Hrvaška: Anonimizacija in psevdonomizacija
Hrvaški nadzorni organ je objavil novo mnenje, ki temelji na sodbi Sodišča Evropske unije v zadevi C-413/23 EDPS proti SRB ter osnutku Smernic EDPB 02/2026 o anonimizaciji.
Mnenje je bilo objavljeno 30. 7. 2026.
V praksi se pogosto zastavlja vprašanje, ali psevdonimizirani podatki prenehajo biti osebni podatki, kadar prejemnik nima dostopa do ključa ali drugih informacij, ki omogočajo ponovno identifikacijo posameznikov. Hrvaški nadzorni organ odgovarja, da je treba na to vprašanje gledati bistveno širše.
Ključno sporočilo mnenja je, da psevdonimizacija sama po sebi ne spremeni narave podatkov. Če upravljavec osebnih podatkov še vedno lahko ponovno identificira posameznike, podatki zanj ostajajo osebni podatki. Posledično se tudi pri pogodbenem obdelovalcu, ki te podatke obdeluje v imenu upravljavca, še naprej uporabljajo pravila iz člena 28 GDPR, četudi sam nima možnosti ponovne identifikacije.
Nadzorni organ poudarja, da je treba pri obdelavi v imenu upravljavca vprašanje, ali gre za osebne podatke, presojati z vidika upravljavca. Zato zgolj dejstvo, da pogodbeni obdelovalec nima dostopa do dodatnih informacij ali algoritmov za ponovno identifikacijo, ne pomeni, da ne obdeluje osebnih podatkov in da ne veljajo določbe Splošne uredbe.
Enako stališče velja tudi za podobdelovalce. Če podobdelovalec obdeluje psevdonimizirane podatke kot del storitve, ki jo pogodbeni obdelovalec izvaja za upravljavca, ostajajo obveznosti iz člena 28 GDPR nespremenjene. Psevdonimizacija lahko pomembno zmanjša tveganja in predstavlja učinkovit varnostni ukrep, ne more pa sama po sebi spremeniti pravne narave razmerja med udeleženci obdelave.
Mnenje vsebuje tudi pojasnila glede mednarodnih prenosov osebnih podatkov. Če upravljavec ohrani možnost ponovne identifikacije, gre tudi pri prenosu psevdonimiziranih podatkov pogodbenemu obdelovalcu v tretjo državo še vedno za prenos osebnih podatkov po poglavju V GDPR, zato morajo biti izpolnjeni vsi pogoji za zakonit prenos.
Čeprav mnenje ni pravno zavezujoče, predstavlja pomembno razlago, ki potrjuje usmeritev EDPB, da psevdonimizacija pomembno prispeva k varnejši obdelavi osebnih podatkov, vendar sama po sebi ne pomeni anonimizacije in ne odpravi obveznosti, ki jih GDPR nalaga upravljavcem, pogodbenim obdelovalcem in podobdelovalcem.
Celotno mnenje je dostopno tukaj.
Vir: azop.hr
Naslovna fotografija: ustvarjena z UI
