EDPB vydal pravidla pro anonymizaci dat a scraping webů pro AI, dokončil pokyny k blockchainu

Evropský sbor pro ochranu osobních údajů (EDPB) na svém posledním plenárním zasedání schválil nové pokyny k anonymizaci osobních údajů a ke scrapingu webového obsahu pro trénink generativní AI. Zároveň dokončil pokyny k použití blockchainu po veřejné konzultaci.

Pokyny k anonymizaci mají vnést jasno do pojmu anonymních dat, a to i s ohledem na rozsudek Soudního dvora EU ve věci C-413/23 P EDPS proti SRB ze září 2025. Údaje jsou podle EDPB anonymní, pokud se nevztahují k identifikované nebo identifikovatelné fyzické osobě – vztah k osobě přitom může vyplývat z obsahu, účelu i důsledku zpracování a nemusí být na první pohled zjevný. Osoba je identifikovatelná, pokud ji lze v konkrétním kontextu odlišit od ostatních pomocí prostředků, jejichž použití je rozumně pravděpodobné; posouzení této pravděpodobnosti závisí na perspektivě konkrétního subjektu a všech objektivních okolnostech. Pokyny nabízejí i praktický rámec o třech kritériích, pomocí nichž lze úspěšnost anonymizace testovat: nemožnost izolovat konkrétní záznam, nemožnost propojit záznamy a nemožnost odvodit z dat další informace o osobě. Splnění všech tří kritérií znamená, že data lze bezpečně považovat za anonymní; správce si může zvolit i zjednodušený přístup, který nerozlišuje schopnosti jednotlivých subjektů a jde v opatrnosti dále, než ukládá zákon. Pokyny jsou do 30. října 2026 otevřené veřejné konzultaci.

Pokyny ke scrapingu webů pro generativní AI se týkají velkoobjemového automatizovaného stahování dat, které často probíhá bez vědomí dotčených osob. GDPR se na scraping vztahuje, pokud zahrnuje zpracování osobních údajů – tedy jejich shromažďování, uchovávání, třídění i další vyhledávání. Zvláštní pozornost je podle EDPB třeba věnovat zásadě omezení účelu a zásadě transparentnosti, přičemž správce nemusí dotčené osoby informovat individuálně, pokud by to bylo nemožné nebo nepřiměřeně náročné. EDPB doporučuje čerpat data jen ze spolehlivých zdrojů, zaznamenávat časové razítko a před využitím k trénování AI ověřovat jejich přesnost. Pokyny dále rozvíjejí dřívější stanovisko EDPB k AI modelům v otázce použití oprávněného zájmu jako právního základu scrapingu a připomínají, že zpracování zvláštních kategorií osobních údajů je v zásadě zakázáno – pokud scraping takové údaje zasáhne, je potřeba jak právní základ podle článku 6, tak výjimka podle článku 9 odst. 2 GDPR; obecná výjimka z těchto požadavků podle EDPB neexistuje a každý případ je nutné posuzovat individuálně. I tyto pokyny podléhají veřejné konzultaci do 30. října 2026.

Po veřejné konzultaci EDPB zároveň schválil finální verzi pokynů ke zpracování osobních údajů prostřednictvím blockchainu. Dokument popisuje fungování různých architektur blockchainu a jejich dopad na zpracování osobních údajů a má organizacím pomoci sladit používání této technologie s požadavky GDPR. Spolu s finální verzí zveřejnil EDPB i zprávu o výsledcích konzultace a verzi pokynů se sledováním změn.