Co znamená rozsudek Soudního dvora EU o pseudonymizaci, když používáte AI na osobní údaje?

GDPR a AINaposledy aktualizováno 21. října 20265 min čtení

Krátká odpověď

Ve věci C-413/23 P (EDPS v. SRB, 4. září 2025) Soudní dvůr EU rozhodl, že pseudonymizované údaje nejsou v každém případě osobními údaji pro toho, kdo je přijímá. Záleží na tom, zda příjemce může reálně zjistit, kdo to je. Pro vás, kteří máte klíč, jsou údaje stále osobními údaji a stále musíte informovat subjekty údajů, že například služba AI jejich údaje dostává. Rozsudek zvyšuje hodnotu pseudonymizace – ale jen pokud je důkladná, i ve volném textu.

O čem věc byla?

Španělská banka Banco Popular prošla v roce 2017 řešením krize. Jednotná rada pro řešení krizí (Single Resolution Board, SRB), orgán EU pro řešení krizí, pak požádala akcionáře a věřitele o vyjádření. SRB nahradila jména kódy a vyjádření poslala auditorské firmě. Klíč, který propojuje kódy s osobami, si SRB ponechala.

Někteří z dotčených si stěžovali: nebylo jim řečeno, že auditorská firma jejich vyjádření dostane. Evropský inspektor ochrany údajů (EDPS) jim dal za pravdu. Věc skončila u Soudního dvora EU, který rozhodl 4. září 2025.

Co řekl Soudní dvůr?

Pro vás, kteří chcete používat AI, jsou důležité tři věci:

Vyjádření a posudky jsou osobní údaje. Text, ve kterém člověk vyjadřuje svůj názor, se týká toho člověka – i když je jméno nahrazeno kódem.
To, zda jsou údaje osobními údaji, závisí na tom, kdo je má. Pro SRB, která měla klíč, byla vyjádření osobními údaji. Pro auditorskou firmu možná nebyla – pokud firma reálně nemohla zjistit, kdo co napsal, ani s klíčem, ani jinak.
Informační povinnost platí dál. SRB měla lidem říct, že auditorská firma jejich údaje dostane. Nezávisí to na tom, zda jsou údaje osobními údaji pro příjemce.

Soudní dvůr tak odmítl myšlenku, že pseudonymizované údaje jsou vždy a pro všechny osobními údaji. Řekl ale také, že pseudonymizace sama o sobě nestačí: ochrana musí příjemci skutečně zabránit v tom, aby osoby našel.

Co to znamená, když vaše AI čte osobní údaje?

Představte si svou službu AI jako auditorskou firmu z případu. Pošlete-li AI pseudonymizované životopisy nebo osobní spisy a dodavatel AI reálně nemůže zjistit, o koho jde, mohou údaje u dodavatele spadat mimo GDPR. Předání a výběr dodavatele tak jsou méně rizikové.

Tři věci ale rozsudek nemění:

Pro vás jsou to stále osobní údaje. Potřebujete právní základ a vaše vlastní zpracování podléhá GDPR.
Stále musíte informovat. Zaměstnanci a uchazeči musí vědět, že služba AI o nich dostává údaje. Viz informační povinnost při používání AI.
Musí být reálně nemožné osobu najít. Právě tady většina selhává.

Těžký je volný text

Jméno se odstraňuje snadno. Hůř se to dělá se vším ostatním: „naše jediná vývojářka v brněnské pobočce, která je po operaci kolena na neschopence“. Jméno je pryč, ale kombinace ukazuje na jednoho člověka. Dodavatel AI – nebo někdo, kdo získá přístup k jeho datům – ji možná dokáže najít vyhledáváním.

Proto důkladná pseudonymizace musí také:

zobecnit města, věk a data (region, věková skupina, interval),
skrýt nebo zobecnit slova o zdraví, odborech, náboženství a trestech,
ověřit, zda není někdo jediný s kombinací například oddělení, funkce a délky praxe.

Rozdíl vysvětluje článek pseudonymizace, nebo anonymizace.

Jak pomáhá GoalCube

GoalCube pseudonymizuje vaše údaje v EU, než je dostane vaše AI, a skutečná jména zůstávají u GoalCube. Kromě jmen, e-mailů a čísel GoalCube ve volném textu mění města na regiony a označuje slova, která mohou ukazovat na člověka, například o zdraví nebo „jediný …“. U každého slova si vyberete, zda zůstane, zobecní se, nebo skryje, a než uložíte, vidíte, co AI dostane. U tabulek o lidech GoalCube ukazuje, kdo vybočuje.

GoalCube je nástroj, ne právní poradenství. Označování slov platí pro text v dánštině, angličtině, němčině, francouzštině, nizozemštině, italštině, španělštině, švédštině, finštině, polštině, portugalštině a češtině. Vychází ze seznamů a vzorů a může něco přehlédnout, takže si sami zkontrolujte, co AI uvidí.

Jak na to

Pseudonymizujte, než údaje opustí vaši firmu.Jména, čísla a e-maily se změní na kódy a klíč zůstane v EU.
Odstraňte to, co nepřímo ukazuje na člověka.Město, zdraví, jedinečná funkce nebo „jediná zaměstnankyně“ mohou prozradit víc než jméno.
Omezte, co smí dodavatel AI.Použijte firemní smlouvu, podle které se vaše údaje nepoužívají k trénování a dodavatel se nesmí pokoušet osoby rozpoznat.
Informujte subjekty údajů.Napište do zásad zpracování osobních údajů, že služba AI dostává pseudonymizované údaje.
Zdokumentujte posouzení.Stručně zapište, proč příjemce osoby reálně nemůže najít.

Co říká zákon

Soudní dvůr EU, věc C-413/23 P (EDPS v. SRB), 4. září 2025: Zda jsou pseudonymizované údaje osobními údaji pro příjemce, závisí na tom, zda může příjemce osoby reálně identifikovat.
GDPR, čl. 4 bod 5 – pseudonymizace: Údaje, které nelze přiřadit konkrétní osobě bez dodatečných informací uchovávaných odděleně.
GDPR, bod odůvodnění 26: Je třeba zohlednit všechny prostředky, jejichž použití k identifikaci osoby lze rozumně očekávat.
GDPR, čl. 13 a 14 – informační povinnost: Subjekty údajů musí vědět, kdo jejich údaje dostává.

Otázky a odpovědi

Znamená rozsudek, že smíme pseudonymizované údaje libovolně posílat AI?

Ne. Pro vás jsou údaje stále osobními údaji, takže potřebujete právní základ, musíte informovat subjekty údajů a mít pořádek v předávání. Rozsudek může znamenat, že údaje nejsou osobními údaji pro dodavatele AI – pokud dodavatel osoby reálně nemůže najít.

Je po rozsudku pseudonymizace totéž co anonymizace?

Ne. Údaje jsou anonymní jen tehdy, když nikdo – ani vy – nemůže osobu znovu najít. Pseudonymizované údaje jsou pro toho, kdo má klíč, stále osobními údaji.

Kdy může dodavatel AI osobu přesto najít?

Pokud text obsahuje dost nepřímých informací, například město, vzácnou funkci, nemoc a datum. Proto nestačí odstranit jména a čísla.

Co říkají dozorové úřady?

Evropský sbor pro ochranu osobních údajů (EDPB) přijal pokyny k pseudonymizaci. Zaujímal přísnější linii než Soudní dvůr, takže sledujte, jak úřady rozsudek používají.

Co dělá GoalCube?

GoalCube pseudonymizuje v EU, než vaše AI dostane údaje. GoalCube najde jména, e-maily a čísla, změní města na regiony a označí slova například o zdraví a odborech, takže si sami vyberete, co AI uvidí. Označování platí pro text v dánštině, angličtině, němčině, francouzštině, nizozemštině, italštině, španělštině, švédštině, finštině, polštině, portugalštině a češtině, vychází ze seznamů a vzorů a může něco přehlédnout.

Zdroje

Autor Redakce GoalCube. Naposledy aktualizováno 21. října 2026. GoalCube vám pomáhá dodržovat AI Act a GDPR. Nejde o právní poradenství.

Buďte mezi prvními.

Spuštění očekáváme v listopadu 2026. Zapište se a ozveme se vám, až budete moci začít.