Kontekstowy charakter kwalifikacji spseudonimizowanych danych jako danych osobowych w prawie Unii Europejskiej – częściowo krytyczna glosa do wyroku Trybunału Sprawiedliwości Unii Europejskiej z dnia 4 września 2025 r., C‑413/23 P
Streszczenie w języku polskim
Glosa dotyczy wyroku Trybunału Sprawiedliwości Unii Europejskiej z dnia 4 września 2025 r. w sprawie C‑413/23 P. Glosowany wyrok porusza ważną kwestię, jaką jest kwalifikacja danych poddanych pseudonimizacji jako danych osobowych. W wyroku uznano, że ocena, czy spseudonimizowane dane są danymi osobowymi dla danego podmiotu, jest relatywna. Innymi słowy, z punktu widzenia podmiotu, który nie dysponuje narzędziami pozwalającymi na przypisanie danych konkretnej osobie, spseudonimizowane dane otrzymane od administratora nie muszą mieć charakteru danych osobowych. Glosa aprobuje analizę przyjętą przez Trybunał w kontekście klasyfikacji uwag jako danych osobowych oraz momentu powstania obowiązku informacyjnego ciążącego na administratorze na mocy art. 15 rozporządzenia 2018/1725. Jednocześnie autor glosy kwestionuje wyodrębnienie dwóch rodzajów danych spseudonimizowanych: identyfikowalnych oraz nieidentyfikowalnych, które wynikają z błędnej interpretacji przepisów. Dodatkowo autor polemizuje z przyjętym przez Trybunał rozumieniem identyfikowalności w niniejszej sprawie oraz z trendem przesuwania granicy relatywności rozumienia danych osobowych w kontekście pseudonimizacji i rozpatrywania jej osobno dla każdego podmiotu w łańcuchu przetwarzania. Jak wyjaśnia autor, takie działanie prowadzi do niejasności i uderza w system ochrony danych osobowych.
Słowa kluczowe
Pełny tekst:
PDFBibliografia
Literatura
Barta P., Kawecki M., Litwiński P., Komentarz do art. 4, [w:] Ustawa o ochronie danych osobowych. Komentarz, [w:] Ogólne rozporządzenie o ochronie danych osobowych. Ustawa o ochronie danych osobowych. Wybrane przepisy sektorowe. Komentarz, P. Litwiński (red.), Warszawa 2025.
Fajgielski P., Ogólne rozporządzenie o ochronie danych. Ustawa o ochronie danych osobowych. Komentarz, Warszawa 2025.
Kołodziej M., Pseudonimizacja w RODO – kiedy i jak stosować?, „ABI Expert” 2018, nr 7.
Krasuski A., Chmura obliczeniowa. Prawne aspekty zastosowania, Warszawa 2018.
Litwiński P., Pojęcie danych osobowych w ogólnym rozporządzeniu o ochronie danych osobowych – glosa do wyroku Trybunału Sprawiedliwości z 19.10.2016 r. w sprawie C-582/14 Patrik Breyer, „Europejski Przegląd Sądowy” 2017, nr 5.
Lubasz D., Szkurłat A., Relatywizacja pojęcia danych osobowych w świetle orzecznictwa polskich sądów administracyjnych i powszechnych, „Monitor Prawniczy” 2021, nr 23.
Łuczak J., Komentarz do art. 13 i 14, [w:] RODO. Ogólne rozporządzenie o ochronie danych. Komentarz, E. Bielak-Jomaa, D. Lubasz (red.), Warszawa 2018.
Sakowska-Baryła M., Komentarz do art. 28, [w:] Ogólne rozporządzenie o ochronie danych osobowych. Komentarz, Warszawa 2018.
Mednis A., Pojęcie danych osobowych, [w:] System Prawa Medycznego, t. 3: Organizacja systemu ochrony zdrowia, D. Bach-Golecka, R. Stankiewicz (red.), Warszawa 2020.
Taczkowska-Olszewska J., Chałubińska-Jentkiewicz K., Nowikowska M., Retencja, migracja i przepływy danych w cyberprzestrzeni. Ochrona danych osobowych w systemie bezpieczeństwa państwa, Warszawa 2019.
Witkowska-Nowakowska K., Komentarz do art. 4 pkt 5, [w:] RODO. Ogólne rozporządzenie o ochronie danych. Komentarz, E. Bielak-Jomaa, D. Lubasz (red.), Warszawa 2018.
Akty prawne
Rozporządzenie Parlamentu Europejskiego i Rady (UE) 2016/679 z dnia 27 kwietnia 2016 r. w sprawie ochrony osób fizycznych w związku z przetwarzaniem danych osobowych i w sprawie swobodnego przepływu takich danych oraz uchylenia dyrektywy 95/46/WE (ogólne rozporządzenie o ochronie danych) (Dz. Urz. L 119/1, 4.05.2016).
Rozporządzenie Parlamentu Europejskiego i Rady (UE) 2018/1725 z dnia 23 października 2018 r. w sprawie ochrony osób fizycznych w związku z przetwarzaniem danych osobowych przez instytucje, organy i jednostki organizacyjne Unii i swobodnego przepływu takich danych oraz uchylenia rozporządzenia (WE) nr 45/2001 i decyzji nr 1247/2002/WE (Dz. Urz. L 295/39, 21.11.2018).
Orzecznictwo
Wyrok TSUE z dnia 19 października 2016 r. w sprawie C-582/14, Breyer, ECLI:EU:C:2016:779.
Wyrok TSUE z dnia 20 grudnia 2017 r. w sprawie C-434/16, Nowak, ECLI:EU:C:2017:994.
Wyrok Sądu UE z dnia 26 kwietnia 2023 r. w sprawie T‑557/20, SRB przeciwko EIOD, ECLI:EU:T:2023:219.
Wyrok TSUE z dnia 4 maja 2023 r. w sprawie C-487/21, Österreichische Datenschutzbehörde, ECLI:EU:C:2023:369.
Wyrok TSUE z dnia 9 listopada 2023 r. w sprawie C‑319/22, Gesamtverband Autoteile-Handel, ECLI:EU:C:2023:837.
Wyrok TSUE z dnia 7 marca 2024 r. w sprawie C-479/22 P, OC przeciwko Komisji, ECLI:EU:C:2024:215.
Wyrok TSUE z dnia 4 września 2025 r. w sprawie C‑413/23 P, EIOD przeciwko SRB, ECLI:EU:C:2025:645.
Źródła internetowe
Cobbe J., A Relative Mess: Identifying Data Subjects in Multi-Party Processing, https://ssrn.com/abstract=5731364 (dostęp: 17.01.2026).
Korff D., Digital Omnibus: Proposed Changes to the Definition of Personal Data in the EU GDPR Analysed in the Light of the SRB and Earlier CJEU Judgments, https://ssrn.com/abstract=5891404 (dostęp: 17.01.2026).
Inne
Opinia 05/2014 Grupy Roboczej ds. ochrony danych powołanej na mocy art. 29 w sprawie technik anonimizacji przyjęta dnia 10 kwietnia 2014 r.
Opinia Rzecznika Generalnego Manuela Cámposa-Sancheza-Bordony z dnia 12 maja 2016 r. w sprawie C‑582/14, Breyer, ECLI:EU:C:2016:339.
Opinia Rzecznika Generalnego Deana Spielmanna z dnia 6 lutego 2025 r. w sprawie C‑413/23 P, EIOD przeciwko SRB, ECLI:EU:C:2025:59.
Projekt rozporządzenia Parlamentu Europejskiego i Rady z dnia 19 listopada 2025 r. Digital Omnibus, COM(2025) 837.
DOI: http://dx.doi.org/10.17951/glosa.2026.3.25-33
Data publikacji: 2026-10-07 14:44:56
Data złożenia artykułu: 2026-01-21 19:03:45
Statystyki
Wskaźniki
Odwołania zewnętrzne
- Brak odwołań zewnętrznych
Prawa autorskie (c) 2026 Glosa. Prawo Gospodarcze w Orzeczeniach i Komentarzach
Powyższa praca jest udostępniana na lcencji Creative Commons Attribution 4.0 International License.