Pomiędzy stanowiskiem Europejskiej Rady Ochrony Danych (EROD) zawartym w projekcie Wytycznych nr 02/2026 dotyczące anonimizacji a orzecznictwem Trybunału Sprawiedliwości UE (TSUE) widoczny jest rozdźwięk. W pkt 15 projekt wytycznych EROD ewidentnie nie jest w pełni spójny z brzmieniem wyroku TSUE w sprawie C-413/23 P (oraz wcześniejszego - Breyer C-582/14) i jak się zdaje, stanowi próbę zawężenia jego skutków. Chodzi o to, jakie obydwa organy przyjmują podejście do oceny tego, czym są dane osobowe.

Trybunał ocenił charakter danych z perspektywy konkretnego podmiotu, który je w danym momencie posiada. Jeśli odbiorca danych spseudonimizowanych nie dysponuje kluczem pozwalającym na reidentyfikację, a uzyskanie takiego klucza z innych źródeł wykracza poza "uzasadnione prawdopodobieństwo" (np. jest prawnie zabronione lub nieproporcjonalnie trudne), to dla tego konkretnego podmiotu informacje te są danymi anonimowymi – nawet jeśli dla pierwotnego administratora wciąż są to dane osobowe. Jakkolwiek Trybunał sformułował swoją opinię w kategoriach otwartych  ("osoby inne niż administrator" - zob. pkt 86, 87), to jednak zrobił to w wywodzie, w którym podmioty przetwarzające zostały wyraźnie wymienione (zob. pkt 72, za motywem 17), i zastosował go do odbiorcy związanego umową z administratorem i działającego w wyznaczonym przez niego celu. 

Wytyczne EROD wprowadzają tymczasem wyłączenie podmiotowe, nie wyjaśniając, dlaczego kategoria "osób innych niż administrator" (do której odnosił się TSUE) miałaby procesorów nie obejmować. EROD stoi pryncypialnie na stanowisku, że w relacji powierzenia przetwarzania status danych wymaga przyjęcia perspektywy administratora. Jeśli dla administratora (który decyduje o celach i sposobach przetwarzania) informacje są danymi osobowymi, to podmiot przetwarzający (procesor) musi traktować je tak samo – nawet jeśli z jego własnej, technicznej perspektywy są one niemożliwe do powiązania z konkretną osobą (nie spełniają testu identyfikowalności).

Jak wyjaśnia EROD (pkt 15 Wytycznych), wynika to z teleologicznego stosowania RODO, przy czym należy zauważyć, że:

• unijne prawo o ochronie danych opiera się na pojęciu podmiotu przetwarzającego, aby uniemożliwić administratorom obchodzenie zabezpieczeń przewidzianych w RODO poprzez zlecanie czynności przetwarzania podmiotom zewnętrznym,
• RODO dodatkowo wzmacnia ten wymóg, nakładając pewne obowiązki bezpośrednio na podmioty przetwarzające, a 
• zarówno umowy (lub inne obowiązujące akty prawne), jak i obowiązki wynikające z RODO muszą współdziałać, aby zapewnić, że podmiot przetwarzający dane postępuje z nimi w odpowiedni sposób.

Uwagi do projektu Wytycznych można składać do 30 października 2026 r.