EDSA – tko? Što smjernice mogu učiniti?
EDSA (EDPB) okuplja nadležna tijela za zaštitu podataka država EU-a i EGP-a te Europskog nadzornika za zaštitu podataka (EDPS). Austriju za stolom predstavlja njezino nadležno tijelo za zaštitu podataka. Cilj EDSA-e je promicanje dosljedne primjene i provedbe GDPR-a. U tu svrhu EDSA izdaje razne publikacije osmišljene kako bi se olakšala primjena zakona o zaštiti podataka. Smjernice EDSA-e, naravno, nisu zakoni i nemaju usporediv učinak. One ne obvezuju kontrolore podataka, sudove ili javne vlasti; Sud pravde Europske unije (SPEU) ima konačnu riječ u svakom slučaju i u prošlosti se usprotivio stajalištu Odbora. Ipak, smjernice služe kao mjerilo. Vlasti se na njih oslanjaju; svatko tko ih osporava u postupku snosi teret dokaza.
Osobna preporuka: Ovisi o tome tko pita!
Smjernice za anonimizaciju 02/2026 zamjenjuju pristup procjeni koji je 2014. godine utvrdio Radni odbor za zaštitu podataka prema članku 29. Glavni razlog za njihovo izradu i objavu je presuda Europskog suda pravde iz 2025. u predmetu C-413/23 P (EDSB protiv SRB).
Slučaj se može otprilike sažeti u jednoj rečenici: javna vlast šalje pseudonimizirane izjave vanjskom savjetniku i zadržava ključ za identifikaciju pojedinih osoba. Pitanje: Što to znači za primjenu GDPR-a? Odgovor Suda pravde: Za javnu vlast to predstavlja osobne podatke – kristalno jasno. Za konzultanta se situacija može promatrati drugačije. Odlučujući čimbenik je sposobnost relevantnog kontrolora da ponovno identificira pojedince u skupu podataka. U tom kontekstu SUDEU zaključuje: Stajalište da su pseudonimizirani podaci uvijek osobni podaci netočno je.
Ovu (dugo raspravljanu) temu može se dobro sažeti pojmom 'relativna osobna referenca'. Prilikom procjene postoje li osobni podaci, treba – da budemo još jednostavniji – reći: 'Ovisi o tome tko pita!'. U tom smislu anonimnost više nije jednolična oznaka koju se jednostavno primjenjuje (ili ne primjenjuje) na zapis podataka. Naprotiv, taj pojam također podrazumijeva izjavu o određenoj organizaciji i o tome koje druge informacije ona posjeduje u vezi s tim zapisom podataka (npr. ključevi podataka).
Upravo se ovim pitanjem EDSA bavi u svojim Smjernicama 02/2026. Odlučujući čimbenik za ponovnu identifikaciju pojedinaca (a time i za određivanje opsega GDPR-a) jest "sredstva [dostupna relevantnoj organizaciji] koja se, uz razumnu vjerojatnost, mogu koristiti". Treba se zapitati: "Tko bi, ako bi to želio, mogao uspostaviti vezu s određenom osobom i koliko bi ga to koštalo?". To uvijek uključuje perspektivu određene organizacije. Okvir procjene sastoji se od tri kriterija koja se moraju kumulativno ispuniti (Smjernice 02/2026, stavak 52. i nadalje):
- Nema izolacije – podaci ne predstavljaju jedinstvenu kombinaciju karakteristika specifičnih za jednu osobu.
- Nema poveznice – ne mogu se povezati s drugim izvorima koji se odnose na istu osobu.
- Nema zaključivanja – iz njih nije moguće izvesti identitet određene osobe.
Sva tri kriterija su ispunjena: nema osobne reference. Ako jedan kriterij nije ispunjen, to ne znači automatski da se primjenjuje zakon o zaštiti podataka. EDSA potom zahtijeva daljnju analizu (Smjernice, stavak 95. i nadalje). Dakle, između 'da' i 'ne' treba obaviti određeni posao. U ovom slučaju nema samo crno-bijelih odgovora.
Web scraping za obuku umjetne inteligencije: samo zato što je nešto javno ne znači da nema vlasnika
Smjernica EDSA 03/2026 od 22 stranice utvrđuje mogu li se europski modeli umjetne inteligencije legalno trenirati (u skladu sa zakonom o zaštiti podataka). Ključni princip je, na prvi pogled, nespectakularan: čim se osobni podaci prikupljaju, pohranjuju, organiziraju ili im se pristupa, primjenjuje se GDPR. Činjenica da je netko sam objavio svoje podatke na internetu (bilo na društvenim mrežama, na forumu ili na web-stranici tvrtke) ne mijenja ništa.
U praksi je pravna osnova legitimni interes voditelja obrade (članak 6. stavak 1. točka (f) GDPR-a). EDSA detaljnije iznosi kriterije za usklađivanje interesa, oslanjajući se na svoje prethodno objavljeno Mišljenje 28/2024 i navodeći primjere specifične za kontekst web scrapinga. Ne postoji automatsko pravilo ni u jednom smjeru: legitimni interes ni ne opravdava automatski web scraping per se, niti ga isključuje u svim slučajevima. Mora postojati nužnost i dokumentirana procjena interesa – kao što svi znaju i što potvrđuje članak 5. stavak 2. GDPR-a: tko ne dokumentira tu procjenu interesa, u slučaju sumnje je nije proveo.
Novi i praktično relevantan aspekt novih smjernica jest njihova povezanost s načelom točnosti: EDSA preporučuje prikupljanje podataka samo iz pouzdanih izvora, bilježenje vremenske oznake prikupljanja podataka i provjeru podataka prije obuke. Osim toga, postoje smjernice o minimizaciji podataka, kao i poseban naglasak na ograničenje svrhe i transparentnost – iako se obavještavanje ispitanika može izostaviti ako se pokaže nemogućim ili zahtijeva nerazmjerni napor.
EDSA zauzima najstroži stav prema osjetljivim podacima. Obrada takvih podataka je, načelno, zabranjena prema članku 9. stavku 1. GDPR-a; svatko tko prikuplja takve podatke mora imati pravnu osnovu prema članku 6. i, kao opće pravilo, mora ispuniti i iznimku iz članka 9. stavka 2. GDPR-a. Za podatke prikupljene usputno ili kao nusproizvod, EDSA uzima u obzir sudsku praksu Suda Europske unije u predmetu C-136/17 (GC i drugi protiv CNIL-a) kao potencijalno primjenjivu, pod uvjetom da voditelj obrade djeluje unutar okvira svojih odgovornosti, ovlasti i mogućnosti te provodi odgovarajuće tehničke i organizacijske mjere (TOM-ove) kako bi spriječio prikupljanje i daljnju širenje. Međutim, EDSA izričito naglašava da ne postoji opća iznimka od članka 9. GDPR-a. Svaki slučaj i dalje se mora ocijeniti pojedinačno.
Što treba učiniti do 30. listopada – dva boda
- Igranje na sigurno: Provjerite obradu (navodno) 'anonimnih' podataka u svojoj organizaciji prema trima kriterijima navedenima u Smjernici 02/2026 i dokumentirajte rezultate. Za podatke za obuku umjetne inteligencije osigurajte da su podrijetlo, vremenski pečati i pravna osnova verificirano zabilježeni te da imate u evidenciji pisanu procjenu legitimnog interesa koja opravdava obradu – po mogućnosti prije nego što itko to zatraži.
- Uključite se i iznesite svoje mišljenje: Javna konzultacija otvorena je za poduzeća i trgovačka udruženja, a praktični doprinosi su posebno dobrodošli, osobito u pogledu legitimnih interesa i zahtjeva za anonimizacijom. Ovo je jedina faza u kojoj praktičari mogu pomoći u oblikovanju standarda, umjesto da se na njih jednostavno mjere. Svatko tko smatra da će se zahtjevi kasnije pokazati nerealnim, bolje bi bilo da to kaže sada, a ne tijekom postupka revizije.
Zaključak
EDSA nastoji uspostaviti red u složenim pitanjima. Za poslovne modele temeljene na podacima to je općenito dobra vijest – pod uvjetom da nadležne vlasti imaju resurse i disciplinu za provođenje potrebnih analiza i odlučno djelovanje na temelju njih. Stvari bi u budućnosti mogle postati problematične ako se ljudi zadovolje neutemeljenim tvrdnjama: "Uklonili smo imena, pa je anonimizirano" općenito ne ispunjava tri spomenuta kriterija za procjenu odnosi li se podatak na određenu osobu. "Podaci su bili slobodno dostupni na internetu, pa smo ih smjeli obrađivati" – i to pomalo promašuje poantu. Obje izjave nose potencijal za kontroverzu – ali ne mora biti tako. U tom kontekstu jasno je da je potrebna akcija.
Često postavljana pitanja o novim EDSA smjernicama (FAQ)
1. Jesu li nove smjernice EDSA-e pravno obvezujuće?
Ne, smjernice EDSA-e nisu zakoni i ne obvezuju izravno ni tvrtke ni sudove. Međutim, one služe kao važna referentna točka za nadzorne vlasti. U slučaju postupka prema zakonu o zaštiti podataka, tvrtke koje odstupaju od smjernica snose cjelokupni teret dokazivanja.
2. Što znači 'relativna osobna referenca' u kontekstu anonimizacije?
Koncept podrazumijeva da anonimnost nije apsolutna. Je li skup podataka osobno identificirajući ovisi o sposobnosti nadležnog tijela da ponovno identificira podatke. To ovisi o tome tko obrađuje podatke i koje su dodatne informacije ili tehnička sredstva razumno dostupna tom tijelu.
3. Mogu li jednostavno ogrebati podatke s interneta za obuku umjetne inteligencije?
Samo u ograničenoj mjeri. Čak i javno dostupni podaci podliježu GDPR-u čim se prikupe ili obrade. Legitimni interes (članak 6. stavak 1. točka (f) GDPR-a) može predstavljati pravnu osnovu, ali nužno zahtijeva dokumentiranu procjenu interesa i poštivanje načela kao što su minimizacija podataka i ograničenje svrhe.
4. Koji se kriteriji moraju ispuniti da bi se podaci klasificirali kao 'anonimni'?
EDSA postavlja tri kumulativna kriterija: (1) nema izolacije (nema jedinstvene kombinacije značajki), (2) nema povezivanja (nema kombinacije s drugim izvorima) i (3) nema inferencije (nema identifikacije određene osobe). Ako su sva tri kriterija ispunjena, podaci nisu osobno identificirajući.
5. Što je scraping?
Web scraping odnosi se na automatizirano izdvajanje podataka s web-stranica pomoću specijaliziranog softvera ('crawleri' ili 'boti'). Ti se podaci zatim izdvajaju, pohranjuju i organiziraju u strukturiranom formatu – na primjer, za generiranje skupova podataka za obuku AI modela. Budući da se u ovom procesu često prikupljaju osobni podaci, cijeli je postupak podložan strogim zahtjevima GDPR-a.
Planirate li koristiti umjetnu inteligenciju ili vam je potrebna strategija podataka usklađena sa zakonom?
Kao stručnjaci za pravo zaštite podataka u Austriji, odvjetnici tvrtke ATB.LAW savjetuju tvrtke o provedbi ovih novih GDPR zahtjeva. Pregledavamo vaše postupke obrade podataka i AI cjevovode, sastavljamo ugovore o obradi podataka i štitimo vaš poslovni model od regulatornih zabrana. Molimo kontaktirajte Stefan Knotzer i Roman Taudes u bilo kojem trenutku u office@atb.law ili telefonom na 01 39 12345 za besplatne početne konzultacije.
