Internet wyjęty spod RODO? Alarm w sprawie omnibusa cyfrowego

Od lat walczymy (i wygrywamy) z big techami sprawy o inwazyjne śledzenie i profilowanie w Internecie, przyczyniając się do tego, że dane osobowe – nick, PESEL czy identyfikator pliku cookie – są chronione zgodnie z RODO. Wkrótce jednak nasze wysiłki mogą pójść na marne, a branża reklamowa zgodnie z prawem będzie mogła śledzić nas niemal bez ograniczeń.

Zmiana definicji danych osobowych w omnibusie cyfrowym. Czy nick zostanie wyjęty spod RODO?

Już w najbliższy piątek, 25 września 2026 r., przedstawiciele i przedstawicielki państw członkowskich Unii Europejskiej zajmą stanowisko w sprawie zaproponowanej przez irlandzką prezydencję zmiany definicji danych osobowych: dane spseudonimizowane nie będą uważane za dane osobowe, jeśli ten, kto je przetwarza, nie będzie mógł zidentyfikować osób, których te dane dotyczą. Ponieważ Internet na pseudonimach (rozmaitych ID, cookiesach, nickach i numerach klientów) stoi, zmiana ta ma nuklearny potencjał. Obawiamy się, że zalegalizowałaby działanie brokerów danych, którzy łączą nasze cyfrowe ślady w inwazyjne profile reklamowe. Walka z wszechobecnym śledzeniem w sieci, jaką toczą przed sądami i organami ochrony danych osobowych takie organizacje jak noyb, ICCL czy Panoptykon, stałaby się po prostu niemożliwa.

Jak zagłosuje polskie przedstawicielstwo w Radzie UE? Apelujemy do Ministerstwa Cyfryzacji i Prezesa Urzędu Ochrony Danych Osobowych o zdecydowaną krytykę propozycji zmiany definicji danych osobowych. Brońcie praw ludzi, a nie biznesu reklamowego!

Dane osobowe w Internecie

Według definicji, którą posługujemy się w Unii Europejskiej od 1995 r. (odkąd przyjęto dyrektywę o ochronie danych osobowych – poprzedniczkę RODO), dane osobowe to „wszelkie informacje o zidentyfikowanej lub możliwej do zidentyfikowania osobie fizycznej”.

O tym, czy osoba jest „możliwa do zidentyfikowania” nie decyduje opinia tego, kto dysponuje danymi (np. brokera wystawiającego czyjeś dane na aukcjach internetowych), ale stanowią o tym obiektywne okoliczności.

Dzięki tej definicji danych mogliśmy dochodzić praw osób profilowanych i śledzonych w sieci za pomocą cookies i nowszych technik, które zwykle nie pozwalają na ustalenie tożsamości śledzonej osoby, ale umożliwiają targetowanie reklamy (czyli jej dopasowywanie do cech osoby, także do tych wrażliwych, np. dotyczących jej zdrowia czy koloru skóry).

„Informacje nie mają charakteru danych osobowych dla danego podmiotu, jeżeli podmiot ten nie może zidentyfikować osoby fizycznej, której dotyczą informacje, biorąc pod uwagę środki, co do których istnieje uzasadnione prawdopodobieństwo, że zostaną wykorzystane przez ten podmiot”.

Legalizująca śledzenie definicja danych osobowych zaproponowana w tekście omnibusa cyfrowego Komisji Europejskiej.

Wygrane sprawy przeciwko big techom

Na obowiązującej w RODO definicji danych osobowych opiera się sprawa przeciwko internetowym giełdom reklam, na których ślady cyfrowe poszczególnych osób są łączone w coraz bogatsze profile, a następnie sprzedawane. Trybunał Sprawiedliwości Unii Europejskiej orzekł, że sposób pozyskania „zgody” na takie przetwarzanie danych jest niezgodny z RODO, co pozwoliło nam domagać się zmiany tych zasad. Gdyby dane pseudonimizowane wyjąć spod ochrony RODO, do tej sprawy w ogóle by nie doszło.

Polecamy: Nieustanny wyciek danych, który dotyka każdego użytkownika sieci

Nie rozpoczęłaby się również sprawa przeciwko Mecie prowadzona przez współzałożyciela noyb, Maksa Schremsa. Korzystając z przysługującego na podstawie RODO prawa dostępu do danych, Schrems domagał się udostępnienia mu wszystkich dotyczących go informacji, ich źródłach, celach przetwarzania i odbiorcach. Nie byłoby to możliwe, gdyby Informacje zapisane w profilu użytkownika lub użytkowniczki – w tym dane wywnioskowane, zagregowane lub pseudonimizowane – nie były uznawane za dane osobowe.

Konsekwencje zmiany definicji

Na zmianie definicji ochrony danych wygrają big techy i szemrany biznes reklamowy handlujący informacjami o użytkownikach i użytkowniczkach sieci. Stracą konsumenci i te firmy, które i tak muszą identyfikować klientów i klientki (np. ze względów podatkowych).

Stracimy podstawę prawną dyscyplinowania firm i korporacji naruszających nasze prawo ochrony danych, które od lat bawią się z ludźmi, organami ochrony danych i sądami w interpretacje, co jest, a co nie jest daną osobową. Nie będą musiały dłużej poruszać się po szarej strefie wyłudzania „zgód” marketingowych na przetwarzanie danych osobowych – bo w świetle prawa nie będą ich przetwarzać.

Nie będą też musiały przejmować się zabezpieczeniami technicznymi i bronić przed atakami na bazy danych – a to wszystko w czasach, gdy ataki z wykorzystaniem narzędzi sztucznej inteligencji są na porządku dziennym.

Nie będą zobowiązane do informowania o wycieku ani kradzieży danych, jeśli incydent będzie dotyczył danych pseudonimizowanych. W świetle zmienionej definicji nie będą one bowiem danymi osobowymi, więc obowiązek informowania nie będzie miał zastosowania.

Dlaczego Unia grzebie w przepisach, czyli o omnibusie cyfrowym

Omnibusy to tzw. superustawy, które wprowadzają zmiany w wielu aktach prawa jednocześnie. W przypadku cyfrowego omnibusa mają one dotyczyć trzech unijnych rozporządzeń regulujących świat cyfrowy: aktu o sztucznej inteligencji, RODO oraz ePrivacy.

Celem omnibusów jest upraszczanie przepisów. Pomysł w założeniu słuszny, bo zbyt skomplikowane regulacje nie służą ani konsumentom i konsumentkom, ani biznesom. Wykonanie, jak dotąd, bywa wątpliwe.

W grudniu 2025 r. przesłaliśmy do polskiego rządu krytyczną opinię dotyczącą cyfrowego omnibusa. Dotychczas był on przeciwny takiemu upraszczaniu przepisów, które osłabi ochronę użytkowników i użytkowniczek sieci. Jednak gdy w czerwcu prezydencję w Unii Europejskiej przejęła przyjazna big techom Irlandia, pomysł osłabienia ochrony danych przetwarzanych w Internecie nagle wrócił na stół negocjacyjny. Celem Panoptykonu i innych organizacji broniących praw ludzi w Internecie jest pokazanie rządom, że w Europie nie ma zgody na legalizację śledzenia w sieci.