EROD porządkuje zasady anonimizacji, web scrapingu i wykorzystania blockchain
Europejska Rada Ochrony Danych (EROD) podczas posiedzenia 7 lipca 2026 r. przyjęła trzy dokumenty istotne dla podmiotów rozwijających rozwiązania oparte na danych, generatywnej sztucznej inteligencji oraz technologii blockchain. Wytyczne 02/2026 w sprawie anonimizacji i Wytyczne 03/2026 w sprawie web scrapingu zostały skierowane do konsultacji publicznych do 30 października 2026 r. Jednocześnie EROD przyjęła ostateczną wersję Wytycznych 02/2025, dotyczących przetwarzania danych osobowych za pomocą technologii blockchain.
W obszarze anonimizacji EROD akcentuje, że ocena statusu danych zależy od perspektywy konkretnego podmiotu oraz dostępnych mu środków identyfikacji. Dane mogą być anonimowe dla jednego odbiorcy, a jednocześnie pozostawać danymi osobowymi dla podmiotu posiadającego informacje uzupełniające. Skuteczność anonimizacji ma być oceniana z uwzględnieniem możliwości wyodrębnienia rekordu, powiązania informacji dotyczących tej samej osoby oraz wnioskowania o nowych cechach lub okolicznościach. Niespełnienie któregokolwiek z tych kryteriów wymaga pogłębionej i udokumentowanej analizy ryzyka reidentyfikacji.
Wytyczne dotyczące web scrapingu wskazują natomiast warunki, na jakich pozyskiwanie danych z internetu na potrzeby generatywnej sztucznej inteligencji może opierać się na prawnie uzasadnionym interesie. Administrator powinien wykazać konkretny cel, niezbędność przetwarzania oraz zachowanie równowagi między własnym interesem a prawami osób fizycznych. Publiczna dostępność danych nie oznacza zgody na ich wykorzystanie do trenowania modeli. Znaczenie mają również techniczne sygnały ograniczające pobieranie danych, w tym pliki robots.txt, ai.txt oraz zabezpieczenia CAPTCHA. EROD wymaga ponadto stosowania filtrów ograniczających pozyskiwanie danych wrażliwych, wdrożenia środków zastępczych wobec indywidualnego obowiązku informacyjnego oraz zabezpieczeń ograniczających generowanie danych osobowych przez model.
Ostateczne wytyczne dotyczące blockchain potwierdzają, że niezmienność rejestru nie zwalnia z obowiązków wynikających z RODO. Dane osobowe powinny być przechowywane off-chain, pod kontrolą administratora, natomiast w warstwie on-chain mogą znajdować się jedynie odpowiednio zaprojektowane dowody istnienia lub referencje kryptograficzne. Szyfrowanie i haszowanie nie prowadzą automatycznie do anonimizacji. EROD preferuje również prywatne blockchainy z uprawnieniami, w których możliwe jest przypisanie ról i odpowiedzialności uczestników.
Autor: radca prawny Michał Barwicki