Reforma GDPR: Změní se definice osobního údaje?
Do médií unikla nová, kompromisní verze digitálního omnibusu, který přináší zásadní změny v digitální agendě EU. Chybí v něm původně plánovaná změna definice osobního údaje. Vyslyšela Rada EU kritiku evropských dozorových orgánů a odborné veřejnosti?
Snad největší změna v pojetí osobních údajů od jejich kodifikace. Tak popisovala většina odborné veřejnosti představení návrhu digitálního omnibusu v listopadu 2025, ve kterém Evropská komise avizovala, že chce zjednodušit a zpřehlednit část evropského digitálního regulačního rámce. Součástí návrhu totiž nebyly jen změny týkající se cookies, umělé inteligence nebo hlášení incidentů. Komise hodlala sáhnout i do samotného jádra GDPR, konkrétně do definice osobních údajů.
Právě tato část návrhu nyní zřejmě narazila na odpor členských států. Podle uniklého kompromisního návrhu Rady EU, datovaného 20. 2. 2026, mizí z textu digitálního omnibusu pasáž, která měla nově přepsat chápání osobních údajů v GDPR. Podle platformy Politico měl být dokument projednán na jednání diplomatů členských států 27. 2. 2026, výsledek však zatím není zřejmý. Dojde tedy vůbec k plánované změně v pojímání osobních údajů dle GDPR?
Z kompromisního návrhu digitálního omnibusu zmizela pozměněná definice osobního údaje
Jak měla nová definice osobních údajů vypadat?
Původní představa komise ohledně nové definice osobních údajů byla jednou z nejvýznamnějších a zároveň nejkontroverznějších částí celého návrhu. Definice osobních údajů totiž rozhodně nepředstavuje jen další článek v GDPR, který lze bez většího rozruchu přepsat. Jde o jakousi vstupní bránu k celému režimu ochrany soukromí. Pokud dle této definice určité informace už nebudou považovány za osobní údaje, přestanou se na ně vztahovat povinnosti správce a zpracovatele, práva subjektu údajů, informační povinnost, bezpečnostní pravidla i celý další právní aparát. Kritici tohoto návrhu proto upozorňovali zejména na to, že nejde o pouhé zjednodušení právní úpravy, ale také o značné oslabení ochrany osobních údajů.
Dosud se za osobní údaj považovalo vše, podle čeho bylo možné člověka identifikovat, alespoň teoreticky. V praxi proto převládal opatrný přístup: pokud nebylo jisté, že se nejedná o osobní údaj, zacházelo ses ním jako s osobním údajem. Původní návrh omnibusu měl tento přístup změnit a do značné míry zrelativizovat. Osobním údajem měl totiž nově být jen takový údaj, u něhož má konkrétní osoba zpracovávající osobní údaje reálnou a dostupnou možnost osobu identifikovat. Stejný údaj by tak mohl být osobním údajem pro jeden subjekt, zatímco pro jiný nikoliv.
To by v praxi znamenalo, že některé pseudonymizované, analytické nebo agregované údaje by mohly vypadnout způsobnosti GDPR, pokud z nich daný subjekt zpracovávající osobní údaje nedokáže rozumně určit konkrétní osobu. Komise tento přístup spojovala mimo jiné s rozsudkem Soudního dvora EU ve věci EDPS vs. Jednotný výbor pro řešení krizí (SRB) ze dne 4. 9. 2025, který upřesnil, že u pseudonymizovaných údajů je vždy potřeba posuzovat, zda je konkrétní příjemce dokáže s využitím rozumně pravděpodobně použitelných prostředků znovu přiřadit ke konkrétní osobě. Podrobněji jsme se změnám, které měl původní návrh digitálního omnibusu přinést, věnovali v článku Digitální omnibus EU = revoluce v ochraně osobních údajů? (dostupný zde).
Uniklý návrh neukládá komisi pravomoc vydávat prováděcí akty k pseudonymizaci
Stanovisko evropských orgánů
Evropské orgány, Evropský sbor pro ochranu osobních údajů (EDPB) a Evropský inspektor ochrany údajů (EDPS), vydaly 10. 2. 2026 společné stanovisko, v němž sice obecný cíl zjednodušovat a harmonizovat digitální pravidla v zásadě podpořily, ale navrženou změnu definice osobních údajů odmítly. Podle nich nejde o technickou úpravu ani prostou kodifikaci judikatury, ale o změnu, která by šla nad rámec rozhodovací praxe Soudního dvora a vedla by k výraznému zúžení samotného pojmu osobních údajů. Jejich výtka přitom spočívala zejména v tom, že definice by měla říkat, co osobní údaje jsou, nikoliv co nejsou. Negativní vymezení podle nich nepřinese objasnění, ale naopak vyšší právní nejistotu. A to je u reformy, která se prezentuje jako zjednodušující, přece jen trochu nepříjemná vada na kráse.
EDPB a EDPS zároveň odmítly i druhou navázanou novinku, totiž aby komise mohla následně prostřednictvím prováděcích aktů sama určovat, kdy údaje po pseudonymizaci přestávají být osobními údaji pro určité subjekty. Podle těchto orgánů by tím komise fakticky zasahovala do samotného rozsahu použití unijního práva na ochranu osobních údajů, což není detail, který by bylo možné bezstarostně upravovat v prováděcím předpisu. Takový prováděcí předpis by totiž nepředstavoval pouze doplnění či objasnění stanovených pojmů, ale rozhodování o tom, kde vůbec GDPR začíná a kde končí. EDPB navíc připomněl, že na tématu pseudonymizace už sám pracuje a připravuje aktualizované pokyny, které mají zohlednit jak rozsudek EDPS vs. SRB, tak širší judikaturu Soudního dvora.
Kompromis Rady EU
Výraznější obrat v debatě o tom, jak by měla nová definice osobních údajů vypadat, naznačil až uniklý kompromisní návrh Rady EU ze dne 20. 2. 2026, který výhrady EDPB a EDPS vzal zjevně vážně. Podle zveřejněných informací totiž z návrhu mizí nejen samotná nová definice osobních údajů, ale i pasáž, která měla komisi svěřit pravomoc vydávat prováděcí akty k pseudonymizaci. Místo toho kompromisní text počítá s tím, že se zohlední práce EDPB na aktualizaci jeho výkladových pokynů.
Tímto návrhem daly členské státy komisi jasně najevo, že o zjednodušení digitálních pravidel jsou připraveny jednat, nikoliv však za cenu oslabení ochrany soukromí a přepisování základních principů ochrany osobních údajů. Nejde přitom o pouhý technický detail. Definice osobních údajů rozhoduje o tom, na jaké informace se GDPR ještě použije a na jaké už nikoliv. Pokud by se tato hranice začala vykládat příliš volně, mohlo by se údajné zjednodušení v praxi proměnit v oslabení ochrany jednotlivců.
Členské státy daly komisi jasně najevo, že nechtějí přepisovat základní principy ochrany osobních údajů
Ještě není rozhodnuto
Kompromisní návrh Rady EU ovšem neznamená, že je o definici osobních údajů finálně rozhodnuto. Pořád totiž mluvíme pouze o uniklém kompromisním návrhu, nikoliv o schváleném textu. Digitální omnibus navíc obsahuje i řadu dalších změn, které budou vyvolávat debaty minimálně stejně intenzivní jako doposud – od pravidel pro AI přes cookies až po hlášení incidentů. Přesto je aktuální obrat důležitým signálem a ukazuje, že i v době, kdy se v Bruselu prakticky každá reforma opírá o posílení konkurenceschopnosti, inovací a snižování administrativní zátěže, stále existuje hranice, za kterou členské státy nejsou ochotny jít, a to zejména pokud by mělo dojít k oslabení ochrany soukromí. A právě u definice osobních údajů se zdá, že komise tuto hranici ve svém původním návrhu již překročila.
Je tedy docela možné, že nejzajímavější příběh návrhu digitálního omnibusu nebude nakonec o změnách, které komise navrhla, ale o tom, co jsou členské státy ještě ochotny tolerovat. Pro ochranu soukromí v Evropě je postoj Rady EU výrazným gestem. Ne proto, že by GDPR mělo být nedotknutelným monumentem, do něhož nelze zasáhnout, ale proto, že i reformy musí mít své mantinely. A pokud existuje část GDPR, ke které je třeba přistupovat opravdu opatrně, pak je to právě definice osobního údaje.
Komentáře