Bruksela, 8 lipca – Na ostatnim posiedzeniu plenarnym EROD przyjęła wytyczne dotyczące anonimizacji i wytyczne dotyczące skrobania stron internetowych w kontekście generatywnej sztucznej inteligencji. Ponadto Rada przyjęła ostateczną wersję swoich wytycznych dotyczących przetwarzania danych osobowych za pomocą technologii blockchain.

Zrozumienie anonimowych danych

Nowe wytyczne EROD wyjaśniają pojęcie danych anonimowych, biorąc również pod uwagę wyrok Trybunału Sprawiedliwości UE w sprawie C-413/23 P EIOD przeciwko SRB z dnia 4 września 2025 r. oraz inne orzecznictwo TSUE.

Wytyczne stanowią ważny krok w kierunku wyjaśnienia pojęcia anonimowych danych i ustanowienia jasnych standardów ułatwiających korzystanie z danych przy jednoczesnej ochronie praw podstawowych osób fizycznych.

Opracowując te wytyczne, włączyliśmy cenny wkład z naszego wydarzenia z udziałem zainteresowanych stron, co po raz kolejny pokazuje nasze silne zaangażowanie na rzecz dialogu opartego na współpracy, zgodnie z oświadczeniem EROD z Helsinek.

Przewodnicząca EROD Anu Talus

Dane są anonimowe, jeżeli nie odnoszą się do zidentyfikowanej lub możliwej do zidentyfikowania osoby fizycznej. To, czy tak jest, może różnić się w zależności od podmiotu.

Informacje mogą odnosić się do danej osoby ze względu na ich treść, cel lub skutek. Istnienie takiego związku może nie być od razu oczywiste i może wymagać dalszej analizy.

Daną osobę uznaje się za „zidentyfikowaną lub możliwą do zidentyfikowania”, jeżeli można ją odróżnić od innych osób w określonym kontekście za pomocą środków, co do których istnieje uzasadnione prawdopodobieństwo, że zostaną wykorzystane w sposób umożliwiający ich odmienne traktowanie. To, czy istnieje uzasadnione prawdopodobieństwo, że środki zostaną wykorzystane, będzie zależało od perspektywy danego podmiotu i powinno zostać ocenione w świetle wszystkich obiektywnych czynników.

Wytyczne zapewniają również praktyczne ramy dla organizacji w celu ustalenia, czy anonimizacja jest skuteczna. Ramy te można stosować na dwa sposoby: albo poprzez ocenę różnic w zdolnościach między osobami, które mogą zidentyfikować daną osobę („podejście kontekstowe”), albo dla uproszczenia poprzez nieuwzględnianie takich różnic („podejście uproszczone”), jeżeli administrator zdecyduje się to zrobić.Podejście kontekstowe odzwierciedla pełne niuanse normy prawnej dotyczącej anonimizacji. Uproszczone podejście może wykraczać poza standard prawny i może prowadzić do tego, że administrator anonimizujący będzie traktował dane tak, jakby nie były anonimowe, nawet jeśli w rzeczywistości byłoby tak w przypadku niektórych odpowiednich podmiotów, ale podejście to może być wygodniejsze i zapewniać większą pewność, że dane są faktycznie anonimowe.

Ramy wykorzystują 3 kryteria, aby sprawdzić, czy dane są anonimowe: 1) brak izolacji zapisu, 2) brak powiązania , oraz 3) brak wnioskowania. Jeżeli wszystkie trzy kryteria są spełnione, dane można bezpiecznie uznać za anonimowe. Jeżeli którekolwiek z tych kryteriów nie jest spełnione, należy przeprowadzić dalszą analizę w celu ustalenia, czy dane można uznać za anonimowe.

Wytyczne będą przedmiotem konsultacji publicznych do dnia 30 października 2026 r., zapewniając zainteresowanym stronom możliwość przedstawienia uwag i informacji zwrotnych.

Wyjaśnienie wpływu skrobania stron internetowych na ochronę danych na potrzeby rozwoju sztucznej inteligencji

Skrobanie stron internetowych to zautomatyzowany proces ekstrakcji danych na dużą skalę, który często działa bez wiedzy osób fizycznych i który może stwarzać znaczne ryzyko dla ochrony ich danych osobowych. W swoich wytycznych dotyczących skrobania stron internetowych w kontekście generatywnej sztucznej inteligencji* Rada wyjaśnia różne aspekty zgodności skrobania stron internetowych z RODO, w tym podstawę prawną takich działań oraz warunki przetwarzania w tym kontekście szczególnych kategorii danych.

RODO ma zastosowanie do skrobania stron internetowych, jeżeli obejmuje ono operacje przetwarzania danych osobowych, takie jak gromadzenie,przechowywanie, organizowanie i pobieranie. 

Opierając się na skrobaniu stron internetowych, należy zwrócić szczególną uwagę na zasadę ograniczenia celu oraz zasadę przejrzystości. Jednak w zależności od tego, w jaki sposób przetwarzanie danych jest precyzyjnie zaprojektowane, administrator może nie być zobowiązany do osobistego informowania osób fizycznych, jeżeli okaże się to niemożliwe lub będzie wymagało nadmiernego wysiłku.

EROD zaleca pozyskiwanie danych wyłącznie z wiarygodnych źródeł, rejestrowanie znacznika czasu i walidację danych przed wykorzystaniem ich w szkoleniu w zakresie sztucznej inteligencji, aby zapewnić zgodność z zasadą dokładności. Wytyczne zawierają również zalecenia dotyczące środków, które administrator powinien wdrożyć w celu przestrzegania zasady minimalizacji danych.

Opierając się na opinii EROD w sprawie modeli sztucznej inteligencji, wytyczne zawierają dalsze wyjaśnienia i przykłady dotyczące stosowania podstawy prawnej uzasadnionego interesu w szczególnym kontekście skrobania stron internetowych do celów szkolenia w zakresie sztucznej inteligencji.

Ponadto EROD przypomina, że przetwarzanie szczególnych kategorii danych osobowych jest co do zasady zabronione. Jeżeli web scraping obejmuje takie dane, wymagana jest zarówno podstawa prawna na podstawie art. 6 RODO, jak i wyjątek na podstawie art. 9 ust. 2 RODO. EROD sugeruje, że orzeczenie Trybunału w sprawie GC & Others (C-136/17) może mieć znaczenie dla przypadkowego lub szczątkowego gromadzenia szczególnych kategorii danych osobowych, pod warunkiem że administrator działa w ramach swoich obowiązków, uprawnień i zdolności oraz wdraża odpowiednie środki techniczne i organizacyjne, aby zapobiec gromadzeniu i rozpowszechnianiu takich danych. Rada podkreśla, że nie istnieje ogólne zwolnienie z wymogów art. 9 RODO i każda sprawa musi być oceniana indywidualnie w celu ustalenia, czy rozumowanie Trybunału ma zastosowanie.

Wytyczne będą przedmiotem konsultacji publicznych do dnia 30 października 2026 r., co umożliwi zainteresowanym stronom przedstawienie uwag i informacji zwrotnych.

Wytyczne dotyczące łańcucha bloków sfinalizowane po konsultacjach publicznych

Po konsultacjach publicznych EROD przyjęła ostateczną wersję swoich wytycznych dotyczących technologii blockchain. Wytyczne pomagają organizacjom wykorzystującym technologie blockchain w przestrzeganiu RODO. EROD wyjaśnia, jak działają łańcuchy bloków, oceniając różne możliwe architektury i ich implikacje dla przetwarzania danych osobowych.

Zgodnie z celem oświadczenia z Helsinek, jakim jest wzmocnienie dialogu z zainteresowanymi stronami, Rada opublikowała również sprawozdanie z wyników specjalnych konsultacji publicznych, a także wersję wytycznych dotyczącą śledzenia zmian.

Uwaga dla redaktorów: 
*Generatywna AI to technologia mająca na celu tworzenie nowych treści poprzez uczenie się wzorców z istniejących danych. Wykorzystuje specjalistyczne modele uczenia maszynowego zaprojektowane do wytwarzania szerokiej i ogólnej różnorodności wyjść, takich jak tekst, obraz lub dźwięk.

Jest to tłumaczenie automatyczne i może zawierać błędy. Nie zastępuje ono oficjalnej wersji angielskiej.