---
title: "Anonimizacja przed AI: czy usunięcie PESEL wystarczy?
"
description: Samo usunięcie PESEL nie anonimizuje danych pacjenta. Poznaj test treści, celu, powiązań i odbiorcy przed przekazaniem zbioru do narzędzia AI.
image: "https://ai4med.pl/img/anonimizacja-danych-ai.jpg"
date: 2026-07-12
author: Jacek Wyderka
category: Dane i bezpieczeństwo
tags: anonimizacja danych, pseudonimizacja, RODO, dane pacjentów, bezpieczeństwo AI
url: "https://ai4med.pl/dane-i-bezpieczenstwo/anonimizacja-danych-ai"
inLanguage: pl
---

# Anonimizacja przed AI: czy usunięcie PESEL wystarczy?


## Czego dowiesz się z tego artykułu?

- Dlaczego usunięcie PESEL, nazwiska i telefonu nie dowodzi jeszcze, że dane medyczne są anonimowe.
- Jak zastosować test treść–cel–powiązanie–odbiorca przed przekazaniem zbioru do narzędzia AI.
- Gdzie AI może pomóc technicznie, a gdzie IOD, manager i właściciel procesu muszą zatrzymać eksport.
- Jak mierzyć jakość tej bramki bez raportowania danych konkretnych pacjentów.

9 lipca 2026 r. UODO omówił projekt nowych wytycznych EROD o anonimizacji. Ważniejsza jest treść: **Europejska Rada Ochrony Danych przyjęła dokument do konsultacji 7 lipca**, a konsultacje potrwają do 30 października 2026 r. **To projekt wytycznych, nie ostateczna wersja**, jednak już teraz daje managerowi placówki lepsze pytania niż „czy wykasowaliśmy PESEL?”.

W polskiej przychodni pokusa jest prosta: zespół usuwa kilka kolumn, zapisuje plik jako „anonimowy” i przekazuje go dostawcy AI do analizy jakości obsługi, dokumentacji albo wyników. Problem w tym, że **eksport zmienia kontekst i krąg odbiorców**, a opis kliniczny, rzadka cecha czy zestaw dat może nadal wskazywać konkretną osobę. **AI nie powinno samo rozstrzygać, czy dane można mu wysłać**.

Ja bym przyjął zasadę ostrożności: **nie pytaj tylko, co usunięto**, lecz także, co pozostało i z czym odbiorca może to połączyć. **Decyzję dokumentuje administrator z udziałem właściciela procesu i wsparciem IOD**; model może wykonać test techniczny w zatwierdzonym środowisku, ale nie zatwierdza własnego dostępu do danych. To plan operacyjny, nie porada prawna.

## Najważniejsze

- **Usunięcie PESEL nie równa się anonimizacji.** To usunięcie jednego identyfikatora; pozostałe cechy mogą nadal pozwalać wyodrębnić lub rozpoznać pacjenta.
- **Pseudonimizacja nadal podlega RODO.** Jeżeli placówka albo inny podmiot może odtworzyć powiązanie, zbiór nie staje się swobodnym materiałem do analizy AI.
- **Oceniaj dane z perspektywy konkretnego odbiorcy.** Liczą się jego dodatkowe zbiory, podwykonawcy, logi, możliwości techniczne oraz realna szansa połączenia informacji.
- **Trzy testy EROD muszą się domknąć.** Brak wyodrębnienia rekordu, brak powiązania i brak wnioskowania to łączne kryteria, a nie menu do wyboru.
- **Niepewność zatrzymuje eksport.** Najpierw ogranicz zakres, popraw metodę albo użyj danych syntetycznych; dopiero potem wróć do oceny.

## Cztery pytania przed eksportem danych

Projekt wytycznych EROD 02/2026 proponuje trzy kryteria techniczne: brak możliwości wyodrębnienia rekordu, połączenia go z innymi danymi oraz wywnioskowania informacji o osobie. Dla managera placówki przekładam je na cztery pytania operacyjne, ponieważ **sam zbiór nie istnieje w próżni**, a **odbiorca jest częścią oceny ryzyka**.

W każdej komórce decyzja musi mieć właściciela i dowód. **„Nie znaleźliśmy PESEL” nie jest dowodem**, podobnie jak ogólne zapewnienie dostawcy o zgodności. **Akceptacja oznacza udokumentowane przejście całej bramki**, nie brak alarmu w jednym narzędziu.

| Test | Co sprawdzić | Ryzyko | Decyzja |
| --- | --- | --- | --- |
| Treść | Czy swobodny opis, rzadka diagnoza, dokładny wiek, mała miejscowość, zawód lub sekwencja zdarzeń wyróżniają jedną osobę? | Rekord pozostaje rozpoznawalny mimo usunięcia identyfikatorów bezpośrednich | Zgeneralizuj albo usuń cechy; jeśli nadal można wyodrębnić osobę — zatrzymaj |
| Cel | Czy wynik analizy ma oceniać, przewidywać lub wpływać na sytuację konkretnej osoby? | Informacja nadal odnosi się do pacjenta przez swój cel lub skutek | Zmień cel i agregację albo traktuj zbiór jako dane osobowe |
| Powiązanie | Czy zbiór można połączyć z grafikiem, EDM, rachunkami, rejestrem zdarzeń lub publicznie dostępnymi informacjami? | Ponowna identyfikacja przez kombinację pozornie nieszkodliwych pól | Ogranicz rozdzielczość i dostęp; ponów test na połączonych danych |
| Odbiorca | Jakie dane, narzędzia, logi i podwykonawców ma dostawca AI oraz kto może otrzymać wynik? | Zbiór anonimowy dla jednej strony może nie być anonimowy dla innej | Zaakceptuj tylko po ocenie perspektyw; przy braku wiedzy pseudonimizuj albo zatrzymaj |

Ta matryca nie jest certyfikatem anonimizacji. Jest **bramką „zaakceptuj–pseudonimizuj–zatrzymaj”**, która wymusza rozmowę przed transferem. Metodę, źródła danych, zakres generalizacji, testy ponownej identyfikacji i datę oceny trzeba zachować w dokumentacji procesu.

## Usunięty PESEL to początek, nie wynik

RODO rozróżnia anonimizację od pseudonimizacji. Przy pseudonimizacji danych nie można przypisać osobie bez dodatkowych informacji, ale te informacje istnieją i są przechowywane oddzielnie. **Token pacjenta, zaszyfrowany identyfikator albo kod badania zwykle pozostają pseudonimami**, jeżeli placówka lub jej procesor może odtworzyć relację. **Takie dane nadal są danymi osobowymi**.

Anonimizacja wymaga, aby możliwość identyfikacji była w praktyce znikoma z perspektywy właściwych podmiotów. W dokumentacji medycznej identyfikuje często nie pojedyncze pole, lecz kombinacja: specjalizacja poradni, orientacyjny wiek, daty wizyt, rzadka procedura, fragment swobodnego opisu i informacja, że dana osoba korzystała z placówki. **Im mniejsza grupa i większa szczegółowość, tym łatwiej wyodrębnić rekord**.

Nie oznacza to, że każdy zbiór kliniczny jest niemożliwy do zanonimizowania. Oznacza, że **usunięcie kolumny nie zastępuje testu rezultatu**. Czasem właściwym rozwiązaniem będzie agregacja, szersze przedziały, usunięcie tekstu swobodnego albo dane syntetyczne. Przy materiałach szczególnie trwałych i rodzinnych warto też znać twardszą [granicę dla danych genetycznych](/dane-i-bezpieczenstwo/genomika-dane-pacjenta).

## Odbiorca zmienia ocenę

Nowe wytyczne podkreślają podejście kontekstowe: ten sam materiał może mieć inny status z perspektywy różnych podmiotów. Dla polskiej placówki praktyczny wniosek brzmi: **sprawdź nie tylko plik, ale całą drogę przekazania**. Dostawca może posiadać własne zbiory, korzystać z podwykonawców, przechowywać logi lub mieć dostęp do informacji potrzebnych do powiązania rekordów.

Jeżeli dostawca AI działa jako procesor na instrukcje placówki, nie można uznać danych za anonimowe wyłącznie dlatego, że sam nie dostał tabeli z PESEL. **Perspektywa administratora nadal ma znaczenie**, a umowa powierzenia, szyfrowanie i kontrola dostępu ograniczają ryzyko, lecz same nie zmieniają danych w anonimowe. **Bezpieczeństwo transferu i status prawny danych to dwa odrębne pytania**.

Sugeruję poprosić dostawcę o opis przepływu danych, retencję wejścia i wyniku, listę podwykonawców, zasady użycia danych do rozwoju modeli, możliwość usunięcia kopii oraz ślad audytowy. **Brak odpowiedzi jest informacją ryzyka**, nie drobną luką w prezentacji handlowej.

## Przykład w polskiej przychodni rehabilitacyjnej

Manager chce sprawdzić, czy AI potrafi grupować przyczyny przerwanych cykli rehabilitacji. Z eksportu usuwa imię, nazwisko, telefon i PESEL. Pozostają jednak opis powodu przerwania, specjalizacja, orientacyjny wiek, placówka, daty wizyt i kod świadczenia. **Plik nie zawiera identyfikatora bezpośredniego**, ale pracownik znający grafik może połączyć nietypowy opis z konkretną osobą.

Zespół zatrzymuje wysyłkę. Właściciel procesu usuwa tekst swobodny, poszerza przedziały czasu, agreguje rzadkie kategorie i sprawdza, czy cel analizy da się osiągnąć na danych syntetycznych. IOD doradza przy ocenie ryzyka i dokumentacji, a administrator podejmuje decyzję o dalszym przetwarzaniu. **AI może pomóc wykryć unikalne kombinacje w kontrolowanym środowisku**, lecz **człowiek zatwierdza zakres, odbiorcę i podstawę dalszego działania**.

Po zmianach zespół ponawia wszystkie testy, nie tylko ten, który wcześniej zawiódł. Jeżeli nadal można wyodrębnić rekord, połączyć go z grafikiem albo wywnioskować informację o rozpoznawalnej osobie, zbiór pozostaje w ścieżce RODO. **Human-in-the-loop nie naprawia danych wysłanych zbyt wcześnie**; musi działać przed eksportem.

## Pytania do IOD i dostawcy przed wysyłką

IOD nie powinien dostać pytania „czy plik jest bezpieczny?” bez kontekstu. **Potrzebuje celu, pól, odbiorców i metody testu**, a dostawca powinien odpowiedzieć na pytania o własne możliwości. **Ja zadałbym co najmniej te pytania**:

- Jaki dokładnie cel ma analiza i czy można go osiągnąć na mniejszym albo syntetycznym zbiorze?
- Które pola odnoszą się do osoby przez treść, cel lub skutek, nawet bez identyfikatora bezpośredniego?
- Czy rekord można wyodrębnić przez rzadką kombinację cech?
- Z jakimi danymi placówka, dostawca lub jego podwykonawcy mogą połączyć eksport?
- Czy wynik pozwala wnioskować o zdrowiu rozpoznawalnej osoby lub małej grupy?
- Czy dostawca działa jako procesor, niezależny administrator czy w innej roli i jak to uzasadnia?
- Gdzie pozostają wejście, wynik, logi i kopie zapasowe oraz kiedy są usuwane?
- Kto zatwierdza ocenę, kiedy ją ponawiamy i czy zmiana modelu, odbiorcy albo danych uruchamia nowy test?

**IOD doradza i monitoruje zgodność, ale odpowiedzialność administratora nie znika.** Warto ustalić w procedurze, które eksporty wymagają formalnej konsultacji z IOD i kto może odblokować przekazanie po usunięciu ryzyk.

## Kiedy iść dalej, a kiedy zatrzymać eksport

To ma sens, gdy **cel jest konkretny, zakres zminimalizowany, odbiorcy znani, a placówka potrafi udokumentować brak wyodrębnienia, powiązania i wnioskowania**. W takim procesie AI może wspierać testy techniczne lub analizę zagregowanego materiału, lecz nie rozszerza samodzielnie celu.

To nie ma sensu, gdy **dostawca nie ujawnia retencji i podwykonawców, tekst swobodny zostaje w zbiorze bez oceny albo zespół zakłada, że brak PESEL automatycznie wyłącza RODO**. Eksport zatrzymaj również wtedy, gdy wynik zależy od połączenia z danymi, których nie umiesz zinwentaryzować.

Skuteczność bramki mierz dwoma wskaźnikami: **odsetkiem planowanych zbiorów z udokumentowaną oceną administratora i konsultacją IOD zgodnie z procedurą** oraz **liczbą eksportów zatrzymanych przed wysyłką z powodu ryzyka ponownej identyfikacji**. Drugi wskaźnik nie jest porażką. Na początku pokazuje, że kontrola działa, zanim dane opuszczą placówkę.

## Pierwszy krok na poniedziałek

Wybierz jeden zbiór, który placówka rzeczywiście planuje przekazać do AI. Nie wysyłaj go do publicznego modelu. Na kopii roboczej w zatwierdzonym środowisku wykonaj test treści, celu, powiązania i odbiorcy, a wynik zapisz razem z właścicielem decyzji. **Pierwszym efektem ma być decyzja, nie eksport**.

Jeśli placówka nie ma jeszcze spisu procesów i kategorii informacji, zacznij od [rejestru danych przed pilotażem AI](/dane-i-bezpieczenstwo/rejestr-danych-ai). Następnie ustal z IOD termin ponownej oceny, bo nowe zbiory, nowy dostawca albo rozwój technik AI mogą zmienić realną możliwość identyfikacji. **Anonimizacja wymaga utrzymania, nie jednorazowego odhaczenia**.

## Źródła

- [UODO — „EROD wyjaśnia kwestie anonimizacji i web scrapingu w kontekście generatywnej AI”](https://uodo.gov.pl/pl/185/4487) — oficjalne polskie omówienie z 09.07.2026 r.; potwierdza przyjęcie projektów 07.07.2026 r., trzy kryteria anonimizacji i konsultacje do 30.10.2026 r. Sprawdzono: 2026-07-11.
- [EROD — Guidelines 02/2026 on Anonymisation, wersja 1.0](https://www.edpb.europa.eu/system/files/2026-07/edpb_guidelines_202602_anonymisation_v1_en_0.pdf) — projekt przyjęty do konsultacji 07.07.2026 r.; źródło ram: perspektywa odbiorcy, treść–cel–skutek oraz brak wyodrębnienia, powiązania i wnioskowania. Sprawdzono: 2026-07-11.
- [UODO — „Jak dowieść nieodwracalności anonimizacji danych?”](https://uodo.gov.pl/pl/531/4431) — materiał z 16.06.2026 r. wnosi praktyczny kontekst testów reidentyfikacji, metryk PET, roli IOD i cyklicznej ponownej oceny. Sprawdzono: 2026-07-11.
- [EUR-Lex — Rozporządzenie (UE) 2016/679 (RODO)](https://eur-lex.europa.eu/legal-content/PL/TXT/?uri=CELEX%3A32016R0679) — motyw 26 oraz art. 4 pkt 1 i 5 porządkują pojęcia danych osobowych, identyfikowalności i pseudonimizacji. Sprawdzono: 2026-07-11.
- Okładka: [www.kaboompics.com na Pexels](https://www.pexels.com/photo/woman-in-teal-scrub-suit-using-a-laptop-computer-7195113/)