Narzędzia do anonimizacji a RODO: sprawa TikTok wyjaśniona
Precedens TikTok
W maju 2025 r. irlandzka Komisja Ochrony Danych nałożyła na TikTok karę 530 milionów euro. TikTok przekazał dane osobowe użytkowników z UE do Chin, nie zapewniając odpowiednich zabezpieczeń.
Kluczowy punkt jest precyzyjny. Naruszeniem był sam eksport danych osobowych (PII). Nie ich gromadzenie. Nie to, co stało się z nimi w Chinach. Przesłanie rekordów dotyczących obywateli UE na serwer poza UE naruszyło art. 46 ust. 1 RODO.
Artykuły 44–49 RODO mają zastosowanie do każdego transgranicznego przekazywania danych z UE. Każde takie przekazanie wymaga podstawy prawnej. Najczęstsze opcje:
- Decyzja stwierdzająca odpowiedni stopień ochrony (UE zatwierdza przepisy kraju odbiorcy)
- Standardowe klauzule umowne wiążące odbiorcę
- Wiążące reguły korporacyjne dla dużych grup kapitałowych
- Inny mechanizm z art. 46 RODO
Łączne kary na podstawie RODO sięgnęły 5,65 miliarda euro do 2025 r. Naruszenia związane z transgranicznymi transferami danych kosztują średnio 18 mln euro za jedno postępowanie egzekucyjne (DLA Piper 2025). Należą do najdroższych kategorii naruszeń RODO.
Problem narzędzi do anonimizacji
Wiele firm z UE używa narzędzi opartych na serwerach w USA do usuwania danych osobowych z dokumentów. Pozornie wygląda to bezpiecznie: uploadujesz dane klientów z UE, otrzymujesz oczyszczony wynik i przechowujesz go w UE.
Ale surowe dane osobowe najpierw trafiły na serwer w USA. To przejście stanowi eksport w rozumieniu art. 44–49 RODO. Dobre intencje nie zmieniają oceny prawnej. Usunięcie PII po fakcie nie cofa już dokonanego transferu. Eksport już nastąpił.
Logika zastosowana przez irlandzką DPC w sprawie TikTok ma tu pełne zastosowanie. Naruszeniem jest sam fakt przesłania danych obywateli UE na serwer poza UE. Narzędzie z USA, które otrzymuje dane osobowe z UE na swoich serwerach w USA, dokonało eksportu. Wymaga to SCCs, decyzji stwierdzającej odpowiedni stopień ochrony lub BCRs — tak samo jak każdy inny transgraniczny transfer.
Organizacje często tego nie dostrzegają. Zakładają, że efekt anonimizacji usprawiedliwia eksport. Nie usprawiedliwia. Analiza prawna opiera się na tym, co opuściło terytorium UE, a nie na tym, co do niej wróciło.
Rozwiązanie oparte na architekturze zero-knowledge
Rozwiązaniem jest architektura systemu. Narzędzie, które nigdy nie otrzymuje danych osobowych, nie może spowodować naruszenia przepisów o transgranicznym przekazywaniu danych.
Takie narzędzie wykrywa PII lokalnie, w przeglądarce użytkownika lub lokalnej aplikacji. Serwer narzędzia widzi wyłącznie oczyszczone dane wyjściowe — tokeny zastępujące prawdziwe nazwiska, identyfikatory i dane kontaktowe. anonym.legal nie działa w ten sposób: jego wykrywanie działa na hostowanym w UE API (Hetzner, Falkenstein), więc tekst pozostaje w UE, ale trafia na serwer.
W rozumieniu RODO dane wyjściowe pozbawione informacji osobowych nie podlegają przepisom o transferach. Żadne rzeczywiste dane nie opuściły UE.
Ta różnica ma znaczenie dla Rejestru Czynności Przetwarzania (RCP) na podstawie art. 30. Wpis w RCP dla narzędzia zero-knowledge działającego w UE nie odnotowuje żadnego transgranicznego przekazania danych. Wpis dla narzędzia z USA, które przetwarza surowe dane osobowe z UE, odnotowuje eksport. Taki wpis wymaga wyraźnie udokumentowanej podstawy prawnej.
Nasz przewodnik po zgodności z RODO opisuje, co muszą zawierać wpisy w RCP. Nasz przegląd zgodności i bezpieczeństwa wyjaśnia środki techniczne je wspierające. Zob. również nasz przewodnik po spójności anonimizacji z poradami dotyczącymi dokumentacji.