Anonimizare vs pseudonimizare

Anonimizarea și pseudonimizarea sunt două tehnici diferite de protecție a datelor. Anonimizarea transformă ireversibil datele astfel încât persoana să nu mai poată fi identificată de nimeni, iar rezultatul iese complet de sub incidența GDPR. Pseudonimizarea înlocuiește elementele de identificare cu un cod, dar păstrează separat o cheie care permite reidentificarea; de aceea datele pseudonimizate rămân date cu caracter personal și impun toate obligațiile GDPR.

Pe scurt

Anonimizarea transformă datele astfel încât persoana să nu mai poată fi identificată de nimeni — rezultatul iese complet de sub incidența GDPR. Pseudonimizarea înlocuiește elementele de identificare cu un cod, dar păstrează undeva „cheia" care permite reidentificarea — de aceea datele pseudonimizate rămân date cu caracter personal și îți impun toate obligațiile GDPR. Diferența are consecințe majore: doar anonimizarea reală te scoate din regim, iar pragul pentru a o atinge este foarte ridicat.

Cadrul legal

Distincția dintre anonimizare și pseudonimizare este stabilită direct de Regulamentul (UE) 2016/679 (GDPR), aplicabil ca atare în România. Legea nr. 190/2018 nu redefinește acești termeni — ea doar adaugă măsuri naționale de punere în aplicare.

Pseudonimizarea — definiție legală

GDPR definește expres conceptul:

Art. 4 pct. 5 GDPR — „«pseudonimizare» înseamnă prelucrarea datelor cu caracter personal într-un asemenea mod încât acestea să nu mai poată fi atribuite unei anume persoane vizate fără a se utiliza informații suplimentare, cu condiția ca aceste informații suplimentare să fie stocate separat și să facă obiectul unor măsuri de natură tehnică și organizatorică care să asigure neatribuirea respectivelor date cu caracter personal unei persoane fizice identificate sau identificabile."

Sursa: Regulamentul (UE) 2016/679, art. 4 (accesat 2026-09-08)

Anonimizarea — definită „în negativ", prin considerentul 26

GDPR nu definește „anonimizarea" printr-un articol, ci stabilește în considerentul 26 că principiile protecției datelor nu se aplică informațiilor anonime, adică informațiilor care nu privesc o persoană identificată sau identificabilă ori datelor anonimizate astfel încât persoana să nu (mai) fie identificabilă. Același considerent fixează și testul de identificabilitate:

Considerentul 26 GDPR — pentru a stabili dacă o persoană este identificabilă, „ar trebui să se ia în considerare toate mijloacele, cum ar fi individualizarea, pe care este probabil, în mod rezonabil, să le utilizeze fie operatorul, fie o altă persoană", ținând cont de „toți factorii obiectivi, precum costurile și intervalul de timp necesare pentru identificare, luându-se în considerare atât tehnologia disponibilă la momentul prelucrării, cât și dezvoltarea tehnologică".

Sursa: Regulamentul (UE) 2016/679, considerentul 26 (accesat 2026-09-08)

Considerentul 26 confirmă totodată, fără echivoc, că datele pseudonimizate rămân date cu caracter personal.

Pseudonimizarea ca măsură de conformitate

GDPR nu tratează pseudonimizarea ca pe o scutire, ci ca pe o garanție recomandată în mai multe locuri:

• Art. 25 alin. (1) — protecția datelor din faza de proiectare (privacy by design): pseudonimizarea este dată ca exemplu de măsură tehnică adecvată.
• Art. 32 alin. (1) lit. (a) — securitatea prelucrării: „pseudonimizarea și criptarea datelor cu caracter personal".
• Art. 6 alin. (4) lit. (e) — la testul de compatibilitate pentru un scop nou, existența unor garanții precum criptarea sau pseudonimizarea cântărește în favoarea compatibilității.
• Art. 89 alin. (1) — garanții pentru arhivare în interes public, cercetare științifică/istorică și statistică.
• Art. 11 — când scopul nu (mai) necesită identificarea persoanei, operatorul nu trebuie să păstreze date suplimentare doar pentru conformitate (regim ușurat, aproape de „date care nu permit identificarea").

Sursa: Regulamentul (UE) 2016/679, art. 11, 25, 32, 6, 89 (accesat 2026-09-08)

Explicație detaliată

Diferența esențială: reversibilitatea

Cheia întregii distincții este dacă procesul poate fi dat înapoi:

• Pseudonimizarea este reversibilă. Datele de identificare (nume, CNP, e-mail) sunt înlocuite cu un pseudonim (un cod, un token, un ID). Legătura dintre cod și persoana reală există în continuare — într-un „tabel de corespondență", o cheie de criptare sau un algoritm — și este ținută separat. Cine deține cheia poate reface identitatea.
• Anonimizarea este ireversibilă. Legătura cu persoana este distrusă definitiv; nici operatorul, nici altcineva nu o mai poate reconstitui cu mijloace rezonabile. Nu există cheie de păstrat, pentru că nu mai există nimic de descuiat.

Consecința juridică decurge direct din reversibilitate: datele anonimizate ies de sub GDPR, deci le poți folosi, publica sau vinde fără temei legal, fără informare, fără termene de stocare. Datele pseudonimizate rămân sub GDPR în întregime — ai nevoie de temei legal (art. 6), respecți drepturile persoanelor, ții evidențe și notifici breșele.

De ce anonimizarea reală este atât de greu de atins

Multe organizații cred că au anonimizat date când, de fapt, doar le-au pseudonimizat. Simpla ștergere a numelui nu este suficientă: dacă rămân suficiente atribute (cod poștal + dată de naștere + sex, de exemplu), o persoană poate fi „individualizată" și reidentificată prin corelare cu alte surse.

Grupul de lucru Art. 29 (predecesorul EDPB), în Avizul 05/2014 privind tehnicile de anonimizare (WP216), a stabilit că o anonimizare este robustă doar dacă elimină simultan trei riscuri:

1. Individualizarea (singling out) — posibilitatea de a izola înregistrările unei persoane;
2. Corelarea (linkability) — posibilitatea de a lega două înregistrări despre aceeași persoană (în același set sau între seturi diferite);
3. Inferența (inference) — posibilitatea de a deduce, cu probabilitate mare, o informație despre o persoană.

⚠️ Opinie / guidance — WP29, Avizul 05/2014 (WP216): dacă vreunul dintre cele trei riscuri persistă, datele nu sunt anonime, ci cel mult pseudonimizate. Pseudonimizarea „reduce corelabilitatea", dar nu este o metodă de anonimizare. Sursa: WP216, 2014 (accesat 2026-09-08)

Testul „mijloacelor rezonabile" și caracterul relativ al datelor

Pragul de identificabilitate nu este absolut, ci se raportează la mijloacele susceptibile a fi utilizate în mod rezonabil (considerentul 26). CJUE a consacrat acest test în cauza C-582/14, Breyer (19 octombrie 2016): o adresă IP dinamică este dată cu caracter personal pentru operatorul care dispune de mijloace legale rezonabile de a obține identificarea de la un terț.

Un pas major l-a făcut CJUE în C-413/23 P, EDPS v SRB (4 septembrie 2025). Curtea a confirmat că caracterul „personal" al unor date nu este o proprietate absolută, ci relativă și contextuală: aceleași date pseudonimizate pot fi date cu caracter personal pentru cel care deține cheia și, în același timp, date ne-personale pentru un destinatar care nu poate, în mod rezonabil, să reidentifice persoanele (nu are cheia și nici alte mijloace rezonabile). Clasificarea depinde de riscul concret de reidentificare al fiecărei părți, evaluat prin factori tehnici, organizatorici și juridici.

⚠️ Atenție la nuanță. Hotărârea C-413/23 P vizează Regulamentul (UE) 2018/1725 (aplicabil instituțiilor UE), modelat pe GDPR, și nu transformă automat orice date pseudonimizate în date anonime. Pentru operatorul care păstrează cheia, ele rămân date cu caracter personal. În plus, proiectul EDPB Guidelines 01/2025 adoptă o abordare mai prudentă decât Curtea. Până la consolidarea practicii, evaluează caz cu caz și documentează analiza de risc. Sursa: Comunicat CURIA, C-413/23 P (accesat 2026-09-08)

Ce prag aplică efectiv un operator? „Risc zero" vs. „risc rezonabil"

Există o tensiune reală între două standarde de anonimizare, iar un operator trebuie să știe pe care îl aplică:

• Abordarea cvasi-absolută (WP216, 2014): orice risc rezidual de individualizare, corelare sau inferență înseamnă că datele nu sunt anonime, ci pseudonimizate. Este o poziție prudentă, apropiată de „risc zero".
• Abordarea relativă/contextuală (considerentul 26 + Breyer + C-413/23 P): identificabilitatea se apreciază raportat la mijloacele susceptibile a fi utilizate în mod rezonabil de fiecare parte, ținând cont de costuri, timp și tehnologie. Un risc pur teoretic, care ar cere mijloace disproporționate, nu transformă datele în date cu caracter personal.

Care prevalează? Standardul juridic obligatoriu este cel din textul GDPR (considerentul 26) și jurisprudența CJUE — testul mijloacelor rezonabile, nu „risc zero" absolut. WP216 și proiectul EDPB Guidelines 01/2025 rămân guidance (fără forță de lege), dar reflectă modul strict în care autoritatea de supraveghere va evalua în practică. Recomandarea operațională: aplică testul mijloacelor rezonabile, dar documentează o analiză de risc care neutralizează efectiv cele trei riscuri și ține cont de datele auxiliare public disponibile — altfel nu vei putea susține în fața ANSPDCP că pragul „rezonabil" a fost atins. Cu cât miza (publicare, transfer, vânzare) este mai mare, cu atât apropie-te de standardul prudent WP216.

Date sintetice — nu sunt automat anonime

Datele sintetice (înregistrări generate artificial, adesea de un model statistic sau IA antrenat pe date reale) sunt frecvent prezentate ca echivalent al datelor anonime, dar nu sunt anonime prin definiție. Dacă modelul generator a fost antrenat pe date personale, output-ul poate reține risc de reidentificare și trebuie trecut prin același test al celor trei riscuri:

• Individualizare — un exemplu sintetic poate corespunde aproape identic unei persoane reale (memorare/overfitting);
• Corelare — înregistrările sintetice pot fi legate de alte surse (linkage attack);
• Inferență — interogarea modelului poate dezvălui apartenența la setul de antrenament (membership inference) sau reconstitui atribute (model inversion).

Aceeași logică se aplică output-urilor și parametrilor modelelor IA antrenate pe date personale: potrivit EDPB, Opinia 28/2024 privind modelele de IA (17 decembrie 2024), un model nu este per se anonim — anonimitatea trebuie evaluată caz cu caz, dovedind că extragerea datelor de antrenament este improbabilă cu mijloace rezonabile. Data sintetică devine cu adevărat anonimă doar când rezistă celor trei riscuri; altfel rămâne dată pseudonimizată supusă GDPR.

⚠️ Guidance — EDPB, Opinion 28/2024 on AI models (decembrie 2024): modelele IA antrenate pe date personale nu pot fi prezumate anonime; se cere o evaluare probatorie a riscului de extragere/inferență. Sursa: EDPB, Opinion 28/2024 (accesat 2026-09-08)

Tehnici uzuale

Pentru pseudonimizare:

• Tokenizare — înlocuirea valorii cu un token fără sens, corespondența fiind într-un seif separat;
• Criptare — datele cifrate, cheia păstrată separat;
• Hashing cu cheie secretă (HMAC) sau cu „sare" — pentru a împiedica atacurile pe dicționar de hash-uri.

Pentru anonimizare:

• Generalizare / agregare — înlocuirea valorilor exacte cu intervale (vârsta „34" → „30-40"); raportarea doar la nivel de grup;
• k-anonimat, l-diversitate, t-apropiere — garantează că fiecare înregistrare se „ascunde" între cel puțin k persoane cu aceleași atribute;
• Randomizare / adăugare de zgomot și confidențialitate diferențială (differential privacy) — perturbarea controlată a datelor pentru a împiedica inferența asupra unui individ.

Aspecte practice

Când alegi pseudonimizarea și când anonimizarea

• Pseudonimizează când ai nevoie să reidentifici ulterior persoanele: analize interne, testare software cu date reale, cercetare longitudinală, reducerea riscului în timp ce continui prelucrarea. Este o măsură de securitate și de privacy by design, nu o cale de ieșire din GDPR.
• Anonimizează când nu mai ai nevoie de identitate: statistici publice, seturi de date deschise, indicatori agregați, rapoarte. Doar aici scapi de obligațiile GDPR — dar numai dacă anonimizarea rezistă testului celor trei riscuri.

Greșeli frecvente

• „Am șters numele, deci e anonim." Fals. Atributele rămase (data nașterii, localitate, funcție, comportament) permit adesea reidentificarea. Cel mai probabil ai doar pseudonimizat.
• Păstrarea cheii lângă date. Dacă tabelul de corespondență stă în același sistem, cu aceleași drepturi de acces ca datele pseudonimizate, măsura își pierde valoarea. Cheia trebuie stocată separat, cu acces strict controlat (art. 4 pct. 5 impune expres separarea).
• Confundarea pseudonimizării cu un temei legal. Pseudonimizarea nu îți dă dreptul să prelucrezi; ai nevoie tot de un temei din art. 6 GDPR. Ea doar întărește proporționalitatea și securitatea.
• Anonimizarea „ireversibilă" care nu e testată. Fără o analiză de risc documentată (individualizare, corelare, inferență), nu poți susține în fața ANSPDCP că datele sunt anonime.

Ce să faci concret

1. Clasifică-ți obiectivul: ai nevoie vreodată să revii la persoană? Da → pseudonimizare; Nu → anonimizare.
2. Separă și protejează cheia (pentru pseudonimizare): stocare distinctă, criptare, acces pe bază de „need to know", jurnalizare.
3. Documentează analiza de risc de reidentificare — mai ales înainte de a declara un set „anonim" sau de a-l publica. Ține cont de datele auxiliare disponibile public.
4. Tratează transferurile către terți în lumina cauzei C-413/23 P: evaluează dacă destinatarul poate, în mod rezonabil, reidentifica; contractual, interzice-i accesul la mijloace de reidentificare.
5. Reevaluează periodic — considerentul 26 cere să ții cont de evoluția tehnologică. Ce era anonim acum câțiva ani poate deveni reidentificabil.
6. Consemnează măsurile în DPIA și în evidența prelucrărilor, invocând art. 25 și 32 ca temei al alegerilor tehnice.

În context RO: pentru prelucrarea CNP și a altor identificatori naționali, art. 5 din Legea nr. 190/2018 cere garanții adecvate (inclusiv măsuri tehnice precum pseudonimizarea și desemnarea unui DPO). Pseudonimizarea este, practic, una dintre garanțiile așteptate de autoritate.

Pe ce temei anonimizezi? (art. 6 și compatibilitatea scopului)

Procesul de anonimizare, aplicat unor date personale, este el însuși o prelucrare supusă GDPR (până în momentul în care rezultatul devine cu adevărat anonim). Prin urmare are nevoie de un temei din art. 6 alin. (1) și trebuie să treacă testul de compatibilitate a scopurilor (art. 5 alin. (1) lit. (b) coroborat cu art. 6 alin. (4)).

• Nu este o prelucrare automat „exceptată". Cel mai frecvent, operatorul se sprijină pe temeiul inițial al colectării, iar anonimizarea se analizează ca prelucrare ulterioară compatibilă: fiind o măsură de reducere a riscului (privacy-friendly), ea cântărește favorabil la testul din art. 6 alin. (4) lit. (e) — care privește tocmai existența unor garanții precum pseudonimizarea/criptarea.
• Temeiuri uzuale: interesul legitim (art. 6 alin. (1) lit. (f)) — a păstra statistici/analize cu risc redus; sau obligația legală (art. 6 alin. (1) lit. (c)) — când anonimizarea înlocuiește ștergerea la finalul unui termen.
• Limita: dacă anonimizarea servește un scop vădit incompatibil cu cel inițial, ea nu poate fi realizată fără reevaluare (eventual un temei nou). Documentează raționamentul în evidența prelucrărilor și, unde e cazul, în DPIA.

Anonimizarea ca alternativă la ștergere (art. 17)

Anonimizarea ireversibilă este, în esență, echivalentă funcțional cu ștergerea: din moment ce datele nu mai privesc o persoană identificabilă (considerentul 26), obiectivul art. 17 este atins. Ea este utilă tocmai când operatorul are obligații legale de păstrare (fiscale, contabile, arhivistice) care îl împiedică să șteargă fizic:

• Dacă legea de retenție cere păstrarea datelor identificabile (ex. factura cu CNP/CUI în termenul fiscal), anonimizarea nu poate substitui păstrarea — art. 17 alin. (3) lit. (b) suspendă oricum dreptul la ștergere pe durata obligației legale.
• La expirarea termenului de retenție, în loc de ștergere fizică, operatorul poate anonimiza datele pentru a le păstra ca statistici/istoric — o alternativă legitimă, cu condiția ca anonimizarea să reziste testului celor trei riscuri.
• După o anonimizare reală, drepturile persoanei vizate (art. 15–22) nu se mai aplică, pentru că nu mai există date cu caracter personal. Dacă datele sunt doar pseudonimizate, drepturile rămân integral aplicabile.

Efectul pseudonimizării asupra notificării breșelor (art. 33–34)

Pseudonimizarea reduce severitatea unei breșe și poate elimina obligația de a notifica persoanele vizate:

• Notificarea către ANSPDCP (art. 33) rămâne, în principiu, datorată în 72 de ore pentru orice breșă care prezintă un risc — pseudonimizarea nu o suprimă automat.
• Comunicarea către persoanele vizate (art. 34) este obligatorie doar la risc ridicat. Dacă un atacator obține doar datele pseudonimizate, iar cheia (informațiile suplimentare) este stocată separat și rămâne sigură, riscul de reidentificare — deci severitatea — scade adesea sub pragul „ridicat", iar comunicarea către persoane poate să nu mai fie necesară (art. 34 alin. (3) lit. (a) recunoaște expres efectul măsurilor care fac datele neinteligibile, precum criptarea/pseudonimizarea eficace).
• Excepție: dacă breșa compromite și cheia (sau cheia era stocată lângă date), datele redevin reidentificabile → risc ridicat → comunicare obligatorie. Acesta este un argument operațional puternic pentru separarea strictă a cheii.

⚠️ Guidance — EDPB, Guidelines 9/2022 privind notificarea breșelor (versiunea 2.0, 2023): pseudonimizarea/criptarea eficace este un factor de atenuare care poate scuti operatorul de comunicarea către persoanele vizate. Sursa: EDPB Guidelines 9/2022 (accesat 2026-09-08)

Micro-operatori (PFA, IMM): ce prag „rezonabil" li se cere

Tehnicile avansate (k-anonimat, l-diversitate, confidențialitate diferențială) sunt adesea inaccesibile unui PFA sau unei microîntreprinderi. Considerentul 26 ajută aici: pragul de anonimizare se apreciază după mijloacele rezonabile, ținând cont de costuri și de tehnologia disponibilă — deci este proporțional cu resursele operatorului, nu un standard uniform.

• Nu li se pretinde obligatoriu k-anonimat sau differential privacy dacă riscul cazului de utilizare este scăzut și tehnici simple sunt suficiente.
• Alternative pragmatice: generalizare/agregare (vârsta în intervale, raportare doar la nivel de grup), suprimarea atributelor cvasi-identificatoare, ori — dacă anonimizarea reală nu e realizabilă — pseudonimizare cu cheia stocată separat și acces controlat (o măsură de securitate accesibilă, chiar dacă păstrează regimul GDPR).
• Recurs la procesatori: un IMM poate externaliza anonimizarea/pseudonimizarea către un furnizor specializat, sub contract de prelucrare (art. 28) și cu garanții de securitate (art. 32).
• Documentează alegerea (cost vs. risc, măsuri compensatorii) — un raționament proporțional, consemnat, este apărabil în fața ANSPDCP.

Enforcement în România (ANSPDCP)

⚠️ La data redactării nu a fost identificată o decizie publică ANSPDCP care să recalifice expres un set declarat „anonim" drept date cu caracter personal ori care să sancționeze punctual „falsa anonimizare". Concluzia practică nu se schimbă însă: recalificarea decurge direct din considerentul 26 și din cauza C-413/23 P, iar ANSPDCP a aplicat în mod repetat amenzi pentru măsuri de securitate insuficiente (art. 32 GDPR) — categorie în care intră și pseudonimizarea neconformă (cheie păstrată lângă date, acces necontrolat). Deciziile autorității se publică pe dataprotection.ro. Sarcina de a proba caracterul anonim revine operatorului; fără o analiză de risc documentată, un set „anonim" reidentificabil este tratat ca date cu caracter personal, cu toate consecințele sancționatorii aferente.

Legislație europeană

Anonimizarea și pseudonimizarea sunt, prin excelență, concepte de drept european: ele izvorăsc din GDPR și sunt modelate de jurisprudența CJUE. Această secțiune consolidează cadrul UE și îl completează cu actele europene recente (Data Act, AI Act) în care cele două tehnici joacă un rol operațional.

Directive și regulamente aplicabile

Nu există o directivă de transpus: materia este guvernată de regulamente direct aplicabile în România.

Regulamentul (UE) 2016/679 (GDPR) — definește pseudonimizarea la art. 4 pct. 5 și tratează anonimizarea „în negativ" prin considerentul 26 (datele anonime ies de sub Regulament, datele pseudonimizate rămân date cu caracter personal). Pseudonimizarea apare ca garanție la art. 25 alin. (1), art. 32 alin. (1) lit. (a), art. 6 alin. (4) lit. (e) și art. 89 alin. (1) (detaliate în secțiunea Cadrul legal). Sursa: Regulamentul (UE) 2016/679, CELEX 32016R0679 (accesat 2026-09-08)

Două regulamente UE mai noi confirmă și extind rolul acestor tehnici dincolo de GDPR:

Regulamentul (UE) 2023/2854 (Data Act / Regulamentul privind datele) — aplicabil de la 12 septembrie 2025. Pentru seturile de date mixte (personale + ne-personale), deținătorul datelor trebuie să partajeze date anonimizate dacă este posibil, iar altfel pseudonimizate sau agregate; la cererile organismelor din sectorul public, datele personale trebuie anonimizate corespunzător, cu excepția cazului în care cererea impune divulgarea lor. Costurile de anonimizare, pseudonimizare și agregare intră în compensarea datorată deținătorului. Sursa: Regulamentul (UE) 2023/2854, ELI reg/2023/2854 (accesat 2026-09-08)

Regulamentul (UE) 2024/1689 (AI Act) — consacră principiul „ultimei soluții": datele cu caracter personal se prelucrează doar când scopul nu poate fi atins cu date anonimizate, sintetice sau ne-personale. La art. 10(5), prelucrarea categoriilor speciale pentru detectarea și corectarea bias-ului sistemelor de IA cu grad ridicat de risc este admisă numai sub garanții stricte, inclusiv pseudonimizarea; la art. 59, reutilizarea datelor personale în sandbox-ul de reglementare este condiționată de imposibilitatea de a folosi date anonimizate/sintetice/ne-personale. Sursa: Regulamentul (UE) 2024/1689, CELEX 32024R1689 (accesat 2026-09-08)

Transpunerea în dreptul român

Fiind regulamente, GDPR, Data Act și AI Act se aplică direct, fără a fi nevoie de transpunere. Legiuitorul român a adoptat însă măsuri de punere în aplicare:

• Legea nr. 190/2018 privind măsuri de punere în aplicare a GDPR — art. 5 condiționează prelucrarea unor identificatori naționali cu aplicabilitate generală (de ex. CNP) de garanții adecvate, printre care se numără explicit pseudonimizarea. Legea nu redefinește anonimizarea/pseudonimizarea (definiția rămâne cea din art. 4 pct. 5 GDPR) — este un exemplu de aliniere fără gold-plating conceptual.

  Sursa: Legea nr. 190/2018, art. 5 (accesat 2026-09-08)

• ANSPDCP (Autoritatea Națională de Supraveghere a Prelucrării Datelor cu Caracter Personal) este autoritatea de supraveghere care aplică GDPR în România și evaluează, în practică, dacă o prelucrare este cu adevărat anonimizare sau doar pseudonimizare.

Pentru Data Act, autoritățile competente naționale urmau a fi desemnate în cadrul aplicării de la septembrie 2025; pentru AI Act, arhitectura de guvernanță națională se construiește în perioada de aplicare eșalonată (până la 2 august 2027).

Jurisprudență CJUE

Cauza C-582/14, Breyer (hotărârea din 19 octombrie 2016) — a consacrat testul mijloacelor rezonabile din considerentul 26: o adresă IP dinamică este dată cu caracter personal pentru operatorul care dispune de mijloace legale rezonabile de a obține identificarea de la un terț. Identificabilitatea se apreciază relativ, nu absolut. Sursa: CJUE, C-582/14, Breyer (accesat 2026-09-08)

Cauza C-413/23 P, EDPS v SRB (hotărârea din 4 septembrie 2025) — Curtea a confirmat că statutul de „date cu caracter personal" este relativ și contextual: aceleași date pseudonimizate pot fi personale pentru cel care deține cheia și ne-personale pentru un destinatar care nu poate, în mod rezonabil, să reidentifice persoanele. Clasificarea se face după riscul concret de reidentificare al fiecărei părți. ⚠️ Hotărârea privește Regulamentul (UE) 2018/1725 (instituțiile UE), modelat pe GDPR, și nu transformă automat datele pseudonimizate în date anonime pentru cel care păstrează cheia (detaliat în Explicație detaliată și Practică și opinii). Sursa: Comunicat CURIA, C-413/23 P (accesat 2026-09-08)

Pseudonimizarea și anonimizarea în transferurile internaționale (Capitolul V)

Cele două tehnici au roluri opuse la transferurile către țări terțe:

• Datele corect anonimizate ies de sub GDPR, deci nu sunt supuse regulilor de transfer din Capitolul V — pot fi trimise oriunde, fără mecanism de transfer (decizie de adecvare, SCC etc.).
• Datele pseudonimizate rămân date cu caracter personal, deci transferul lor cere un mecanism de transfer valabil. În plus, după hotărârea Schrems II (C-311/18), pseudonimizarea este una dintre măsurile tehnice suplimentare recomandate de EDPB pentru a compensa deficiențele de protecție din țara terță.

Pragul cerut de EDPB pentru ca pseudonimizarea să fie o măsură suplimentară eficace — potrivit Recomandărilor 01/2020 (versiunea 2.0, 21 iunie 2021), cazul de utilizare 2 din Anexa 2 — este cumulativ:

1. datele sunt pseudonimizate astfel încât nu mai pot fi atribuite unei persoane, nici folosite pentru a o individualiza, fără informații suplimentare;
2. informațiile suplimentare (cheia) sunt deținute exclusiv de exportator și păstrate separat, în SEE;
3. divulgarea sau utilizarea neautorizată a cheii este împiedicată prin măsuri tehnice și organizatorice — importatorul și autoritățile din țara terță nu pot reidentifica;
4. exportatorul a stabilit, printr-o analiză temeinică, că informațiile suplimentare nu pot fi folosite de autoritățile țării terțe cu mijloace rezonabile pentru reidentificare.

Dacă aceste condiții nu sunt îndeplinite (de pildă importatorul deține și cheia), pseudonimizarea nu este o măsură suplimentară eficace și transferul nu este acoperit.

⚠️ Guidance — EDPB, Recomandările 01/2020 privind măsurile suplimentare (v2.0, 2021): pseudonimizarea eficace ca măsură suplimentară cere ca cheia să rămână exclusiv la exportator, în SEE, iar importatorul/autoritățile țării terțe să nu poată reidentifica cu mijloace rezonabile. Sursa: EDPB, Recomandările 01/2020 (accesat 2026-09-08)

Aspecte practice din perspectivă europeană

• Circulație liberă și valabilitate UE. Fiind regulamente, aceleași definiții și obligații se aplică în toate statele membre; datele corect anonimizate nu mai intră sub GDPR și pot circula liber, inclusiv transfrontalier, fără temei juridic ori garanții de transfer. Datele pseudonimizate rămân date cu caracter personal și urmează întregul regim GDPR (inclusiv regulile de transfer internațional).
• Convergență cu economia datelor. Data Act și AI Act transformă anonimizarea și pseudonimizarea din simple măsuri de securitate în instrumente de conformitate pentru partajarea și reutilizarea datelor — o organizație care stăpânește aceste tehnici își deschide acces la scenarii de data sharing, sandbox-uri IA și cooperare cu sectorul public.
• Guidance european în evoluție. ⚠️ Proiectul EDPB Guidelines 01/2025 privind pseudonimizarea (consultare publică, 16 ianuarie 2025) adoptă o poziție mai prudentă decât CJUE privind statutul datelor pseudonimizate ajunse la un destinatar fără cheie. Până la consolidarea practicii post-C-413/23 P, recomandarea operațională rămâne evaluarea caz cu caz și documentarea analizei de risc.

  Sursa: EDPB, Guidelines 01/2025 (accesat 2026-09-08)

Întrebări frecvente

1. Datele pseudonimizate mai sunt „date cu caracter personal"? Da. GDPR spune explicit, în art. 4 pct. 5 și în considerentul 26, că datele pseudonimizate rămân date cu caracter personal, pentru că pot fi reatribuite unei persoane folosind informațiile suplimentare (cheia). Toate obligațiile GDPR se aplică.

2. Dacă anonimizez datele, mai trebuie să respect GDPR? Nu — datele cu adevărat anonime ies de sub GDPR (considerentul 26). Dar pragul e ridicat: anonimizarea trebuie să fie ireversibilă și să reziste riscurilor de individualizare, corelare și inferență. Procesul de anonimizare în sine, aplicat unor date personale, este însă o prelucrare supusă GDPR.

3. Care e diferența practică într-o singură frază? Pseudonimizarea ascunde identitatea, dar păstrează o cheie de descuiere; anonimizarea o distruge definitiv, fără cale de întoarcere.

4. Este suficient să șterg numele și CNP-ul ca să am date anonime? Aproape niciodată. Atributele rămase pot permite reidentificarea prin combinare cu alte surse. Cel mai probabil obții date pseudonimizate, nu anonime.

5. Ce câștig dacă pseudonimizez, dacă tot rămân sub GDPR? Reduci riscul pentru persoane, îți dovedești conformitatea cu privacy by design (art. 25) și cu obligațiile de securitate (art. 32), cântărești favorabil la testul de compatibilitate a scopurilor (art. 6 alin. 4) și beneficiezi de regimul mai flexibil pentru cercetare/statistică (art. 89).

6. Aceleași date pot fi „personale" pentru mine și „anonime" pentru altcineva? Potrivit CJUE în C-413/23 P (2025), da — caracterul personal este relativ. Pentru cel care deține cheia rămân date personale; pentru un destinatar care nu poate reidentifica în mod rezonabil pot fi date ne-personale. Evaluează caz cu caz și documentează riscul de reidentificare.

7. Unde reclam o prelucrare nelegală în România? La ANSPDCP — Autoritatea Națională de Supraveghere a Prelucrării Datelor cu Caracter Personal (www.dataprotection.ro).

8. Pot anonimiza datele în loc să le șterg, dacă am obligații legale de păstrare? La expirarea termenului de retenție, da — anonimizarea ireversibilă este echivalentă funcțional cu ștergerea (nu mai rămân date cu caracter personal). Dar cât timp legea îți cere să păstrezi date identificabile (ex. facturi în termenul fiscal), anonimizarea nu poate substitui păstrarea, iar dreptul la ștergere este oricum suspendat (art. 17 alin. (3) lit. (b)).

9. Dacă mi se fură date pseudonimizate, trebuie să anunț persoanele vizate? Nu neapărat. Dacă atacatorul a obținut doar datele pseudonimizate, iar cheia a rămas stocată separat și sigură, riscul de reidentificare scade adesea sub pragul „ridicat", iar comunicarea către persoane (art. 34) poate să nu mai fie necesară — deși notificarea către ANSPDCP (art. 33) rămâne datorată. Dacă a fost compromisă și cheia, comunicarea devine obligatorie.

10. Datele sintetice generate din date reale sunt automat anonime? Nu. Dacă modelul a fost antrenat pe date personale, output-ul sintetic poate reține risc de reidentificare (memorare, inferență) și trebuie trecut prin testul celor trei riscuri. Devine anonim doar dacă rezistă individualizării, corelării și inferenței; altfel rămâne dată pseudonimizată supusă GDPR.

Practică și opinii

⚠️ Guidance — Grupul de lucru Art. 29 (WP29), Avizul 05/2014 privind tehnicile de anonimizare (WP216) O anonimizare este eficace doar dacă neutralizează cele trei riscuri — individualizare, corelare și inferență. Pseudonimizarea „este o măsură utilă de securitate, dar nu o metodă de anonimizare"; datele pseudonimizate rămân date cu caracter personal. Sursa: WP216, 10 aprilie 2014

⚠️ Guidance — EDPB, Guidelines 01/2025 privind pseudonimizarea (proiect, consultare publică) Comitetul european pentru protecția datelor detaliază rolul pseudonimizării ca garanție în temeiul art. 25, 32, 6(4) și 89 GDPR și insistă pe separarea strictă a „informațiilor suplimentare". Proiectul adoptă o poziție mai strictă decât CJUE privind statutul datelor pseudonimizate ajunse la un destinatar fără cheie. Sursa: EDPB, Guidelines 01/2025, 16 ianuarie 2025

⚠️ Jurisprudență — CJUE, C-413/23 P, EDPS v SRB (4 septembrie 2025) Curtea a stabilit că noțiunea de „date cu caracter personal" are caracter relativ: aceleași date pseudonimizate pot fi personale pentru emitentul care deține cheia și ne-personale pentru destinatarul care nu poate reidentifica în mod rezonabil. Evaluarea se face după riscul concret de reidentificare (factori tehnici, organizatorici, juridici). Hotărârea privește Regulamentul 2018/1725, dar are relevanță directă pentru interpretarea GDPR. Sursa: Comunicat de presă CURIA, C-413/23 P

⚠️ Avertisment — interpretare volatilă (verificați versiunile finale). Două dintre sursele-cheie erau, la data redactării, provizorii: EDPB Guidelines 01/2025 sunt încă în stadiu de proiect (consultare publică), iar cauza C-413/23 P era citată prin comunicatul de presă. La adoptarea versiunii finale a ghidului EDPB și la publicarea integrală a considerentelor hotărârii, standardul poate evolua — în special dacă versiunea finală consolidează poziția mai strictă decât CJUE privind datele pseudonimizate ajunse la un destinatar fără cheie, sau dacă introduce condiții mai severe pentru transferuri. Până atunci, tratați concluziile privind statutul „relativ" al datelor pseudonimizate ca orientative și reverificați ambele surse înainte de a vă baza pe ele într-o decizie de conformitate.

Referințe

1. Regulamentul (UE) 2016/679 (GDPR) — art. 4 pct. 1 și pct. 5, art. 6 alin. (4) lit. (e), art. 11, art. 25 alin. (1), art. 32 alin. (1) lit. (a), art. 89 alin. (1), considerentele 26, 28 și 29. eur-lex.europa.eu, CELEX 32016R0679
2. Legea nr. 190/2018 privind măsuri de punere în aplicare a Regulamentului (UE) 2016/679 — art. 5 (garanții pentru identificatori naționali). legislatie.just.ro
3. CJUE, C-413/23 P, EDPS v SRB, hotărârea din 4 septembrie 2025 — caracterul relativ al noțiunii de date cu caracter personal / date pseudonimizate. Comunicat de presă CURIA
4. CJUE, C-582/14, Breyer, hotărârea din 19 octombrie 2016 — testul mijloacelor rezonabile de identificare (adresa IP dinamică). curia.europa.eu
5. Grupul de lucru Art. 29, Avizul 05/2014 privind tehnicile de anonimizare (WP216), 10 aprilie 2014 — cele trei riscuri (individualizare, corelare, inferență). ec.europa.eu (WP216)
6. EDPB, Guidelines 01/2025 privind pseudonimizarea (proiect, consultare publică, 16 ianuarie 2025). edpb.europa.eu
7. EDPB, Recomandările 01/2020 privind măsurile suplimentare pentru instrumentele de transfer (versiunea 2.0, 21 iunie 2021) — pseudonimizarea ca măsură suplimentară la transferuri post-Schrems II. edpb.europa.eu
8. EDPB, Guidelines 9/2022 privind notificarea breșelor de securitate (versiunea 2.0, 2023) — efectul pseudonimizării/criptării asupra obligației de comunicare (art. 34). edpb.europa.eu
9. EDPB, Opinion 28/2024 privind aspectele de protecție a datelor la modelele de IA (17 decembrie 2024) — modelele antrenate pe date personale nu sunt per se anonime. edpb.europa.eu
10. CJUE, C-311/18, Schrems II, hotărârea din 16 iulie 2020 — măsuri suplimentare la transferurile internaționale. curia.europa.eu
11. ANSPDCP — Autoritatea Națională de Supraveghere a Prelucrării Datelor cu Caracter Personal. dataprotection.ro