Zespół przygotowujący raport często ogranicza eksport do części rekordów, ale mniejszy plik nie zawsze oznacza mniejsze ryzyko prawne. O tym, czy dane można bezpiecznie wykorzystać lub przekazać dalej, decyduje możliwość identyfikacji osób, cel operacji i zabezpieczenia całego procesu.
Krótka odpowiedź
Samo próbkowanie nie usuwa danych osobowych i nie wyłącza RODO. Próbka nadal może zawierać dane osobowe, jeśli osoba jest możliwa do zidentyfikowania bezpośrednio albo przez połączenie cech i innych dostępnych zbiorów.
Przed analizą ustal cel i odbiorców, ogranicz zakres, oceń ryzyko ponownej identyfikacji oraz dobierz podstawę prawną i zabezpieczenia do konkretnego przetwarzania.
Usługi KC Mobile
Potrzebujesz pomocy w tym temacie?
Czytasz poradnik „Czy dane samplingowe są legalne? Próbkowanie danych a RODO”. Napisz, co chcesz zrobić i na jakim etapie jesteś. Ustalimy, czy możemy pomóc i jaki zakres prac będzie potrzebny.
Co oznacza sampling danych?
Sampling danych, czyli próbkowanie, polega na analizie wybranego podzbioru rekordów zamiast całego zbioru. Próbka może być losowa, warstwowa albo dobrana według reguł biznesowych. Jej rozmiar mówi, ile rekordów wybrano, ale nie przesądza, czy zawierają one informacje o możliwych do zidentyfikowania osobach.
W analityce internetowej sampling może oznaczać wykorzystanie przez narzędzie części zdarzeń do oszacowania wyniku dla większego zbioru. Google Analytics opisuje próbkowanie jako praktykę analizy podzbioru danych; w odpowiednich raportach informacja o użytej próbce jest widoczna w ikonie jakości danych. To sposób obliczania wyniku, a nie automatyczne usuwanie identyfikatorów ani anonimizacja danych źródłowych. Google Analytics: próbkowanie danych
Raport z sumą zamówień według miesiąca może nie zawierać rekordów pojedynczych klientów. Eksport zdarzeń z identyfikatorem użytkownika, dokładnym czasem i szczegółową ścieżką zakupową może natomiast nadal dotyczyć konkretnych osób, nawet jeśli zawiera tylko niewielki ułamek wszystkich zdarzeń. Przy planowaniu pomiaru konwersji uwzględnij również konfigurację Google Ads w Google Tag Managerze, bo konfiguracja tagów i wysyłanych parametrów wpływa na zakres danych gromadzonych w analityce.
Czytasz poradnik „Czy dane samplingowe są legalne? Próbkowanie danych a RODO”. Napisz, co chcesz zrobić i na jakim etapie jesteś. Ustalimy, czy możemy pomóc i jaki zakres prac będzie potrzebny. Omów temat tego poradnika
Czy samo próbkowanie usuwa dane osobowe?
Próbkowanie ogranicza liczbę obserwacji, ale nie zmienia automatycznie ich treści. Imię, adres e-mail czy identyfikator klienta pozostają bezpośrednimi identyfikatorami, jeśli znajdują się w wybranych rekordach. Usunięcie takich pól też nie wystarcza, gdy pozostałe informacje można połączyć z innymi danymi.
| Rodzaj zbioru | Co się zmienia | Możliwość identyfikacji | Przykład |
|---|---|---|---|
| Próbka | Liczba rekordów lub sposób ich wyboru | Nadal możliwa, jeśli rekordy zawierają identyfikatory albo rozpoznawalne kombinacje cech | 200 zamówień z numerem klienta i dokładnym czasem zakupu |
| Pseudonimizacja | Identyfikator zastępuje się inną wartością, a informację pozwalającą odwrócić zmianę przechowuje osobno | Może pozostać możliwa dla podmiotu posiadającego dodatkowe informacje | Numer klienta zastąpiony kodem, do którego istnieje osobna tabela powiązań |
| Anonimizacja | Dane przekształca się tak, aby osoby nie można było zidentyfikować dostępnymi, racjonalnie prawdopodobnymi metodami | Po skutecznym procesie osoba nie powinna być możliwa do zidentyfikowania | Zestawienie sprzedaży według szerokich kategorii i odpowiednio dużych grup |
Pseudonimizacja jest zabezpieczeniem, a nie synonimem anonimizacji. EROD wskazuje, że dane pseudonimizowane mogą nadal być danymi osobowymi, jeżeli można je przypisać osobie przy użyciu dodatkowych informacji. EROD: wyjaśnienie pseudonimizacji
Ocena anonimowości dotyczy całego kontekstu: zawartości zbioru, dostępnych danych u odbiorcy, możliwości łączenia rekordów oraz środków potrzebnych do identyfikacji. EROD opublikowała wytyczne dotyczące anonimizacji, które w dniu przygotowania tego tekstu są przedmiotem konsultacji. EROD: wytyczne 02/2026 dotyczące anonimizacji
Kiedy dane próbki mogą podlegać RODO?
RODO może obejmować próbkę, gdy odnosi się ona do zidentyfikowanej albo możliwej do zidentyfikowania osoby fizycznej. Znaczenie mają dostępne środki identyfikacji, czas, koszt, technologie oraz informacje, którymi dysponuje administrator lub odbiorca. Sama wielkość próbki nie rozstrzyga tej oceny.
Identyfikacja może wynikać z połączenia pól, które pojedynczo wydają się mało znaczące. Data wizyty, niewielka miejscowość, rzadki produkt i nietypowe zachowanie mogą wskazać konkretną osobę, zwłaszcza gdy odbiorca zna ją z innego źródła. Ryzyko rośnie również wtedy, gdy dostawca próbki i odbiorca mają wspólne identyfikatory albo mogą łączyć ją z bazą klientów.
W przypadku danych firmowych RODO chroni osoby fizyczne, a nie każdą informację o podmiocie gospodarczym. Rekord firmy może jednak zawierać dane przedsiębiorcy prowadzącego jednoosobową działalność, pracownika lub osoby kontaktowej. Dlatego przed eksportem rozdziel dane o organizacji od danych osób i sprawdź pola opisujące konkretne osoby.
Przy analizie danych sklepu sprawdź też zasady dotyczące informacji zbieranych przez sklep i dostawców narzędzi. Pomocny kontekst opisuje nasz poradnik o RODO w sklepie internetowym.
Jak ocenić ryzyko identyfikacji w próbce?
Przed udostępnieniem próbki sprawdź, czy osoba może być wskazana na podstawie pojedynczych pól, ich kombinacji albo połączenia z innymi zbiorami. Tę ocenę przeprowadź dla konkretnego odbiorcy i celu, a nie dla abstrakcyjnego pliku bez kontekstu.
| Sygnał ryzyka | Pytanie kontrolne | Przykładowe działanie |
|---|---|---|
| Identyfikator bezpośredni | Czy eksport zawiera imię, e-mail, telefon, numer klienta lub identyfikator urządzenia? | Usuń pole, jeśli nie jest potrzebne, albo zastąp je identyfikatorem losowym i odseparuj klucz |
| Rzadka kombinacja cech | Czy połączenie daty, lokalizacji, produktu i zachowania wskazuje pojedynczą osobę? | Uogólnij lokalizację lub czas i sprawdź, czy rekord nadal wyróżnia się w zbiorze |
| Mała grupa | Czy wynik dotyczy jednej lub kilku osób? | Połącz kategorie albo pomiń wynik, jeśli agregat może ujawnić udział konkretnej osoby |
| Znacznik czasu | Czy precyzyjna godzina pozwala powiązać zdarzenie z wizytą lub transakcją? | Zmniejsz precyzję czasu do dnia, tygodnia lub miesiąca, stosownie do celu |
| Dane dodatkowe | Czy odbiorca ma bazę, logi, publiczny rejestr albo inne źródło do dopasowania? | Ogranicz dostęp i zakres łączenia, a ocenę powtórz dla wiedzy odbiorcy |
| Wyjątkowy rekord | Czy pojedyncze zachowanie lub nietypowa cecha odróżnia osobę od reszty? | Usuń szczegół, pogrupuj dane lub wyłącz rekord z przekazywanej próbki |
Perspektywa KC Mobile. W pomiarach internetowych ryzyko często nie wynika z jednego oczywistego pola, lecz z sumy parametrów wysyłanych razem: identyfikatora, zdarzenia, czasu i kontekstu kampanii. Dlatego podczas przeglądu najpierw sprawdzamy, jakie pola faktycznie trafiają do narzędzia i odbiorcy, a dopiero potem oceniamy nazwę raportu czy deklarowaną agregację. Jeśli przygotowujesz dane do raportowania, poznaj też analitykę internetową i jej zastosowanie.
Jak legalnie przygotować próbkę do analizy?
Przygotowanie próbki zacznij od celu, bo od niego zależy, które pola i rekordy są niezbędne. Ogranicz zakres do danych potrzebnych do wykonania zadania, wybierz odbiorców, ustal czas przechowywania i opisz zabezpieczenia. Podstawa prawna i obowiązki zależą od konkretnego przetwarzania, dlatego sama techniczna redukcja zbioru nie potwierdza jego legalności.
1. Zapisz cel analizy, pytanie biznesowe i oczekiwany wynik. Ustal, czy wystarczy agregat, dane syntetyczne lub zbiór bez informacji o użytkownikach.
2. Określ minimalny zestaw pól, okres i typy rekordów. Usuń kolumny niewykorzystywane w analizie oraz wyklucz identyfikatory, jeśli zadanie ich nie wymaga.
3. Zdecyduj, czy potrzebujesz anonimizacji, pseudonimizacji czy ograniczenia dostępu. Jeżeli pozostaje możliwość przypisania danych do osoby, traktuj zbiór odpowiednio do jego rzeczywistego statusu.
4. Ustal sposób przekazania, osoby upoważnione, miejsce przechowywania i termin usunięcia. Nie wysyłaj próbki przez kanał, do którego dostęp ma szersza grupa niż odbiorcy zadania.
5. Zweryfikuj plik po przekształceniu. Sprawdź nietypowe kombinacje, ukryte arkusze, metadane, nazwy plików, identyfikatory w adresach URL i pola w logach.
6. Udokumentuj decyzję, zatwierdzenie oraz ograniczenia próbki. Jeśli proces obejmuje dostawcę, ustal jego rolę i warunki dostępu przed przekazaniem.
W przypadku analityki reklamowej obejrzyj także konfigurację tagów i konwersji. Błędne ustawienia mogą wysyłać do dostawcy parametry, których raport nie pokazuje wprost. Nasz materiał o ryzyku taniego pomiaru konwersji opisuje ten aspekt od strony wdrożenia.
Czy próbka danych z analityki internetowej jest anonimowa?
Próbka z narzędzia analitycznego nie jest anonimowa wyłącznie dlatego, że raport pokazuje mniej wierszy lub większe grupy. Sprawdź, czy eksport zawiera identyfikator użytkownika, identyfikator klienta, dokładny znacznik czasu, adres URL z parametrami, lokalizację albo szczegóły zdarzeń.
W Google Analytics 4 sampling oznacza, że raport, eksploracja lub zapytanie może korzystać z części danych po przekroczeniu limitu zapytania. Narzędzie wskazuje wykorzystanie próbkowania w informacji o jakości danych. Jest to informacja o metodzie uzyskania wyniku, a nie potwierdzenie anonimowości danych na poziomie użytkownika. Google Analytics: informacje o próbkowaniu
Innym mechanizmem są progi prywatności. Google informuje, że GA4 może ukrywać część informacji w raportach lub eksploracjach, aby ograniczyć możliwość wnioskowania o tożsamości albo danych wrażliwych. Progi są ustalane przez system i użytkownik nie może ich bezpośrednio zmienić. Ograniczona widoczność w raporcie nie dowodzi jednak, że identyfikatory nie istnieją w innych danych lub eksportach. Google Analytics: progi danych
Agregat typu liczba sesji według miesiąca może być mniej identyfikowalny niż rekord zdarzenia przypisany do użytkownika. Przed udostępnieniem analitykowi porównaj wymagany poziom szczegółowości z celem i sprawdź, czy ten sam wynik da się uzyskać bez danych na poziomie osoby.
Jak udokumentować decyzję o wykorzystaniu danych?
Rejestr decyzji powinien umożliwić odtworzenie, dlaczego próbkę przygotowano, co zawierała i kto uzyskał dostęp. Zapisz w nim także ograniczenia oceny oraz warunki, które wymagają jej ponowienia, na przykład zmiana odbiorcy albo połączenie danych z nowym źródłem.
| Pole rejestru | Co zapisać |
|---|---|
| Cel i pytanie analityczne | Jaką decyzję lub analizę ma wesprzeć próbka |
| Źródło i data pozyskania | System źródłowy, zakres okresu i właściciel danych |
| Zakres | Pola, rodzaje rekordów, filtr i sposób doboru próbki |
| Odbiorcy | Role i podmioty, które mogą uzyskać dostęp |
| Ocena identyfikacji | Identyfikatory, rzadkie cechy, źródła możliwego dopasowania i wnioski |
| Zabezpieczenia | Usunięcie lub uogólnienie pól, pseudonimizacja, ograniczenia dostępu i szyfrowanie |
| Retencja i usunięcie | Termin, sposób usunięcia kopii i osoba odpowiedzialna |
| Akceptacja i ograniczenia | Osoba zatwierdzająca, data, otwarte ryzyka i przesłanki ponownej oceny |
Skonsultuj decyzję z inspektorem ochrony danych lub prawnikiem, gdy nie masz pewności co do podstawy prawnej, odbiorca działa poza strukturą organizacji, próbka zawiera dane szczególnych kategorii albo identyfikacji nie da się wiarygodnie wykluczyć. Przy wdrożeniu pomiaru lub porządkowaniu źródeł danych analityka internetowa KC Mobile może pomóc ustalić zakres zdarzeń, odbiorców i wymagane kontrole.
Jakie błędy najczęściej prowadzą do fałszywego poczucia anonimowości?
Najczęstszy błąd polega na uznaniu, że brak imienia oznacza brak danych osobowych. Imię może zniknąć, a osoba nadal być rozpoznawalna po e-mailu, identyfikatorze, dokładnej dacie, rzadkiej lokalizacji albo połączeniu kilku cech.
| Błędne założenie | Jak je sprawdzić | Korekta |
|---|---|---|
| Usunęliśmy nazwiska, więc zbiór jest anonimowy | Sprawdź identyfikatory techniczne i kombinacje pozostałych cech | Przetestuj możliwość wyróżnienia rekordów i połączenia ich z innym źródłem |
| Raport jest zagregowany, więc każdy wiersz jest bezpieczny | Poszukaj małych grup oraz filtrów, które zawężają wynik do jednej osoby | Ustal regułę minimalnej wielkości grupy i testuj także po zastosowaniu filtrów |
| Eksport zawiera tylko niewielką próbkę | Sprawdź, czy wybrane rekordy zawierają osoby lub unikatowe zdarzenia | Traktuj rozmiar próbki oddzielnie od statusu danych |
| Odbiorca nie zna naszych danych | Zbierz informacje o bazach i identyfikatorach, do których odbiorca ma dostęp | Oceniaj ryzyko z uwzględnieniem realnej wiedzy odbiorcy |
| Dane są w pliku technicznym, więc nie wymagają kontroli | Sprawdź logi, parametry URL, metadane i ukryte kolumny | Wykonaj przegląd techniczny przed eksportem i po transformacji |
Powtórz kontrolę, gdy zmienia się cel, skład próbki, odbiorca lub zestaw danych, z którym można ją połączyć. Wtedy wcześniejsza ocena może już nie opisywać rzeczywistego ryzyka.
Więcej poradników w tym temacie
Wspomniane narzędzia
Najczęściej zadawane pytania
Czy próbka danych osobowych podlega RODO?
Czy sampling danych oznacza anonimizację?
Czy dane statystyczne są zawsze anonimowe?
Jak sprawdzić, czy próbka danych pozwala zidentyfikować osobę?
Czy można przekazać próbkę danych agencji lub wykonawcy?
Krzysztof Czapnik
Founder & Technical Lead, KC Mobile
Projektuję i rozwijam strony WordPress, sklepy WooCommerce oraz aplikacje internetowe. Łączę projektowanie z programowaniem, integracjami i technicznym SEO. Projekty KC Mobile prowadzę osobiście.
Potrzebujesz pomocy z tym tematem? Napisz - odpowiem osobiście w 24h.
Potrzebujesz pomocy w tym temacie?
Czytasz poradnik „Czy dane samplingowe są legalne? Próbkowanie danych a RODO”. Napisz, co chcesz zrobić i na jakim etapie jesteś. Ustalimy, czy możemy pomóc i jaki zakres prac będzie potrzebny.