Bryssel den 8 juli – Under sitt senaste plenarsammanträde har Europeiska dataskyddsstyrelsen antagit riktlinjer om anonymisering och riktlinjer om webbskrapning i samband med generativ AI. Dessutom har dataskyddsstyrelsen antagit den slutliga versionen av sina riktlinjer för behandling av personuppgifter med hjälp av blockkedjeteknik.

Förstå anonyma data

De nya riktlinjerna från Europeiska dataskyddsstyrelsen förtydligar begreppet anonyma uppgifter,även med beaktande av EU-domstolens dom i mål C-413/23 P, Europeiska datatillsynsmannen mot Gemensamma resolutionsnämnden, av den 4 september 2025 och annan rättspraxis från EU-domstolen.

Riktlinjerna utgör en viktig milstolpe när det gäller att klargöra begreppet anonyma uppgifter och fastställa tydliga standarder som underlättar användningen av uppgifter samtidigt som enskilda personers grundläggande rättigheter skyddas.

Vid utarbetandet av dessa riktlinjer införlivade vi värdefulla synpunkter från vårt evenemang för berörda parter, vilket än en gång visar vårt starka engagemang för en samarbetsdialog i enlighet med EDPB:s uttalande i Helsingfors.

EDPB:s ordförande, Anu Talus

Uppgifterna är anonyma om de inte avser en identifierad eller identifierbar fysisk person. Huruvida så är fallet kan variera från en enhet till en annan.

Information kan avse en enskild person på grund av dess innehåll, syfte eller effekt. Förekomsten av ett sådant samband är kanske inte omedelbart uppenbart och kan kräva ytterligare analys.

En person anses vara "identifierad eller identifierbar" om han eller hon kan särskiljas från andra i ett visst sammanhang med hjälp av medel som rimligen kan komma att användas på ett sätt som gör det möjligt att behandla honom eller henne annorlunda. Huruvida medlen med rimlig sannolikhet kommer att användas beror på den berörda enhetens perspektiv och bör bedömas mot bakgrund av alla objektiva faktorer.

Riktlinjerna ger också organisationer en praktisk ram för att avgöra om anonymiseringen är framgångsrik. Ramen kan tillämpas på två sätt: antingen genom att bedöma skillnader i kapacitet mellan dem som kan identifiera den enskilde (kontextuell strategi) eller för enkelhetens skull genom att inte beakta sådana skillnader (förenklad strategi), om en personuppgiftsansvarig väljer att göra det. Det kontextuella tillvägagångssättet återspeglar de fullständiga nyanserna i den rättsliga standarden för anonymisering. Det förenklade tillvägagångssättet kan gå utöver den rättsliga standarden och kan leda till att en anonymiserande personuppgiftsansvarig behandlar uppgifter som om de inte är anonyma även om det faktiskt skulle vara så för vissa relevanta enheter, men detta tillvägagångssätt kan vara bekvämare och ge större förtroende för att uppgifterna faktiskt är anonyma.

Ramverket använder tre kriterier för att testa om data är anonyma: 1) ingen postisolering, 2) ingen koppling , och 3) ingen slutledning. Om alla tre kriterierna är uppfyllda kan uppgifterna betraktas som anonyma. Om något av dessa kriterier inte är uppfyllt bör ytterligare analyser göras för att avgöra om uppgifterna kan anses vara anonyma.

Riktlinjerna kommer att bli föremål för offentligt samråd till och med den 30 oktober 2026, vilket ger berörda parter möjlighet att lämna synpunkter och återkoppling.

Klargöra dataskyddskonsekvenserna av webbskrapning för AI-utveckling

Webbskrapning är en storskalig automatiserad datautvinningsprocess som ofta fungerar utan att enskilda personer är medvetna om det och som kan innebära betydande risker för skyddet av deras personuppgifter. I sina riktlinjer om webbskrapning inom ramen för generativ AI* klargör dataskyddsstyrelsen olika aspekter av efterlevnaden av den allmänna dataskyddsförordningen när det gäller webbskrapning, inbegripet den rättsliga grunden för sådan verksamhet och de villkor enligt vilka särskilda kategorier av uppgifter kan behandlas i detta sammanhang.

Den allmänna dataskyddsförordningen är tillämplig på webbskrapning när den omfattar behandling av personuppgifter, såsom insamling, lagring, organisation och hämtning.

När man förlitar sig på webbskrapning måste särskild uppmärksamhet ägnas åt principen om ändamålsbegränsning och öppenhetsprincipen. Beroende på hur databehandlingen är exakt utformad kanske den personuppgiftsansvarige inte behöver informera enskilda personer personligen om detta visar sig vara omöjligt eller kräva alltför stora ansträngningar.

Dataskyddsstyrelsen rekommenderar att data endast skrapas från tillförlitliga källor, att tidsstämpeln registreras och att data valideras innan de används i AI-utbildning för att säkerställa överensstämmelse med noggrannhetsprincipen. Riktlinjerna ger också råd om åtgärder som den personuppgiftsansvarige bör vidta för att följa principen om uppgiftsminimering.

Med utgångspunkt i EDPB:s yttrande om AI-modeller innehåller riktlinjerna ytterligare förtydliganden och exempel på användningen av den rättsliga grunden för berättigat intresse i det specifika sammanhanget med webbskrapning för AI-utbildning.

Slutligen erinrar EDPB om att behandling av särskilda kategorier av personuppgifter i princip är förbjuden. Om webbskrapning omfattar sådana uppgifter krävs både en laglig grund enligt artikel 6 i GDPR och ett undantag enligt artikel 9.2 i GDPR. EDPB föreslår att domstolens dom i målet GC & m.fl. (C-136/17) kan vara relevant för tillfällig eller kvarstående insamling av särskilda kategorier av personuppgifter, förutsatt att den personuppgiftsansvarige agerar inom ramen för sitt ansvar, sina befogenheter och sin förmåga och genomför lämpliga tekniska och organisatoriska åtgärder för att förhindra insamling och spridning av sådana uppgifter. Dataskyddsstyrelsen betonar att det inte finns något allmänt undantag från kraven i artikel 9 i dataskyddsförordningen och att varje fall måste bedömas individuellt för att avgöra om domstolens resonemang är tillämpligt.

Riktlinjerna kommer att vara föremål för offentligt samråd till och med den 30 oktober 2026, vilket ger berörda parter möjlighet att lämna synpunkter och lämna synpunkter.

Riktlinjer för blockkedjor färdigställda efter offentligt samråd

Efter ett offentligt samråd har Europeiska dataskyddsstyrelsen antagit den slutliga versionen av sina riktlinjer om blockkedjeteknik. Riktlinjerna hjälper organisationer som använder blockkedjeteknik att följa GDPR. Europeiska dataskyddsstyrelsen förklarar hur blockkedjor fungerar och bedömer de olika möjliga arkitekturerna och deras konsekvenser för behandlingen av personuppgifter.

I linje med Helsingforsuttalandets mål att stärka dialogen med berörda parter har styrelsen också offentliggjort en rapport om resultatet av det särskilda offentliga samrådet samt en version av riktlinjerna för att spåra ändringar.

Anmärkning till redaktörer: 
*Generativ AI är en teknik som syftar till att skapa nytt innehåll genom att lära sig mönster från befintliga data. Den använder specialiserade maskininlärningsmodeller som är utformade för att producera ett brett och allmänt utbud av utgångar som text, bild eller ljud.

Detta är en automatisk översättning och kan innehålla fel. Den ersätter inte den officiella engelska versionen.