2026. július 7-én fogadta el az Európai Adatvédelmi Testület (EDPB) az anonimizálásról szóló 02/2026. sz. iránymutatását.

Gyakran kapom meg a kérdést ügyfelektől: „Eltávolítottuk a neveket az Excelből, ez így már anonim, ugye?” A válaszom eddig is egy határozott „nem” volt, de az Európai Adatvédelmi Testület (EDPB) legújabb, 02/2026-os iránymutatása most végleg rendet tesz a fogalmak között. A dokumentum alapjaiban változtatja meg – vagy legalábbis finomítja – azt, ahogyan az anonimizálásra, mint folyamatra és mint eredményre tekintenünk kell.

Nézzük meg a legfontosabb gyakorlati kérdéseket, határeseteket és a legújabb EDPB-tesztet!

1. Az adatfeldolgozó anonim módon kezelné az adatot

Az új iránymutatás bevezeti a relatív (kontextuális) anonimitás fogalmát: ami az egyik entitás számára személyes adat, az egy másik számára lehet anonim. Felmerül bennünk a kérdés, hogy ha én, mint adatkezelő anonimizálom az adatokat (pl. csak userID-t hagyok meg), és így adom át az adatfeldolgozómnak, akkor ő már nem is kezel személyes adatot?

A válasz: De igen, az adatfeldolgozó minden esetben személyes adatot kezel.

Az EDPB kimondja, hogy ha egy entitás az adatkezelő nevében és utasításai alapján jár el (azaz adatfeldolgozó), akkor az adat minőségét az adatkezelő szemszögéből kell megítélni. Mivel az adatkezelőnél ott van a feloldó kulcs (ő tudja, ki az a userID), az adat jogilag az adatfeldolgozó szintjén is személyes adat marad, hiába nem tudja ő maga azonosítani az érintettet.

2. A kórház és a kutatóintézet esete: Mi van, ha a kutató profilozik?

Vegyünk egy másik példát. Egy kórház kutatási célból továbbítja a betegnyilvántartás kivonatait (kulcs a kórháznál marad) egy teljesen független kutató cégnek. Mivel a cég önálló adatkezelő, a relatív megközelítés alapján az ő szemszögükből kell vizsgálni az adatot. Ha önmagukban az adatok nem teszik lehetővé az azonosítást, a továbbítás megtörténhet, a kutató cég számára az adat anonim.

De mi történik, ha azt vélelmezzük, hogy a sok hasonló kutatás miatt (pl. vénykiváltási adatokat is kap), összeállnak a profilok? Ha a kutató cég észszerűen alkalmazható eszközökkel (jegyezzük meg: MRLTBU) képes összekapcsolni ezeket a különböző forrásból származó adatbázisokat, és ezáltal a profilok egyedivé, „kigyűjthetővé” válnak, az anonimitás elbukik.

És amúgy, ha a kutató utólag érzékeli, hogy a kapott adatokból (akár névvel, akár név nélkül) profilokat tud létrehozni és azonosítani tudja a személyeket, akkor mit kell tegyen? Abban a pillanatban, hogy a kutató felismeri az azonosíthatóságot, az adat visszaváltozik személyes adattá. Innentől kezdve a kutatóra a GDPR teljes szigora vonatkozik: meg kell határoznia az adatkezelés jogalapját, tájékoztatási kötelezettsége van , és garantálnia kell az adatbiztonságot, vagy egyszerűen csak törli az adatokat.

3. Az alapok, amik nem változtak

• A pszeudonim adat továbbra is személyes adat. Az álnevesítés (pszeudonimizálás) pusztán egy biztonsági intézkedés, nem anonimizálás. Ha a kulcs létezik, az adat a GDPR hatálya alatt marad.
• A fénykép, amin valaki felismerhető, továbbra is személyes adat. Nem számít, hogy az adatkezelő személy szerint ismeri-e a fotón látható illetőt. Ha a világon valaki más (családtag, barát, arcfelismerő szoftver) észszerű eszközökkel azonosítani tudja, a fotó személyes adat.

4. Az anonimizálás miatt módosítsunk minden tájékoztatót?

Hm, az EDPB egyértelművé teszi: maga az anonimizálás is adatkezelési művelet, így jogalapra van szükség a végrehajtásához (pl. a korábbi adatkezeléssel összeegyeztethető cél, vagy különleges adatoknál a 9. cikk szerinti garancia).

Emiatt módosítsunk minden adatkezelési tájékoztatót? A rövid válasz: Igen. Az EDPB szerint a transzparencia elve (13-14. cikk) megköveteli, hogy az érintetteket már az adatfelvételkor (vagy legkésőbb a megőrzési idő végén) tájékoztassuk arról, hogy az adataikat a jövőben anonimizálni fogjuk, és azok kikerülnek a GDPR hatálya alól.

5. Az „elhanyagolható” kockázat és a kiberbűnözők fenyegetése

Fontos változás a korábbi (WP216-os) zéró-kockázat elváráshoz képest: azonosítás valószínűsége már nem 0 kell legyen, hanem a valóságban elhanyagolható.

De vigyázat! Ha az adatkezelő nem is tudja saját eszközeivel beazonosítani az egyént, de észszerű kereteken belül igénybe tud venni egy partner eszközt, akkor is személyes adatkezelésről beszélünk. Sőt, az értékelésnél figyelembe kell venni az illegális hozzáférőket is: egy rosszindulatú alkalmazottat, egy hackert, vagy a hatóságokat, amennyiben reális az esélye annak, hogy ők hozzáférnek az adathoz és azonosítják az érintettet.

Ahogy az EDPB (és a kapcsolódó joggyakorlat) olyan szépen megfogalmazza:

„Következesképpen egy természetes személy akkor is azonosítható, ha a szükséges információk egy része – vagy az azonosításra szolgáló eszközök egy része – különböző szervezetek között oszlik meg, és azok megszerzése erőfeszítést igényel, feltéve, hogy ezek az elemek az érintett szervezetek által észszerűen várhatóan alkalmazott eszközökkel összekapcsolhatók.”

6. A technikai teszt: A hármas kritériumrendszer

Az anonimitás tesztelésére az EDPB egy hármas kritériumrendszert állított fel. Ha mindhárom teljesül, az adat anonim.

1. No Record Isolation (Nincs rekord-elkülönítés): Az adatkészlet nem tartalmazhat olyan egyedi attribútum-kombinációt (sorokat, oszlopokat), amely alapján egyetlen egyén „kigyűjthető” a tömegből. Ha az első ponton elbukunk (van egyedi attribútum), már tudjuk, személyes adatot kezelünk.
2. No Linkage (Nincs összekapcsolhatóság): Az adatok nem tehetők összekapcsolhatóvá más adatkészletekben lévő rekordokkal oly módon, hogy az ugyanarra a személyre vonatkozzon.
3. No Inference (Nincs következtetés): Ez az MI korában a legfontosabb. Az adatból nem vonható le specifikus és érdemi következtetés az azonosított egyénre vonatkozóan.

Nézzük a 16. és 17. példát az iránymutatásból a következtetések veszélyeire :

• 16. példa (Aggregált béradatok): Egy cég publikálja, hogy a mérnökök összesített fizetése évi 550.000 euró. Egy belső jelentésből kiderül, hogy a cégnek 6 mérnöke van, ebből 5 a termékfejlesztésen dolgozik, akiknek az összfizetése 480.000 euró. Ebből a látszólag két anonim, aggregált adatból egy kis matekkal azonnal kikövetkeztethető, hogy a 6. mérnök pontosan 70.000 eurót keres.
• 17. példa (Az „anonim” kérdőív): Egy cég elégedettségi felmérést végez. A vezetők csak annyit látnak, hányan adtak 1-től 5-ig terjedő értékelést. Ha egy vezető megtudja, hogy a csapatából mindenki kitöltötte a tesztet, és senki sem adott 3-asnál jobb jegyet, hiába nincs név az adatok mellett, azonnal kikövetkezteti, hogy a csapatában egyénileg mindenki elégedetlen.

7. Adatlopásra készülve…

Az EDPB 22. példája ellentmondásosnak tűnik. Egy kutatóintézet birtokában lévő táblázat (ahol a nem, születési év és irányítószám látszik) No Linkage (összekapcsolhatóság) vizsgálatánál az intézet elismeri, hogy az adatokat elméletileg ellophatják hackerek, vagy megkaphatják újságírók. Mégis arra a következtetésre jutnak, hogy az adat anonim marad.

Miért nem veszik számításba a nyilvánosságra hozatalt?

A trükk a „reálisan alkalmazható eszközök” (MRLTBU) logikájában rejlik. Az iránymutatás szerint hiába lopja el a hacker az adatot, a táblázatban nincs benne, hogy kik vettek részt a kutatásban, és a hackernél vagy az újságírónál sincs meg ez a háttérinformáció. Tehát még ha a tolvaj látja is, hogy „Férfi, 1946, 54-es irányítószám”, fogalma sincs arról, hogy a világon létező sok ezer ilyen profilú emberből ki az az egy konkrét személy, aki az adott kórház kutatásában részt vett. Mivel az összekapcsoláshoz szükséges „kiegészítő információ” (a kutatásban való részvétel ténye) senkinél nincs meg, az adat a kiszivárgás ellenére is anonim marad.

8. Az EDPB technikai elemzési folyamatábrája (magyarosítva)

Az EDPB az iránymutatás 1. mellékletében egy rendkívül hasznos döntési fát (folyamatábrát) publikált. Íme a lépések magyarul, amelyek segítenek a mindennapi döntésekben: