Zamestnávatelia pracujú s veľkým množstvom údajov, ktoré môžu byť užitočné aj nad rámec pôvodnej agendy – napríklad pri HR reportingu, odmeňovacích analýzach, prieskumoch spokojnosti alebo vyhodnocovaní absencií. Ak tieto údaje už nie je potrebné spájať s konkrétnymi zamestnancami, prirodzenou otázkou je, či ich možno „anonymizovať“ a ďalej používať mimo režimu GDPR.
Práve tu však vzniká priestor pre omyl. Pseudonymizované údaje sú naďalej osobnými údajmi. Až úspešná anonymizácia môže viesť k tomu, že sa na údaje GDPR prestane vzťahovať. Rozlíšenie oboch situácií v roku 2026 bližšie rozpracoval aj Európsky výbor pre ochranu údajov (ďalej ako „EDPB“) v nových Guidelines 02/2026 on Anonymisation, prijatých zatiaľ vo verzii na verejnú konzultáciu.
Pseudonymizácia nie je cestou mimo GDPR
GDPR definuje pseudonymizáciu ako spracúvanie, pri ktorom už údaje nemožno priradiť konkrétnej osobe bez použitia dodatočných informácií, pričom tieto informácie sa uchovávajú oddelene a sú chránené technickými a organizačnými opatreniami.
V HR prostredí môže ísť napríklad o nahradenie priameho identifikátora zamestnanca kódom, pričom samostatne existuje informácia umožňujúca opätovne určiť, komu kód patrí. Výhodou je obmedzenie rizika neoprávnenej identifikácie, nie zmena právnej povahy údajov.
Ak teda zamestnávateľ alebo iný relevantný subjekt disponuje prostriedkami, pomocou ktorých možno údaje opäť priradiť zamestnancovi, samotná pseudonymizácia spravidla neznamená koniec uplatňovania GDPR. Na spracúvanie sa naďalej vzťahujú príslušné zásady, právny základ, informačné povinnosti, bezpečnostné požiadavky aj práva dotknutých osôb.
Kedy možno hovoriť o anonymizácii?
Podľa 26. recitálu preambuly GDPR sa pravidlá ochrany osobných údajov nevzťahujú na informácie, ktoré sa netýkajú identifikovanej alebo identifikovateľnej osoby, ani na osobné údaje anonymizované tak, že dotknutá osoba už nie je identifikovateľná. Pri posudzovaní identifikovateľnosti treba zohľadniť všetky prostriedky, pri ktorých možno rozumne predpokladať, že sa použijú, vrátane nákladov, potrebného času a dostupných technológií.
EDPB v nových usmerneniach tento test rozpracúva prostredníctvom troch kritérií: či možno z údajov izolovať záznam konkrétnej osoby, či ich možno prepojiť s ďalšími údajmi a či z nich možno odvodiť konkrétnu a významnú informáciu o osobe. Ak sú všetky tri riziká dostatočne eliminované, údaje možno bezpečne považovať za anonymné.
„Bez mena“ ešte neznamená anonymne
Pri zamestnaneckých údajoch je riziko nepriamej identifikácie obzvlášť dôležité. Nestačí preto mechanicky odstrániť meno, pracovný e-mail alebo osobné číslo.
Treba posúdiť aj ostatné atribúty a ich kombinácie. Údaj o pracovnom zaradení, organizačnom útvare, seniorite, vekovej skupine, odmene či absencii môže byť samostatne málo výpovedný, ale v kombinácii s inými informáciami môže umožniť vyčlenenie konkrétneho zamestnanca. Riziko je spravidla vyššie pri malých tímoch alebo pri neobvyklých pracovných pozíciách.
Pre zamestnávateľa je preto rozhodujúce, či možno zamestnanca v danom kontexte rozumne identifikovať, nie to, či dataset obsahuje jeho meno.
Tie isté údaje nemusia mať pre každého rovnaký status
Významný posun priniesol rozsudok Súdneho dvora EÚ vo veci C-413/23 P EDPS/SRB zo 4. septembra 2025. Súdny dvor potvrdil, že pseudonymizované údaje nemožno automaticky považovať za osobné údaje vo vzťahu ku každej osobe alebo každému príjemcovi. Za určitých okolností môže pseudonymizácia zabrániť tretej strane v identifikácii dotknutej osoby natoľko, že pre túto tretiu stranu už osoba nebude identifikovateľná.
Na tento prístup nadväzuje EDPB: anonymita sa môže posudzovať z perspektívy jednotlivých relevantných subjektov. Údaje preto môžu zostať osobnými údajmi pre zamestnávateľa, ktorý disponuje dodatočnými informáciami, a za určitých podmienok byť anonymné pre iného príjemcu, ktorý nemá prostriedky rozumne použiteľné na identifikáciu osoby. Takýto záver však vždy vyžaduje konkrétne posúdenie okolností.
Anonymizáciu treba vedieť aj preukázať
Samotný proces anonymizácie je ešte spracúvaním osobných údajov, a preto musí byť v súlade s GDPR. EDPB výslovne upozorňuje aj na potrebu transparentnosti a dokumentovania procesu vrátane testovania toho, či údajný anonymný dataset skutočne spĺňa požadované podmienky.
Posúdenie navyše nemusí byť definitívne navždy. Dostupnosť nových dátových zdrojov, technický vývoj alebo bezpečnostný incident môžu zmeniť možnosti opätovnej identifikácie. Pri dlhodobom používaní anonymizovaných HR dát je preto vhodné riziko reidentifikácie primerane prehodnocovať.
Záver
Rozdiel medzi pseudonymizáciou a anonymizáciou nie je iba technický. Pseudonymizácia môže výrazne znížiť riziká a podporiť zásadu minimalizácie údajov, ale sama osebe spravidla nevyvádza spracúvanie spod GDPR.
Ak chce zamestnávateľ používať HR dáta ako skutočne anonymné informácie, musí vedieť preukázať, že zamestnanca nemožno v relevantnom kontexte identifikovať prostriedkami, ktorých použitie možno rozumne predpokladať. Rozhodujúce teda nie je to, čo bolo z datasetu odstránené, ale čo z neho, samostatne alebo v spojení s ďalšími informáciami, ešte možno zistiť.
Kinstellar, s. r. o.
Kinstellar je popredná európska advokátska kancelária s viac ako 480 odborníkmi v Nemecku, Európe a USA. Našou hlavnou činnosťou je poskytovanie vynikajúceho, integrovaného právneho a daňového poradenstva, ktoré je odborne podložené, inovatívne a orientované na výsledok. Spolu so spoločnosťami v skupine Kinstellar vyvíjame taktiež udržateľné riešenia pre financovanie a management. Nami poskytované poradenstvo využívajú skupiny a stredné podniky, ako aj finančné inštitúcie a investori.
V dialógu s našimi mandantmi nachádzame odpovede na všetky právne aspekty ekonomického života. Náš odborný profil tak zahŕňa právo obchodných spoločností vrátane fúzii a akvizícií, súťažné, kartelové ako aj bankové právo vrátane práva kapitálového trhu a podnikového financovania. Špecializujeme sa na právo duševného vlastníctva, právo informačných technológii a telekomunikácií, právne otázky spojené s distribúciou tovaru, právne vzťahy k nehnuteľnostiam, pracovné právo, konkurzné právo, právo životného prostredia. Klientov zastupujeme pred riadnymi aj rozhodcovskými súdmi. Okrem toho ponúkame rozsiahle poradenstvo pri štruktúrovaní a financovaní investičných zámerov.
