Opatrná odpověď v evropské ochraně osobních údajů zněla dlouho tak, že pseudonymizovaná data zůstávají osobními údaji, dokud někdo, kdekoli, drží klíč. Návrh pokynů EDPB k pseudonymizaci z ledna 2025 to stále říká, i když jsou data a klíč v různých rukou. Dva novější texty tuto odpověď upřesnily. Dne 4. září 2025 rozhodl Soudní dvůr ve věci EDPS v. SRB (C-413/23 P) a 7. července 2026 přijal Evropský sbor pro ochranu osobních údajů (EDPB) návrh pokynů 02/2026 k anonymizaci, který je otevřen připomínkám do 30. října 2026 do 23:59 SEČ. Čteny společně vysvětlují, kdy může být stejný soubor osobním údajem pro vás a anonymním pro někoho jiného, a proč to málokdy pomůže, pokud je tím někým jiným poskytovatel služeb, který pracuje pro vás.
Níže najdete, co oba texty říkají, s odkazy na jednotlivé body, a poté praktickou otázku pro advokátní kanceláře, účetní, personální oddělení a každého, kdo vkládá dokumenty do nástroje AI: pseudonymizovat vratně, nebo začernit natrvalo?
Klíčová fakta na první pohled
| Položka | Ověřený údaj | Zdroj |
|---|---|---|
| Dokument EDPB | Pokyny 02/2026 k anonymizaci, verze 1.0 | PDF EDPB, titulní strana |
| Přijato | 7. července 2026, „k veřejné konzultaci“ | historie verzí, s. 1 |
| Konzultace | od 8. července do 30. října 2026, 23:59 SEČ (115 dní) | stránka konzultace EDPB |
| Rozsah | 103 bodů, 25 případových příkladů, jedna příloha s vývojovým diagramem | PDF EDPB |
| Nahrazuje | Stanovisko 05/2014 Pracovní skupiny podle článku 29 | bod 2 |
| Související text | Pokyny 01/2025 k pseudonymizaci, přijaté 16. ledna 2025, konzultace uzavřena 14. března 2025, konečná verze zatím nevyšla | stránka konzultace EDPB |
| Rozsudek | SDEU, první senát, C-413/23 P, EDPS v. SRB, 4. září 2025 | záhlaví rozsudku |
| Údaje ve věci | 23 822 připomínek od 2 855 osob; 1 104 připomínek odesláno společnosti Deloitte s náhodným kódem o 33 číslicích | body 23 až 26 |
| Legislativa | Digital Omnibus, COM(2025) 837: mandát Rady z 21. října 2026 vypouští nové znění čl. 4 bodu 1; Parlament zatím nehlasoval | dok. Rady 14756/26; Legislativní observatoř EP |
Je třeba jedno upřesnění, protože několik komentářů popisuje text z roku 2026 jako pokyny k „pseudonymizaci a anonymizaci“. Název i obsah se týkají pouze anonymizace. Slovo „pseudonymizace“ se v dokumentu nevyskytuje; pseudonymy se probírají v jediném příkladu a v jednom bodu o zjevně neanonymních datech. Pseudonymizace má vlastní návrh, pokyny 01/2025, které text z roku 2026 necituje.
Co Soudní dvůr rozhodl ve věci SRB
Poté, co byla v roce 2017 vyřešena krize banky Banco Popular, vyzval Jednotný výbor pro řešení krizí (SRB) dotčené akcionáře a věřitele, aby se vyjádřili k jeho předběžnému rozhodnutí. Obdržel 23 822 připomínek od 2 855 účastníků, 20 101 shodných vyřadil a ponechal 3 730 individuálních připomínek. Z nich se 1 104 týkalo ocenění a bylo 17. června 2019 odesláno společnosti Deloitte (body 24 až 26). Každá připomínka nesla náhodně vygenerovaný 33místný identifikátor a pouze SRB mohl tento kód spojit s doklady totožnosti shromážděnými při registraci (body 23 a 28). Někteří účastníci si stěžovali, že informace o zpracování nezmiňovala Deloitte mezi příjemci.
Soudní dvůr formuloval čtyři zásady, které mají význam nad rámec konkrétní věci.
Názory jsou osobními údaji toho, kdo je vyjadřuje. Osobní názor je „nutně úzce spjat s touto osobou“ (bod 58), takže není třeba samostatně zkoumat jeho účel nebo účinek.
Pseudonymizovaná data nejsou automaticky osobními údaji pro všechny. Pseudonymizace je opatření snižující riziko a není součástí definice osobních údajů (bod 72). Protože klíč existuje, nelze pseudonymizovaná data považovat za anonymní „ve všech případech“ (bod 73). Stejně nesprávné je považovat je za osobní „ve všech případech a pro každou osobu“ (bod 86). Pro příjemce mohou být data neosobní, pokud jsou splněny dvě podmínky: příjemce nemůže technická a organizační opatření odstranit a tato opatření skutečně brání přiřazení, a to i porovnáním s dalšími informacemi, které příjemce má (bod 77).
Další předání vrací data do působnosti GDPR. Pokud nelze vyloučit, že pozdější příjemce má prostředky k opětovné identifikaci, jsou data osobními údaji pro toto předání i pro zpracování tímto příjemcem (bod 85).
Transparentnost se posuzuje ze strany správce, v okamžiku shromáždění. SRB měl uvést Deloitte v informaci o zpracování, když připomínky shromažďoval, „bez ohledu na to, zda tyto údaje byly z hlediska Deloitte osobními údaji“ (body 111 a 112). Na tomto základě Soudní dvůr zamítl hlavní důvod SRB, zrušil rozsudek Tribunálu z roku 2023 a vrátil věc pouze kvůli samostatnému důvodu týkajícímu se řádné správy (body 118 až 122).
Rozsudek vykládá nařízení 2018/1725 o orgánech EU, jehož definici osobních údajů Soudní dvůr čte stejně jako čl. 4 bod 1 GDPR (bod 52).
Co přidává návrh EDPB
EDPB promítá úvahu z rozsudku SRB do obecného testu. Informace je anonymní, pokud se netýká osoby nebo osoba není identifikovatelná, a „tyto odpovědi se mohou u jednotlivých subjektů lišit“ (bod 6). Vodicí otázka každého posouzení zní: „pro koho mají být data anonymní?“ (bod 12). Několik dalších bodů pak zužuje prostor, který tento relativní přístup ponechává.
Zpracovatelé přebírají perspektivu správce. Pokud subjekt zpracovává data jménem správce, pro něhož jsou osobními údaji, jsou osobními údaji i pro tento subjekt, který je zpracovatelem ve smyslu GDPR (bod 15). EDPB to ilustruje obchodníkem, který posílá výpisy analytické agentuře jednající jeho jménem: osobní údaje pro oba (příklad 3). Pouze příjemce, který sám určuje účely a prostředky, například nezávislý výzkumný ústav, se posuzuje z vlastní perspektivy (příklad 4).
Stačí zanedbatelná pravděpodobnost. Identifikace nemusí být vyloučena, ale její pravděpodobnost „by měla být ve skutečnosti nevýznamná“ (bod 22) a prostředky se nezapočítávají jen tehdy, jsou-li nemožné, neúměrné z hlediska času, nákladů a práce, nebo zakázané zákonem (bod 26).
Smlouvy nejsou zákon. Smluvní zákaz opětovné identifikace není zákazem ze zákona a může technická opatření jen doplnit (bod 34). Ani nedostatek motivace k opětovné identifikaci není spolehlivým argumentem (bod 31).
Opětovná identifikace je stále levnější. Většina zdokumentovaných technik běží na běžném hardwaru a EDPB očekává, že agentní AI „dále sníží čas a náklady“ opětovné identifikace (bod 92). Modely AI lze také přimět k vyzrazení informací o osobách (bod 82).
Tři kritéria. Data test splní, pokud nelze vyčlenit záznam, propojit jej s jinými daty ani z něj odvodit informace; jsou-li splněna všechna tři kritéria, lze data „bezpečně považovat za anonymní“ (bod 52). Test lze provést kontextově, subjekt po subjektu, nebo zjednodušeně, což ignoruje rozdíly mezi subjekty a je opatrnější (body 45 až 47).
Slova a záznamy. Správci by neměli označovat data za „anonymní“, „deidentifikovaná“ nebo „depersonalizovaná“, pokud jsou osoby stále identifikovatelné (bod 40), a měli by proces anonymizace a jeho testování zdokumentovat a dokumentaci uchovávat (bod 41). Posouzení provedená podle stanoviska z roku 2014 není třeba opakovat (poznámka pod čarou 3).
Jak do sebe zapadají návrhy z let 2025 a 2026
Oba návrhy EDPB vznikly na opačných stranách rozsudku a je to znát. Pokyny 01/2025 uvádějí, že pseudonymizovaná data zůstávají osobními údaji i tehdy, když data a doplňující informace „nejsou v rukou téže osoby“ (bod 22). Soudní dvůr pak rozhodl, že pseudonymizovaná data nejsou osobními údaji „ve všech případech a pro každou osobu“. Návrh z roku 2026 se řídí Soudním dvorem a cituje rozsudek SRB v deseti poznámkách pod čarou, ale text z roku 2025 nezmiňuje a ten také nebyl dokončen. Dokud nebudou pokyny k pseudonymizaci aktualizovány, budou organizace číst text 01/2025 kvůli mechanice pseudonymizace (domény pseudonymizace, tajné klíče, převodní tabulky) a text 02/2026 spolu s rozsudkem SRB kvůli otázce, pro koho jsou data osobními údaji.
Společný základ je širší, než napětí naznačuje. Oba texty se shodují, že správce, který drží klíč, vždy zpracovává osobní údaje (shrnutí pokynů 01/2025; 02/2026, bod 37), že převodní tabulka je sama osobním údajem, který je třeba chránit (01/2025, bod 93), a že pseudonymizace je cennou zárukou podle článků 25 a 32 GDPR, i když data nevyjímá z působnosti nařízení.
Digital Omnibus: otázku přebírá zákonodárce
Relativní přístup je nyní také před zákonodárcem EU. Dne 19. listopadu 2025 navrhla Komise Digital Omnibus, COM(2025) 837 (postup 2025/0360 (COD)), který by k definici osobních údajů v čl. 4 bodu 1 GDPR přidal tři věty. Ústřední z nich říká, že informace „nejsou osobními údaji pro daný subjekt, pokud tento subjekt nemůže fyzickou osobu identifikovat“, s ohledem na prostředky, které by tento subjekt mohl důvodně použít. Poslední věta dodává, že informace se pro tento subjekt nestanou osobními údaji jen proto, že by osobu mohl identifikovat potenciální pozdější příjemce (čl. 3 bod 1 návrhu). Komise tuto změnu představuje jako kodifikaci judikatury o pseudonymizaci (důvodová zpráva, s. 10 a 11) a nový článek 41a by jí umožnil rozhodnout prováděcím aktem, kdy pseudonymizovaná data přestávají být pro určité subjekty osobními údaji.
EDPB a EDPS oba nápady odmítly ve společném stanovisku 2/2026 z 10. února 2026. Podle nich text vybírá „jediný prvek z jediné věci“ (bod 15) a jeho poslední věta jde nad rámec rozsudku SRB, v němž Soudní dvůr potvrdil, že data zpřístupněná příjemci, který je dokáže identifikovat, se stávají osobními údaji pro tohoto příjemce a nepřímo i pro toho, kdo je zpřístupnil (bod 16, odkaz na body 84 a 85 rozsudku). Vyzvaly spoluzákonodárce, aby změnu nepřijímali (bod 21), požádaly o vypuštění článku 41a (bod 25) a uvedly, že otevřené otázky patří do pokynů EDPB (bod 19). Jedna z otázek, které uvedly, totiž zda je příjemce, který nikoho nedokáže identifikovat, ale pracuje jménem správce, zpracovatelem (poznámka pod čarou 29), je ta, na kterou později odpověděly pokyny 02/2026 v bodě 15.
Rada postupuje jinak než Komise. Její vyjednávací mandát, dohodnutý Coreperem 21. října 2026 (dokument Rady 14756/26), škrtá nové věty v čl. 4 bodu 1 a nahrazuje článek 41a novým článkem 25a o pseudonymizaci. Pseudonymizovaná data nejsou osobními údaji pro třetí stranu, která osobu nemůže identifikovat (čl. 25a odst. 2); pokud ji tato třetí strana předá někomu, kdo to může, týká se předání i následné zpracování osobních údajů (25a odst. 3); a pro zpracovatele jednajícího za správce jsou to vždy osobní údaje (25a odst. 4). Místo prováděcích aktů by EDPB vydal stanovisko k pseudonymizaci a anonymizaci (25a odst. 6). V Evropském parlamentu mají společné výbory ITRE a LIBE návrh zprávy, ale k 27. říjnu 2026 nehlasovaly: trilogy nezačaly a nic z toho zatím není právem.
| Text | Datum a stav | Co říká o pseudonymizovaných datech |
|---|---|---|
| SDEU, EDPS v. SRB, C-413/23 P | Rozsudek, 4. září 2025 | Nejsou osobními údaji „ve všech případech a pro každou osobu“ (bod 86) |
| EDPB, pokyny 01/2025 | Návrh z 16. ledna 2025, nedokončený | Osobní údaje, i když jsou data a klíč v různých rukou (bod 22) |
| EDPB, pokyny 02/2026 | Návrh ze 7. července 2026, připomínky do 30. října 2026 | Relativní test, ale pro zpracovatele vždy osobní údaje (bod 15) |
| Komise, Digital Omnibus, COM(2025) 837 | Návrh, 19. listopadu 2025 | Relativní formulace v čl. 4 bodě 1; prováděcí akty podle čl. 41a |
| EDPB-EDPS, společné stanovisko 2/2026 | 10. února 2026 | Novou definici nepřijímat; vypustit čl. 41a (body 21, 25) |
| Mandát Rady, dok. 14756/26 | Coreper, 21. října 2026 | Čl. 4 bod 1 beze změny; nový čl. 25a, osobní údaje pro zpracovatele (25a odst. 4) |
| Evropský parlament, ITRE a LIBE | Návrh zprávy, bez hlasování ve výborech k 27. říjnu 2026 | Postoj dosud nezaujat |
Při vzájemném srovnání se texty sbližují víc, než by se z debaty zdálo. Soudní dvůr přijal, že identifikovatelnost závisí na tom, kdo data má (SRB, bod 86). EDPB z toho vytvořil test, který poskytovatele služeb udržuje v rámci GDPR (02/2026, bod 15). Text Rady by stejné hranice zapsal přímo do nařízení. Jediné znění, které by další předání posuzovalo volněji, tedy třetí věta Komise, nemá podporu ani dozorových orgánů, ani Rady. Pro každého, kdo dnes rozhoduje, jak připravit dokument pro nástroj AI nebo pro třetí stranu, zůstávají vodítkem rozsudek SRB a oba návrhy EDPB.
Vratná pseudonymizace, nebo trvalá anonymizace
Většina práce s dokumenty spadá do jednoho ze dvou vzorů a rozsudek SRB nemění, který z nich se pro daný úkol hodí.
Vratná pseudonymizace nahrazuje jména, identifikátory a další podrobnosti konzistentními zástupnými značkami, zatímco správce uchovává převodní tabulku. Je to správná volba, když potřebujete skutečné hodnoty vrátit zpět: při psaní odpovědi, analýze smlouvy, shrnutí spisu s asistentem AI nebo při předání pracovního dokumentu kolegovi, který bude později potřebovat vědět, kdo je kdo. Pro vás zůstává dokument osobním údajem. Zůstává jím i pro poskytovatele, který jej zpracovává vaším jménem (bod 15), takže smlouva o zpracování osobních údajů je stále nutná. Pseudonymizace přináší minimalizaci dat a bezpečnost: poskytovatel vidí mnohem méně a únik nebo zneužití na jeho straně odhalí zástupné značky místo identit.
Trvalá anonymizace neboli začernění odstraní informaci tak, že nikde nezůstane žádný klíč, včetně metadat dokumentu. Je to správná volba, když dokument opouští vaši kontrolu směrem k nezávislému příjemci: zveřejnění, předání protistraně nebo soudu, odpověď na žádost o přístup, která musí chránit třetí osoby, výzkumný nebo trénovací datový soubor. Zde mají největší váhu rozsudek SRB a text 02/2026, protože rozhoduje perspektiva příjemce, a tři kritéria říkají, co ověřit: zda se jednotlivý záznam stále vyčleňuje, zda jej lze propojit s dalšími zdroji a zda z něj lze odvodit něco konkrétního.
| Situace | Kdo data dostane | Typická volba | Osobní údaje pro příjemce? |
|---|---|---|---|
| Příprava textu nebo analýza se službou AI, která pracuje pro vás | Zpracovatel | Vratná pseudonymizace | Ano (bod 15); nutná smlouva o zpracování |
| Pracovní dokument sdílený uvnitř kanceláře | Vaši vlastní zaměstnanci | Vratná pseudonymizace | Ano, ale expozice je nižší |
| Podání k soudu, zveřejnění, předání protistraně | Nezávislá třetí strana | Trvalé začernění | Jen pokud je opětovná identifikace důvodně pravděpodobná (body 21, 22) |
| Datový soubor pro nezávislého výzkumníka | Nezávislá třetí strana | Anonymizace ověřená podle tří kritérií | Posuzuje se z perspektivy příjemce (příklad 4) |
Co to znamená v praxi
Advokátní kanceláře. Podání a přílohy, které jdou k soudu nebo protistraně, vyžadují trvalé začernění a test spočívá v tom, zda protistrana, novinář nebo kdokoli jiný, kdo spis čte, může osobu stále identifikovat (bod 30 uvádí mezi subjekty, které je třeba zvážit, investigativní novináře, kolegy a sousedy). Podrobnosti ve volném textu bývají obvyklým slabým místem: funkce, datum a město mohou někoho určit i bez jména, a to je právě problém vyčlenění záznamu. Při interní přípravě textů s nástroji AI drží vratná pseudonymizace jména klientů mimo systémy poskytovatele, aniž by se ztratila možnost je obnovit.
Účetní a daňoví poradci. Hlavní knihy a mzdové exporty jsou strukturovaná data, takže se tři kritéria uplatní téměř doslova: sloupec s daňovým číslem nebo IBAN je identifikátor a kombinace mzdy, data nástupu a oddělení může záznam vyčlenit. Pseudonymizace na úrovni sloupců zachová aritmetiku a odstraní identifikátory. Když soubory míří k externímu kontrolorovi, který jedná za vás, pamatujte, že kontrolor je zpracovatel a data zůstávají osobními údaji.
Personalistika. Zaměstnanecké průzkumy a šetření jsou častým zdrojem falešné anonymity. EDPB uvádí příklad týmového průzkumu, jehož souhrnné výsledky stejně prozradí, co si myslel každý člen (příklad 17), a rozsudek SRB potvrzuje, že názory jsou osobními údaji svého autora. Pokud se výsledky sdílejí s vedoucími, váží víc prahové hodnoty agregace a potlačení malých skupin než odstranění jmen.
Každý, kdo posílá dokumenty do nástrojů AI. Poskytovatel AI, který zpracovává vaše dotazy podle vašich pokynů, je podle výkladu EDPB zpracovatelem, pro něhož data zůstávají osobními údaji. Pseudonymizace tento vztah neruší, ale mění to, co je vystaveno. Pozornost si zaslouží dvě podrobnosti: zda převodní tabulka někdy opustí vaši kontrolu a zda poskytovatel vstupy uchovává nebo je používá k trénování. Varování EDPB před dotazy, které modely AI přimějí k získávání informací o osobách (bod 82), připomíná, že co dovnitř vstoupí, může ven.
Nástroje jako Redactic používají oba vzory na stejném souboru: vratné zástupné značky pro práci s AI, přičemž skutečné hodnoty se obnovují jen v prohlížeči uživatele, a trvalé začernění s odstraněním metadat pro dokumenty, které opouštějí organizaci, a k tomu certifikát o začernění s otisky dokumentů pro každou operaci, což pomáhá při vedení záznamů popsaných v bodě 41.
Chcete-li používat AI, aniž byste předávali jména a identifikátory, může Redactic připravit vaše dokumenty pro AI: zjištěné hodnoty se změní na zástupné značky a skutečná jména se vrátí ve vašem prohlížeči, až dorazí odpověď.
Často kladené otázky
Jsou pseudonymizovaná data po rozsudku SRB stále osobními údaji?
Pro správce, který drží klíč, vždy. Pro příjemce záleží na okolnostech: data nemusí být osobními údaji pro nezávislého příjemce, který pseudonymizaci nemůže zrušit a nemůže osobu znovu identifikovat porovnáním s jinými informacemi (SRB, body 77 a 86), ale zůstávají osobními údaji pro každého zpracovatele, který pracuje jménem správce (02/2026, bod 15).
Týkají se pokyny 02/2026 pseudonymizace?
Ne, týkají se anonymizace. Pseudonymizaci řeší pokyny 01/2025, přijaté k veřejné konzultaci 16. ledna 2025 a dosud nedokončené.
Kdy končí konzultace EDPB a jak na ni odpovědět?
Dne 30. října 2026 ve 23:59 SEČ, prostřednictvím formuláře na stránce konzultace EDPB. Odpovědi se zveřejňují na webu EDPB.
Učiní smlouva zakazující opětovnou identifikaci data anonymními pro příjemce?
Sama o sobě ne. Podle EDPB smluvní zákaz není zákazem ze zákona a může technická opatření jen doplnit (bod 34).
Změní Digital Omnibus definici osobních údajů v GDPR?
Zatím ne a pravděpodobně ne v původně navržené podobě. Návrh Komise COM(2025) 837 by do čl. 4 bodu 1 GDPR doplnil relativní test. EDPB a EDPS vyzvaly spoluzákonodárce, aby jej nepřijímali (společné stanovisko 2/2026, bod 21), a vyjednávací mandát Rady z 21. října 2026 jej vypouští ve prospěch nového článku 25a, podle něhož pseudonymizovaná data zůstávají osobními údaji pro zpracovatele a při dalším předání komukoli, kdo osobu dokáže identifikovat. Evropský parlament dosud nezaujal postoj, takže trilogy nezačaly. Dokud nebude přijat text, zůstávají vodítkem rozsudek SRB a pokyny EDPB.
Musím zopakovat posouzení anonymizace provedená podle stanoviska z roku 2014?
Ne, podle poznámky pod čarou 3, i když se doporučuje pravidelné přehodnocení, protože opětovná identifikace se časem usnadňuje (bod 35).
Pokud pracujete s dokumenty klientů, zaměstnanců nebo pacientů a chcete oba přístupy vyzkoušet na vlastních souborech, můžete začít na redactic.eu. Detekce a začernění běží na infrastruktuře v Evropě, kterou řídí Redactic, a volitelné úlohy AI jsou samostatný krok, který pracuje s připraveným textem.
Jak citovat tento článek
Redactic. „Pseudonymizace či anonymizace? EDPB 02/2026 a rozsudek SRB“. redactic.eu, říjen 2026. https://redactic.eu/cs/blog/pseudonymizace-anonymizace-pokyny-edpb-02-2026-srb/
Primární zdroje: EDPB, pokyny 02/2026 k anonymizaci (v1.0, 7. července 2026); EDPB, pokyny 01/2025 k pseudonymizaci (16. ledna 2025); SDEU, C-413/23 P, EDPS v. SRB, 4. září 2025; Evropská komise, Digital Omnibus, COM(2025) 837 final, 19. listopadu 2025; EDPB-EDPS, společné stanovisko 2/2026, 10. února 2026; Rada EU, dok. 14756/26 (vyjednávací mandát), 22. října 2026.
Související průvodci
- Anonymizace osobních údajů: průvodce GDPR a AI 2026
- Shadow AI v HR: AI bez porušení GDPR (2026)
- Advokáti: anonymizace smluv a soudních spisů (2026)
- Účetní a GDPR: anonymizace mezd a daňových údajů (2026)
Podívejte se, jak Redactic tyto postupy uplatňuje v praxi: anonymizace dokumentů s Redactic · Stránky o důvěře a smlouva o zpracování (DPA).