwykłym podglądzie, na przykład metadane, komentarze czy ukryte warstwy. Trwałe usuwanie wybranej treści oraz kontrola informacji ukrytych to odrębne elementy przygotowania dokumentu. [5][6]

Proponujemy sprawdzać gotową kopię, a nie tylko widok w edytorze. Wyszukanie usuniętej frazy i próba skopiowania tekstu pomagają wychwycić podstawowe błędy, choć nie zastępują pełnej kontroli zawartości PDF. Warto też sprawdzić nazwę pliku i opis załącznika w BIP: prawidłowo przygotowany dokument niewiele pomoże, jeśli dane mieszkańca pozostaną w tytule publikacji.

Jak Redakt pomaga przygotować dokument do BIP?

Redakt to system do anonimizacji PDF i skanów. Wspiera pracownika przy wyszukiwaniu potencjalnych danych osobowych i przygotowaniu kopii przeznaczonej do udostępnienia. Proces obejmuje cztery kroki:

  1. Dodanie PDF lub skanu. OCR odczytuje treść zeskanowanych stron.
  2. Analizę dokumentu. AI wskazuje potencjalne dane wymagające sprawdzenia.
  3. Weryfikację przez pracownika. Użytkownik zatwierdza, poprawia lub odrzuca wskazania i może dodać własne zaznaczenia.
  4. Pobranie przygotowanej kopii. System trwale usuwa zatwierdzone treści z wynikowego PDF. Gotowy plik pracownik publikuje w używanym systemie BIP. [6]

W opisanym wcześniej przykładzie skargi warto więc sprawdzić nie tylko odnalezione nazwiska i adresy, lecz również charakterystyczny opis mieszkańca. Jeśli wymaga ochrony, można zaznaczyć odpowiedni fragment podczas weryfikacji.

Redakt pomaga wykonać pracę nad dokumentem, ale nie jest certyfikatem anonimowości ani gwarancją zgodności z wytycznymi EROD. Ocena możliwości połączenia treści z innymi publikacjami i decyzja o zakresie udostępnienia pozostają po stronie urzędu.

Proponowana kontrola przed publikacją

Warto włączyć do urzędowej procedury krótką listę pytań:

Przy dokumentach opisujących szczególnie prywatne lub nietypowe sytuacje proponujemy dodatkowy przegląd przez drugą osobę. To okazja, aby zauważyć szczegół, który autorowi anonimizacji wydaje się nieistotny, a dla lokalnego odbiorcy może być oczywistą wskazówką.

Najczęstsze pytania

Czy wytyczne EROD są już ostateczne?

Na 15 października 2026 r. dostępna jest wersja przyjęta do konsultacji publicznych. Konsultacje kończą się 30 października. Październikowy skrót nie zmienia tego statusu. [2]

Czy inicjały zamiast nazwiska wystarczą?

Nie dają takiej gwarancji. W przykładowej małej społeczności inicjały połączone z opisem zawodu i sprawy mogą nadal jednoznacznie wskazywać mieszkańca. Trzeba ocenić całość pozostawionych informacji.

Czy po usunięciu danych mieszkańca cały dokument przestaje zawierać dane osobowe?

Niekoniecznie. Może nadal zawierać na przykład jawne dane osób pełniących funkcje publiczne. Ochrona jednej osoby w dokumencie nie oznacza automatycznie anonimowości całej jego zawartości. Wytyczne rozróżniają anonimowość poszczególnych rekordów i całego zbioru. [3]

Od czego zacząć w urzędzie?

Proponujemy wybrać kilka typowych materiałów: skargę, uzasadnienie uchwały i skan pisma. Przejść pełny proces przygotowania kopii, a następnie sprawdzić je według powyższej listy. Taki przegląd pokaże, w którym miejscu potrzebne jest wsparcie narzędzia, a gdzie doprecyzowanie procedury.

Przygotowujesz dokumenty do BIP? Wypróbuj Redakt i przejdź cały proces — od wskazania potencjalnych danych po zatwierdzenie i trwałe usunięcie wybranej treści z PDF.

Źródła

  1. EROD, „Anonymisation: How to assess the anonymity of data” — październik 2026.
  2. EROD, konsultacje publiczne Wytycznych 02/2026 dotyczących anonimizacji.
  3. EROD, Wytyczne 02/2026 dotyczące anonimizacji, wersja 1.0 przyjęta 7 lipca 2026 r. do konsultacji, w szczególności podsumowanie oraz sekcje 2.2, 2.5.1, 3.2 i 3.4.
  4. Ustawa o dostępie do informacji publicznej — tekst jednolity, art. 5 ust. 2 oraz wyjaśnienia UODO dotyczące udostępniania danych osobowych.
  5. Adobe, informacje o usuwaniu ukrytej zawartości dokumentów PDF.
  6. Redakt — opis działania systemu do anonimizacji PDF i skanów.

Stan źródeł i status konsultacji sprawdzono 15 października 2026 r.

Przetestuj anonimizację w systemie Redakt

Redakt to aplikacja internetowa MWC do anonimizacji PDF i skanów. AI wskazuje dane do sprawdzenia, a po Twoim zatwierdzeniu system trwale usuwa wybrane treści z dokumentu.

Wypróbuj Redakt bezpłatnie Poznaj funkcje systemu

Wróć do publikacji

Producent: MWC Sp. z o.o., ul. Kowalewicka 12, 60-002 Poznań, NIP 7831678932. Kontakt: info@mwc.pl.