Nahrazení jmen zástupnými označeními je dobrý první krok. Samo o sobě však podle GDPR neznamená, že jsou údaje anonymní. Tento článek popisuje, co říká nařízení, co rozhodl Soudní dvůr EU v září 2025 a co z toho vyplývá.
Stručná odpověď
Obecně ano. GDPR stanoví, že osobní údaje, které prošly pseudonymizací a mohly by být přiřazeny konkrétní osobě pomocí dalších informací, se považují za informace o identifikovatelné osobě. Pokud máte klíč, který propojuje „Person_1“ se skutečným jménem, text, který jste upravili, jsou ve vašich rukou stále osobními údaji a jejich zpracování podléhá GDPR.
Přesnější odpověď zní, že záleží na tom, kdo údaje má a jaké prostředky by mohl rozumně použít k identifikaci osoby. Právě proto je důležité rozhodnutí soudu z roku 2025.
Co říká GDPR
Článek 4 odst. 5 definuje pseudonymizaci takto:
„zpracování osobních údajů takovým způsobem, že již nemohou být přiřazeny konkrétnímu subjektu údajů bez použití dodatečných informací, pokud jsou tyto dodatečné informace uchovávány odděleně a vztahují se na ně technická a organizační opatření, aby bylo zajištěno, že osobní údaje nebudou přiřazeny identifikované nebo identifikovatelné fyzické osobě“
Bod odůvodnění 26 uvádí, že osobní údaje, které prošly pseudonymizací a mohly by být přiřazeny fyzické osobě pomocí dodatečných informací, by měly být považovány za informace o identifikovatelné fyzické osobě. Při rozhodování o tom, zda je osoba identifikovatelná, je třeba vzít v úvahu všechny prostředky, u nichž lze rozumně předpokládat, že budou použity, například vyčlenění jednotlivce, ať už správcem, nebo jinou osobou, včetně potřebných nákladů a času a dostupných technologií.
Ze znění vyplývají dva praktické závěry. Klíč musí být uchováván odděleně a musí se na něj vztahovat technická a organizační opatření. A „identifikovatelnost“ se posuzuje podle realistických prostředků, nikoli podle toho, zda je identifikace teoreticky možná.
Co přidal Soudní dvůr v roce 2025
Dne 4. září 2025 rozhodl Soudní dvůr EU ve věci EDPS v. SRB (věc C-413/23 P). Týkala se připomínek, které bankovní orgán předal poradenské společnosti poté, co nahradil totožnost jejich autorů kódy. Věc byla rozhodnuta podle nařízení 2018/1725, které se vztahuje na orgány EU, ale jeho definice osobních údajů a pseudonymizace odpovídají definicím v GDPR.
Soudní dvůr rozhodl, že pseudonymizované údaje nelze považovat za osobní údaje „ve všech případech a pro každou osobu“. To, zda jsou údaje osobními údaji pro konkrétního příjemce, závisí na okolnostech, včetně toho, zda má příjemce prostředky, u nichž lze rozumně předpokládat, že je použije k opětovné identifikaci dotčených osob. Strana, která pseudonymizaci provedla a má dodatečné informace, je v jiné situaci než příjemce, který nemá jak kódy s nikým propojit.
Jde o právní vývoj, jehož dopady odborníci stále zkoumají. Nevykládejte si jej jako povolení posílat pseudonymizované údaje klientů kamkoli. Říká, že se otázka posuzuje z pohledu příjemce, nikoli že přestává být důležitá.
Co to znamená pro chatbota s umělou inteligencí
- Stále jste správcem původních údajů i klíče. Vaše vlastní povinnosti podle GDPR se vztahují na vše, co s dokumentem děláte, včetně nahrazení údajů.
- Zda poskytovatel umělé inteligence dostává osobní údaje záleží na konkrétních skutečnostech. Kontext může osobu identifikovat i bez jména: vzácné povolání, malé město, neobvyklá událost. Pokud by někdo mohl reálně zjistit, koho se text týká, zacházejte s ním jako s osobními údaji.
- Nezakládejte svůj přístup k dodržování předpisů na představě, že zástupná označení činí text anonymním. Počítejte s tím, že stále může jít o osobní údaje, a považujte zástupná označení za jedno z několika ochranných opatření.
Pseudonymizace má stále smysl a GDPR to výslovně uznává. Článek 32 odst. 1 písm. a) uvádí pseudonymizaci mezi bezpečnostními opatřeními, která může správce použít. Body odůvodnění 28 a 78 říkají, že může snížit rizika pro subjekty údajů a podporuje ochranu údajů již od návrhu a jako výchozí nastavení. Nařízení ji považuje za ochranné opatření, nikoli za cestu, jak se působnosti nařízení vyhnout.
Co dělat v praxi
- Nejprve omezte množství údajů. Odešlete pouze pasáž potřebnou pro daný úkol. Viz jak používat nástroje AI s dokumenty klientů.
- Nahraďte všechny identifikátory, nejen jména. Identifikátory jsou také čísla účtů, identifikační čísla a data narození. Najdete je v kontrolním seznamu .
- Klíč si nechte u sebe, odděleně od odesílaného textu, a po skončení záležitosti jej smažte.
- Zkontrolujte podmínky poskytovatele a svůj tarif. Firemní tarif se smlouvou o zpracování údajů představuje jinou situaci než bezplatný osobní účet. Viz co říkají nastavení ochrany údajů.
- V rizikových případech si vyžádejte odbornou radu: u zdravotních údajů, údajů o dětech, zvláštních kategorií osobních údajů nebo čehokoli, u čeho by únik způsobil závažné následky.
V běžné řeči se tyto pojmy používají volně. Článek Anonymizace, pseudonymizace a redakce je porovnává.
Časté dotazy
Jsou pseudonymizované údaje totéž co anonymní údaje?
Ne. Bod odůvodnění 26 říká, že se zásady ochrany údajů nevztahují na anonymní informace, tedy na informace, které se netýkají identifikovatelné osoby, ani na údaje, které byly anonymizovány tak, že osobu již nelze identifikovat. Pseudonymizované údaje, které lze znovu propojit s osobou, tvoří jinou kategorii.
Zakazuje GDPR používat nástroje umělé inteligence s osobními údaji?
Ne. Vyžaduje právní základ, minimalizaci údajů, zabezpečení a v případě spolupráce s poskytovatelem odpovídající smlouvu. Používání zástupných označení pomáhá s minimalizací údajů.
Platí to i mimo EU?
Spojené království má vlastní verzi a podobná pravidla platí v mnoha zemích. GDPR se může vztahovat také na podniky mimo EU, které poskytují služby lidem v EU.
ClientSafe uchovává ve vašem počítači tabulku propojující zástupná označení se skutečnými jmény. Text, který zkopírujete do nástroje umělé inteligence, obsahuje pouze zástupná označení. Nejprve zkontrolujete, co nástroj našel, protože žádný nástroj nezachytí všechno.
Obecné informace, nikoli právní poradenství. O své konkrétní situaci se poraďte s kvalifikovaným poradcem pro ochranu osobních údajů.