Evropský sbor pro ochranu osobních údajů (EDPB) schválil na svém posledním plenárním zasedání dva nové dokumenty — Pokyny k anonymizaci a Pokyny ke stahování dat z internetu (web scraping) v kontextu generativní umělé inteligence. Zároveň Sbor uzavřel a přijal finální podobu svých Pokynů ke zpracování osobních údajů pomocí technologií blockchain.
Kdy jsou data skutečně anonymní
Nové pokyny mají za cíl přesněji vymezit, co se rozumí anonymními údaji, a to i ve světle rozsudku Soudního dvora EU ve věci C-413/23 P (EIOÚ v. SRB) ze dne 4. září 2025 a navazující unijní judikatury. Podle Sboru jde o důležitý krok, který zpřehledňuje pravidla, usnadňuje využívání dat a současně chrání základní práva jednotlivců.
„Při vypracovávání těchto pokynů jsme zapojili cenné podněty z naší akce zúčastněných stran a znovu jsme prokázali náš pevný závazek ke kooperativnímu dialogu, jak je uvedeno v helsinském prohlášení EDPB,“ uvedla předsedkyně EDPB Anu Talus.
Údaje jsou anonymní tehdy, když se nevztahují k identifikované ani identifikovatelné fyzické osobě, přičemž posouzení se může u různých subjektů lišit. Informace se přitom mohou týkat konkrétní osoby svým obsahem, účelem nebo účinkem, a tato vazba nemusí být na první pohled patrná. Za identifikovatelnou se osoba považuje, pokud ji lze v daném kontextu odlišit od ostatních prostředky, u nichž je rozumné očekávat jejich použití; zda je takové použití přiměřeně pravděpodobné, závisí na perspektivě příslušného subjektu a na všech objektivních okolnostech.
Pokyny nabízejí organizacím i praktický rámec pro ověření, zda anonymizace skutečně proběhla úspěšně. Rámec lze uplatnit buď jako tzv. kontextový přístup, který zohledňuje rozdíly ve schopnostech jednotlivých subjektů identifikovat osobu, nebo jako zjednodušený přístup, který tyto rozdíly z důvodu jednoduchosti pomíjí. Kontextový přístup lépe vystihuje nuance právního standardu, zjednodušený přístup může jít nad jeho rámec, ale nabízí větší jistotu. K testování se používají tři kritéria: žádná izolace záznamů, žádné vazby a žádné vyvozování závěrů. Jsou-li splněna všechna tři, lze data bezpečně považovat za anonymní; pokud některé chybí, je nutná další analýza. Dokument je otevřen veřejné konzultaci do 30. října 2026.
Web scraping a školení AI modelů
Web scraping Sbor popisuje jako rozsáhlý automatizovaný sběr dat, který často probíhá bez vědomí dotčených osob a nese významná rizika pro ochranu jejich údajů. Pokyny objasňují, kdy se na tuto činnost vztahuje GDPR — tedy pokud zahrnuje operace jako shromažďování, uchovávání, organizaci či vyhledávání osobních údajů — a jaký právní základ pro ni připadá v úvahu. Zvláštní pozornost je třeba věnovat zásadě omezení účelu a transparentnosti; správce nicméně nemusí každou osobu informovat jednotlivě, pokud by to bylo nemožné nebo by to vyžadovalo nepřiměřené úsilí.
EDPB doporučuje čerpat pouze ze spolehlivých zdrojů, zaznamenávat časové razítko a data před využitím k trénování AI validovat, aby byla dodržena zásada přesnosti, a přijímat opatření naplňující zásadu minimalizace údajů. V návaznosti na dřívější stanovisko k AI modelům pokyny dále rozvádějí a na příkladech ilustrují uplatnění oprávněného zájmu jako právního základu. Sbor zároveň připomíná, že zpracování zvláštních kategorií osobních údajů je v zásadě zakázáno — pokud se jich web scraping dotkne, je nutný jak právní základ podle článku 6 GDPR, tak výjimka podle čl. 9 odst. 2. Odkazuje přitom na rozsudek ve věci GC a další (C-136/17), který může být relevantní pro náhodný či zbytkový sběr takových údajů, zdůrazňuje však, že žádná obecná výjimka z požadavků článku 9 neexistuje a každý případ je nutné posoudit individuálně. I tyto pokyny jsou v konzultaci do 30. října 2026.
Blockchain po veřejné konzultaci
Pokyny k technologiím blockchain přijal Sbor v konečné podobě po proběhlé veřejné konzultaci. Mají organizacím pracujícím s blockchainem pomoci dodržet GDPR — vysvětlují fungování těchto technologií a posuzují různé možné architektury i jejich dopady na zpracování osobních údajů. V duchu helsinského prohlášení EDPB současně zveřejnil zprávu o výsledku konzultace i verzi pokynů se sledováním provedených změn.
Zdroj: uoou.gov.cz
