EDPB osvětluje anonymizaci a web scraping pro generativní umělou inteligenci a přijímá konečnou verzi pokynů týkajících se blockchainu

Porozumění anonymním datům

Nové pokyny EDPB vyjasňují pojem anonymních údajů, a to i s ohledem na rozsudek Soudního dvora EU ve věci C-413/23 P EIOÚ v. SRB ze dne 4. září 2025 a další judikaturu Soudního dvora Evropské unie.

Pokyny představují významný milník při vyjasňování pojmu anonymní údaje a stanovení jasných norem, které usnadňují využívání údajů a zároveň chrání základní práva jednotlivců.

„Při vypracovávání těchto pokynů jsme zapojili cenné podněty z naší akce zúčastněných stran a znovu jsme prokázali náš pevný závazek ke kooperativnímu dialogu, jak je uvedeno v helsinském prohlášení EDPB,“ 

sdělila předsedkyně EDPB Anu Talus. 

Údaje jsou anonymní, pokud se netýkají identifikované nebo identifikovatelné fyzické osoby. Zda tomu tak je, se může u jednotlivých subjektů lišit.

Informace se mohou týkat fyzické osoby z důvodu jejího obsahu, účelu nebo účinku. Existence takové souvislosti nemusí být okamžitě zřejmá a mohla by vyžadovat další analýzu.

Fyzická osoba se považuje za „identifikovanou nebo identifikovatelnou“, pokud ji lze v konkrétním kontextu odlišit od ostatních za použití prostředků, u nichž lze důvodně předpokládat, že budou použity způsobem, který s ní umožní zacházet odlišně. Zda je přiměřeně pravděpodobné, že prostředky budou použity, bude záviset na perspektivě příslušného subjektu a mělo by být posouzeno s ohledem na všechny objektivní faktory.

Pokyny rovněž poskytují organizacím praktický rámec pro určení, zda je anonymizace úspěšná. Rámec lze použít dvěma způsoby: buď posouzením rozdílů ve schopnostech mezi těmi, kteří by mohli identifikovat jednotlivce („kontextový přístup“), nebo z důvodu jednoduchosti nezohledněním těchto rozdílů („zjednodušený přístup“), pokud se správce rozhodne tak učinit. Kontextový přístup odráží úplné nuance právního standardu pro anonymizaci. Zjednodušený přístup může jít nad rámec právního standardu a může vést anonymizujícího správce k tomu, aby s údaji zacházel, jako by nebyly anonymní, i když by tomu tak pro některé příslušné subjekty skutečně bylo, ale tento přístup může být pohodlnější a může poskytnout větší jistotu, že údaje jsou skutečně anonymní.

Rámec používá k testování, zda jsou údaje anonymní, tři kritéria: 1) žádná izolace záznamů, 2) žádné vazby a 3) žádné vyvozování závěrů. Jsou-li splněna všechna tři kritéria, lze údaje bezpečně považovat za anonymní. Pokud některé z těchto kritérií není splněno, měla by být provedena další analýza s cílem určit, zda lze údaje považovat za anonymní. 

Pokyny budou předmětem veřejné konzultace do 30. října 2026, což zúčastněným stranám poskytne příležitost vyjádřit se a poskytnout zpětnou vazbu.

Vyjasnění důsledků web scrapingu pro vývoj umělé inteligence z hlediska ochrany údajů

Web scraping je rozsáhlý automatizovaný proces extrakce dat, který často funguje, aniž by o tom jednotlivci věděli, a který může představovat významná rizika pro ochranu jejich osobních údajů. Sbor ve svých Pokynech k web scrapingu v souvislosti s generativní umělou inteligencí* objasňuje různé aspekty souladu vyhledávání na internetu s GDPR, včetně právního základu pro tyto činnosti a podmínek, za nichž lze v této souvislosti zpracovávat zvláštní kategorie údajů.

Obecné nařízení o ochraně osobních údajů (GDPR) se vztahuje na stahování dat z internetu, pokud zahrnuje operace zpracování osobních údajů, jako shromažďování, uchovávání, organizace a vyhledávání.  

Při využívání web scrapingu je třeba věnovat zvláštní pozornost zásadě omezení účelu a zásadě transparentnosti. V závislosti na tom, jak je zpracování údajů přesně navrženo, však správce nemusí fyzické osoby osobně informovat, pokud se to ukáže jako nemožné nebo to vyžaduje nadměrné úsilí.

EDPB doporučuje získávat údaje pouze ze spolehlivých zdrojů, zaznamenávat časové razítko a validovat údaje před jejich použitím v rámci školení v oblasti umělé inteligence, aby byl zajištěn soulad se zásadou přesnosti. Pokyny rovněž doporučují opatření, která by správce měl zavést, aby dodržel zásadu minimalizace údajů.

V návaznosti na stanovisko EDPB k modelům UI poskytují Pokyny další objasnění a příklady použití právního základu oprávněného zájmu ve specifickém kontextu stahování dat z internetu pro odbornou přípravu v oblasti UI.

V neposlední řadě EDPB připomíná, že zpracování zvláštních kategorií osobních údajů je v zásadě zakázáno. Pokud se takové údaje týkají web scrapingu, vyžaduje se jak zákonný základ podle článku 6 GDPR, tak výjimka podle čl. 9 odst. 2 GDPR.

EDPB zmiňuje, že rozsudek Soudního dvora ve věci GC & další (C-136/17) může být relevantní pro náhodné nebo zbytkové shromažďování zvláštních kategorií osobních údajů, pokud správce jedná v „rámci svých povinností, pravomocí a schopností“ a zavede vhodná technická a organizační opatření, aby zabránil shromažďování a šíření těchto údajů. Sbor zdůrazňuje, že neexistuje žádná obecná výjimka z požadavků článku 9 GDPR a každý případ musí být posouzen individuálně, aby bylo možné určit, zda se použije odůvodnění Soudního dvora.

Pokyny budou předmětem veřejné konzultace do 30. října 2026, což zúčastněným stranám poskytne příležitost vyjádřit se a poskytnout zpětnou vazbu.

Pokyny pro blockchain dokončené po veřejné konzultaci

Po veřejné konzultaci přijal EDPB konečné znění svých Pokynů týkajících se technologií blockchain. Pokyny pomáhají organizacím používajícím technologie blockchain dodržovat GDPR. EDPB vysvětluje, jak fungují blockchainy, a posuzuje různé možné architektury a jejich důsledky pro zpracování osobních údajů.

V souladu s cílem helsinského prohlášení posílit dialog se zúčastněnými stranami vydala rada rovněž zprávu o výsledku specializované veřejné konzultace, jakož i verzi Pokynů obsahující přehled změn.

Poznámka: 
Generativní umělá inteligence je technologie, jejímž cílem je vytvářet nový obsah učením se vzorcům ze stávajících dat. Využívá specializované modely strojového učení, které jsou navrženy tak, aby vytvářely širokou a obecnou škálu výstupů, jako je text, obraz nebo zvuk.