Anonimizacja rejestru wypadków przy pracy (usuwanie danych medycznych i PESEL) to sposób przygotowania kopii rejestru do udostępnienia poza wąskim gronem osób uprawnionych. Celem jest zachowanie wartości merytorycznej dokumentu przy jednoczesnym usunięciu identyfikatorów bezpośrednich oraz wrażliwych informacji o zdrowiu.
Kiedy uruchamia się procedura
- gdy rejestr ma wyjść poza dział BHP/HR lub zespół powypadkowy, np. do kontrahenta, podwykonawcy, trenera, ubezpieczyciela lub na potrzeby komunikacji wewnętrznej,
- gdy planujesz wykorzystać zapisy rejestru w materiałach szkoleniowych lub analizach udostępnianych szerzej,
- gdy udzielasz odpowiedzi na wnioski o informacje, które nie mają wyraźnej podstawy prawnej do pełnych danych osobowych,
- gdy publikujesz zestawienia zdarzeń w firmowych raportach lub na intranecie.
Pełny, niezanonimizowany rejestr pozostaje w dokumentacji pracodawcy i służy celom prawnym, odszkodowawczym i kontrolnym. Zakres danych wymaganych do prowadzenia rejestru omawiamy w artykule filarowym: pełny zakres danych w rejestrze wypadków przy pracy.
Kroki w kolejności
1. Ustal cel i zakres
Spisz, po co udostępniasz rejestr i które informacje są do osiągnięcia tego celu niezbędne. Zasada minimalizacji oznacza: im węższy cel, tym mniej danych w kopii.
2. Pracuj na kopii, nie na oryginale
Utwórz kopię roboczą rejestru. Oryginał pozostaje niezmienny w aktach BHP/HR.
3. Usuń identyfikatory bezpośrednie
- PESEL, imię i nazwisko, adres, numer telefonu, e-mail, podpisy.
- Zastąp je neutralnym oznaczeniem sprawy, np. „WPP/2026/015”.
4. Ogranicz dane medyczne do minimum
- Usuń szczegółowe rozpoznania, opisy leczenia, nazwy leków, wyniki badań.
- Jeśli cel wymaga informacji o skutkach wypadku, zastąp je kategoriami ogólnymi, np. „uraz kończyny górnej”, „złamanie” zamiast szczegółowych opisów.
5. Zredaguj pola wolnego tekstu
W opisach okoliczności i przyczyn usuń imiona świadków, nazwy własne umożliwiające identyfikację osoby oraz wzmianki o stanie zdrowia niezwiązane z bezpieczeństwem procesu pracy.
6. Usuń identyfikatory pośrednie
- Drobne zespoły lub rzadkie zawody łatwo „odgadnąć”. Uogólnij dział/zmianę, wiek do przedziału, staż do widełek.
- Daty urodzenia i dokładne godziny mogą działać jak identyfikatory. Zostaw samą datę wypadku, jeśli jest niezbędna do analizy.
7. Sprawdź załączniki i metadane
- Usuń skany orzeczeń, zwolnień, kart informacyjnych leczenia, jeśli nie są konieczne do celu kopii.
- Wyczyść metadane plików (autor, historia wersji).
8. Zastosuj kontrolę dostępu
- Jeśli wysyłasz plik, zabezpiecz go hasłem i przekaż hasło innym kanałem.
- W narzędziach współdzielenia ustaw dostęp tylko do odczytu oraz datę wygaśnięcia linku.
9. Udokumentuj udostępnienie
Zapisz: komu, kiedy i w jakim zakresie przekazano kopię rejestru. Ułatwia to odpowiedź na pytania i ogranicza „rozlewanie się” danych.
10. Zatwierdź i wyślij
Krótkie zatwierdzenie wewnętrzne przez drugą osobę zmniejsza ryzyko przeoczeń w anonimizacji.
Co idzie źle najczęściej
- Wysłanie pełnego rejestru z PESEL i szczegółami leczenia do podmiotu, który nie potrzebuje takich danych.
- Pominięcie anonimizacji w polach opisowych, gdzie „przemykają” imiona świadków i szczegóły zdrowotne.
- Mylenie pojęć: pseudonimizacja (zastąpienie danych identyfikatorem) vs. anonimizacja (trwałe uniemożliwienie identyfikacji). Pseudonimizacja to nie to samo, co anonimizacja.
- Brak dziennika udostępnień i niekontrolowane przekazywanie kopii dalej.
- Praca na oryginale rejestru i nieodwracalne usunięcie danych.
Checklista do szybkiej anonimizacji
- Czy pracujesz na kopii, a nie na oryginale?
- Czy usunąłeś PESEL, imię i nazwisko oraz inne identyfikatory bezpośrednie?
- Czy ograniczyłeś dane medyczne do niezbędnego minimum, stosując kategorie ogólne?
- Czy zredagowałeś pola wolnego tekstu i załączniki?
- Czy uogólniłeś identyfikatory pośrednie (dział, wiek, staż) tam, gdzie ryzyko reidentyfikacji jest wysokie?
- Czy wyczyściłeś metadane i zabezpieczyłeś plik?
- Czy zapisałeś komu i co udostępniasz?
FAQ
Czy pracownik może otrzymać wgląd do rejestru wypadków?
Możesz przekazać informacje dotyczące jego własnego wypadku i przetwarzanych o nim danych. Udostępnienie szerszych fragmentów rejestru wymaga ochrony danych innych osób, dlatego przygotuj wersję zanonimizowaną.
Czy rejestr dla organu kontrolnego trzeba anonimizować?
Gdy żądanie ma wyraźną podstawę prawną, zakres danych ustala się według tego przepisu. Kopie do celów innych niż kontrolne warto przygotować w wersji zanonimizowanej lub pseudonimizowanej, zależnie od celu.
Jak zanonimizować papierowy rejestr?
Wykonaj kopię, zaczernij identyfikatory bezpośrednie i dane medyczne wykraczające poza cel udostępnienia, a następnie zeskanuj. Oryginał pozostaje nienaruszony w aktach.
Na czym polega różnica między anonimizacją a pseudonimizacją?
Anonimizacja trwale uniemożliwia wskazanie osoby. Pseudonimizacja zastępuje dane identyfikatorem, ale nadal pozwala wrócić do osoby w dokumentacji źródłowej.