EDPB vydal nové pokyny k anonymizaci osobních údajů
Evropský sbor pro ochranu osobních údajů (EDPB) dne 8. července 2026 přijal k veřejné konzultaci Pokyny 2/2026 k anonymizaci osobních údajů. Veřejná konzultace probíhá do 30. října 2026. Pokyny mají vyjasnit, za jakých podmínek lze data považovat za skutečně anonymní, a tedy již nespadající do působnosti GDPR.
EDPB zdůrazňuje, že při posuzování anonymizace je nutné zohlednit konkrétní okolnosti a zejména to, zda lze dotčenou osobu identifikovat prostředky, jejichž použití lze rozumně očekávat. Významnou roli proto hrají možnosti konkrétního příjemce dat a riziko opětovné identifikace například propojením dat s dalšími dostupnými informacemi.
Nové pokyny jsou významné zejména pro společnosti využívající rozsáhlé datové soubory pro analytiku, výzkum nebo vývoj systémů umělé inteligence. Potvrzují současně, že pseudonymizovaná data nelze bez dalšího považovat za anonymní a že správné rozlišení mezi anonymizací a pseudonymizací zůstává klíčové pro určení, zda se GDPR na konkrétní data vztahuje.
EDPB se zaměřil na web scraping při vývoji generativní AI
EDPB dne 8. července 2026 přijal k veřejné konzultaci Pokyny 3/2026 k web scrapingu v kontextu generativní AI, které se zaměřují na získávání osobních údajů z veřejně dostupných internetových zdrojů zejména pro trénování a vývoj AI systémů. Veřejná konzultace probíhá do 30. října 2026.
EDPB zdůrazňuje, že veřejná dostupnost osobních údajů sama o sobě neumožňuje jejich neomezené další využití. Web scraping musí mít odpovídající právní základ a respektovat zejména zásady minimalizace, účelového omezení a transparentnosti. Pro společnosti využívající generativní AI to znamená nutnost samostatně posoudit soulad zdrojových a trénovacích dat s GDPR, vedle povinností podle AI Actu.
ÚOOÚ vydal doporučení ke kamerovým systémům ve zdravotnictví
Úřad pro ochranu osobních údajů (ÚOOÚ) dne 10. srpna 2026 zveřejnil konečné znění Doporučení č. 1/2026 ke kamerovým systémům umístěným u poskytovatelů zdravotních služeb. Doporučení doplňuje obecnou metodiku ÚOOÚ ke kamerovým systémům o specifika monitorování ve zdravotnických zařízeních.
ÚOOÚ se zaměřuje zejména na nezbytnost a přiměřenost kamerového monitorování, vhodné umístění kamer, rozsah snímaného prostoru, dobu uchování záznamů a omezení přístupu k nim. Ve zdravotnickém prostředí je navíc třeba zohlednit zvýšenou citlivost zpracovávaných údajů, protože kamerové záznamy mohou v konkrétních situacích nepřímo vypovídat také o zdravotním stavu osoby.
EDPB zveřejnil novou metodiku pro ukládání pokut za porušení GDPR
EDPB dne 17. září 2026 přijal Pokyny 4/2026 k ukládání správních pokut ve vztahu k ostatním nápravným opatřením podle GDPR. Pokyny jsou nyní předmětem veřejné konzultace do 13. listopadu 2026. Na rozdíl od dřívějších pokynů zaměřených především na výpočet výše pokuty řeší nový dokument hlavně otázku, kdy má být pokuta vůbec uložena a kdy má být kombinována s jiným nápravným opatřením.
EDPB navrhuje pětikrokový test, v rámci kterého mají dozorové úřady posoudit zejména možnost uložit za dané porušení pokutu, odpovědnost konkrétního subjektu, zavinění, závažnost a další okolnosti případu a nakonec také to, zda je pokuta účinná, přiměřená a odrazující.
Významný je zejména přístup k méně závažným porušením. U drobných porušení může postačit například napomenutí, zatímco u závažnějších porušení EDPB počítá s výrazně silnějším předpokladem, že pokuta bude odpovídajícím nástrojem. Pro společnosti to znamená větší důraz na schopnost doložit okolnosti porušení, přijatá nápravná opatření a celkovou úroveň GDPR compliance.
SDEU se vyjádřil k rozsahu zveřejňování osobních údajů ve veřejném zájmu
Soudní dvůr EU se v průběhu léta 2026 zabýval několika případy, ve kterých byly osobní údaje zveřejňovány na základě zákona a ve veřejném zájmu. V jednom z případů šlo o zveřejňování údajů o sportovcích sankcionovaných za porušení antidopingových pravidel, v dalším o veřejnou dostupnost údajů o akcionářích obchodních společností.
SDEU v těchto případech znovu zdůraznil, že ani zákonná povinnost zveřejňovat určité informace automaticky neznamená, že lze bez omezení zveřejnit všechny související osobní údaje. Vždy je nutné zohlednit zejména nezbytnost, proporcionalitu a zásadu minimalizace údajů.
Rozhodnutí mají širší význam zejména pro provozovatele veřejných rejstříků, veřejné orgány a další subjekty, které na základě právních předpisů zveřejňují osobní údaje. Je třeba vždy posoudit, zda rozsah zveřejňovaných údajů skutečně odpovídá sledovanému cíli a zda nelze stejného účelu dosáhnout méně invazivním způsobem.
EDPB přijal finální pokyny k využívání blockchainu
EDPB v červenci 2026 přijal finální pokyny ke zpracování osobních údajů prostřednictvím blockchainových technologií. Zaměřují se zejména na správné určení rolí jednotlivých subjektů, minimalizaci údajů, privacy by design, DPIA a výkon práv subjektů údajů. Praktickou výzvou zůstává zejména neměnnost údajů uložených na blockchainu, která může komplikovat výkon práva na opravu nebo výmaz.
EDPB vyjasnil vztah mezi DSA a GDPR
EDPB dne 17. září 2026 přijal finální pokyny ke vzájemnému vztahu nařízení o digitálních službách (DSA) a GDPR. Pokyny se zaměřují na situace, kdy plnění povinností podle DSA současně zahrnuje zpracování osobních údajů, typicky u online platforem.
Prakticky se dotýkají zejména online reklamy, doporučovacích systémů, profilování, transparentnosti platforem a ochrany nezletilých. EDPB zdůrazňuje, že povinnost nebo oprávnění podle DSA samo o sobě neznamená automatické splnění požadavků GDPR.
Poskytovatelé digitálních služeb proto musí i nadále samostatně posuzovat právní základ zpracování, rozsah použitých osobních údajů, transparentnost vůči uživatelům a další povinnosti podle GDPR. Pokyny tak potvrzují, že DSA a GDPR se v řadě oblastí uplatní souběžně.
Celý podzimní Digital Legal Update 2026 k přečtení zde.