Kdaj so podatki res anonimni in ali je dovoljeno strgati podatke s spleta za razvoj UI? Objavljene nove smernice EDPB
+ -Evropski odbor za varstvo podatkov (EDPB) je na plenarnem zasedanju 7. julija 2026 sprejel troje pomembnih smernic, ki naslavljajo izzive varstva osebnih podatkov v dobi naprednih tehnologij: smernice o anonimizaciji, smernice o strganju podatkov s spleta za razvoj generativne umetne inteligence in končno različico smernic o obdelavi osebnih podatkov s tehnologijami veriženja blokov po javnem posvetovanju.
Kdaj so podatki (resnično) anonimni?
Nove smernice EDPB o anonimizaciji pojasnjujejo pojem anonimnih podatkov ob upoštevanju sodbe Sodišča Evropske unije v zadevi C-413/23 P (EDPS proti SRB) ter druge sodne prakse Sodišča EU.
Predsednica Evropskega odbora za varstvo podatkov Anu Talus je ob tem poudarila:
»Smernice so pomemben mejnik pri pojasnjevanju pojma anonimnih podatkov, saj določajo jasne standarde, ki lajšajo uporabo podatkov in hkrati varujejo temeljne pravice posameznikov.
Pri pripravi teh smernic smo vključili dragocen prispevek z našega dogodka za deležnike, ki je znova pokazal našo trdno zavezanost sodelovalnemu dialogu, kot je navedeno v Helsinški izjavi EDPB.«
Podatki so anonimni, če se ne nanašajo na določeno ali določljivo fizično osebo. Ali je posameznik določljiv pa bo odvisno od vidika različnih subjektov.
Posameznik se šteje za »določenega ali določljivega«, če ga je mogoče razlikovati od drugih v določenem kontekstu z uporabo „sredstev, za katera se razumno pričakuje, da se bodo uporabljala na način, ki omogoča različno obravnavo. Ali se razumno pričakuje, da bodo sredstva uporabljena, bo odvisno od perspektive zadevnega subjekta in bi ga bilo treba oceniti glede na vse objektivne dejavnike.
Smernice zagotavljajo tudi praktičen okvir, na podlagi katerega lahko organizacije ugotovijo, ali je anonimizacija uspešna. Okvir se lahko uporablja na dva načina: bodisi z oceno razlik v zmogljivostih med tistimi, ki bi lahko identificirali posameznika („kontekstualni pristop“), bodisi zaradi enostavnosti, tako da se take razlike ne upoštevajo („poenostavljeni pristop“), če se upravljavec tako odloči.
Okvir uporablja tri merila za preverjanje, ali so podatki anonimni: 1) brez izolacije zapisa, 2) brez povezave, in 3) brez sklepanja . Če so izpolnjena vsa tri merila, lahko podatke varno štejejo za anonimne. Če katero koli od teh meril ni izpolnjeno, je treba opraviti nadaljnjo analizo, da se ugotovi, ali se podatki lahko štejejo za anonimne.
Smernice bodo predmet javnega posvetovanja do 30. oktobra 2026, kar bo deležnikom omogočilo, da pošljejo svoje pripombe in povratne informacije.
Ali je dovoljeno strgati podatke s spleta za razvoj umetne inteligence in kakšen vpliv ima to na posameznike?
Strganje podatkov spleta je obsežen avtomatiziran postopek pridobivanja podatkov, ki pogosto deluje skrito očem in lahko pomeni veliko tveganje za varstvo osebnih podatkov. EDPB je v smernicah o strganju podatkov s spleta za razvoj generativne umetne inteligence pojasnjuje različne vidike skladnosti spletnega strganja s Splošno uredbo o varstvu podatkov, vključno s pravno podlago za take dejavnosti in pogoje, pod katerimi se lahko v tem okviru obdelujejo posebne vrste podatkov.
Smernice posebno pozornost namenjajo izvajanju načel varstva osebnih podatkov v praksi. Pri strganju podatkov s spleta in njihovi nadaljnji obdelavi je treba posebno pozornost nameniti načelu omejitve namena in načelu preglednosti. EDPB nadalje priporoča, da se podatki strgajo samo iz zanesljivih virov, da se jih evidentira s časovnim žigom in potrdi veljavnost pred uporabo za učenje umetne inteligence, da se zagotovi skladnost z načelom točnosti. Smernice vsebujejo tudi nasvete o ukrepih, ki bi jih moral upravljavec izvesti za skladnost z načelom najmanjšega obsega podatkov.
Smernice gradijo na mnenju EDPB o umetnointeligenčnih modelih ter zagotavljajo dodatna pojasnila in primere uporabe pravne podlage pravnega interesa v posebnem okviru spletnega strganja za učenje umetne inteligence.
Nazadnje EDPB opozarja, da je obdelava posebnih vrst osebnih podatkov načeloma prepovedana. Če spletno strganje vključuje take podatke, sta potrebni tako zakonita podlaga v skladu s 6. členom Splošne uredbe o varstvu podatkov kot izpolnjeni pogoji iz izjem v skladu s členom 9(2) Splošne uredbe. Smernice se opredelijo tudi do vprašanja naključne obdelave posebnih vrst osebnih podatkov ali obdelave preostanka posebnih vrst osebnih podatkov. Odbor pri tem poudarja, da ni splošnega izvzetja iz zahtev iz člena 9 splošne uredbe o varstvu podatkov in da je treba vsako zadevo oceniti posamično, da se ugotovi, ali se razlogovanje Sodišča uporablja.
Smernice bodo predmet javnega posvetovanja do 30. oktobra 2026, kar bo deležnikom omogočilo, da pošljejo svoje pripombe in povratne informacije.
Kako zakonito obdelovati osebne podatke z uporabo tehnologije veriženja blokov?
EDPB je po javnem posvetovanju sprejel končno različico smernic o obdelavi osebnih podatkov s tehnologijami veriženja blokov. Smernice pomagajo organizacijam, ki uporabljajo tehnologije veriženja blokov, da ravnajo v skladu s Splošno uredbo o varstvu podatkov. Odbor pojasnjuje, kako delujejo blokovne verige, pri čemer ocenjuje različne možne arhitekture in njihove posledice za obdelavo osebnih podatkov.
Odbor je v skladu s helsinško izjavo, katere cilj je okrepiti dialog z deležniki, objavil tudi poročilo o izidu namenskega javnega posvetovanja in različico smernic o sledenju spremembam.