Euroopan tietosuojaneuvosto julkaisi ohjeet anonymisoinnista ja tiedonharavoinnista

Euroopan tietosuojaneuvosto on laatinut ohjeen henkilötietojen anonymisoinnista. Toinen uusi ohje koskee tiedonharavointia verkossa generatiivista tekoälyä varten. Lisäksi lohkoketjuteknologioita koskevasta ohjeesta hyväksyttiin lopullinen versio julkisen kuulemisen jälkeen.

Uusi ohje selventää anonyymien tietojen käsitettä ja auttaa arvioimaan anonymisoinnin onnistumista. Ohjeessa on otettu huomioon EU:n tuomioistuimen syyskuussa 2025 antama ratkaisu asiassa C-413/23 P (EDPS v SRB)  ja muu unionin tuomioistuimen oikeuskäytäntö. 

”Ohjeet antavat selkeät standardit, joilla helpotetaan datan käyttöä ja suojataan samalla ihmisten perusoikeuksia. Myös sidosryhmiltä on saatu arvokas panos ohjeistuksen laadintaan”, Euroopan tietosuojaneuvoston puheenjohtaja, Suomen tietosuojavaltuutettu Anu Talus sanoo. 

Tiedot ovat anonyymejä, jos ne eivät liity tunnistettavaan henkilöön. Se, voidaanko henkilö tunnistaa, voi vaihdella sen mukaan, mikä taho tietoja käsittelee. Ohjeessa täsmennetään, että tiedot voivat liittyä henkilöön sen sisällön, tarkoituksen tai vaikutuksen vuoksi. Yhteys ei siis välttämättä ole heti ilmeinen, vaan voi vaatia tarkempaa arviointia. 

Ohjeessa annetaan myös käytännönläheinen kehys, jonka avulla organisaatio voi määritellä, ovatko tiedot anonyymejä. Tunnistamista voidaan arvioida tapauskohtaisesti eri osapuolten näkökulmasta tai yksinkertaistetummin niin, että eroja ei oteta huomioon. 

Tiedon anonyymiyttä testataan kolmen kriteerin avulla. Edellytyksenä on, että tietoja ei voida eristää, linkittää yhteen muiden tietojen kanssa tai tunnistaa päättelemällä. 

Ohjeen mukaan henkilö voidaan tunnistaa, jos hänet voidaan erottaa muista tietyssä asiayhteydessä keinoilla, joita voidaan käyttää ”kohtuullisen todennäköisesti” niin, että se mahdollistaa henkilön kohtelemisen eri tavalla kuin muita. Sitä, käytetäänkö keinoja kohtuullisen todennäköisesti, riippuu kyseisen organisaation näkökulmasta ja sitä on arvioitava kaikkien ”objektiivisten tekijöiden” perusteella.

Ohjeesta voi antaa palautetta tietosuojaneuvoston verkkosivuilla 30. lokakuuta saakka: Guidelines on anonymisation (edpb.europa.eu)

Ohjeistusta tekoälykehitystä varten tehdyn tiedonharavoinnin tietosuojavaikutuksista 

Tietosuojaneuvosto selventää uudessa ohjeessa tietosuojaseikkoja, joita generatiivisen tekoälyn kehittämistä varten tehdyssä tiedonharavoinnissa tulee huomioida. Niihin kuuluvat esimerkiksi henkilötietojen käsittelyperuste ja erityisten henkilötietoryhmien käsittely.  

Tiedonharavointi on laajamittaista automaattista tietojen poimintaa verkosta, jota tehdään usein ilman, että yksilöt ovat siitä tietoisia. Se voi myös aiheuttaa merkittäviä riskejä heidän henkilötietojensa suojalle. Yleistä tietosuoja-asetusta sovelletaan tiedonharavointiin, kun siihen kuuluu henkilötietojen käsittelyä, kuten tietojen keräämistä, säilyttämistä, järjestämistä ja hakua. 

Tiedonharavoinnissa on kiinnitettävä erityistä huomiota henkilötietojen käsittelyn käyttötarkoitussidonnaisuuteen ja läpinäkyvyyteen. Tietosuojaneuvosto suosittelee tiedonharavointia vain luotettavista lähteistä. Lisäksi on suositeltavaa kirjata tietojen aikaleima ja validoida tiedot ennen niiden käyttämistä tekoälyn kouluttamisessa. Lisäksi se antaa neuvoja tietojen minimointiin.

Ohje sisältää myös selvennyksiä ja esimerkkejä oikeutetun edun käytöstä käsittelyperusteena, kun tiedonharavointia tehdään juuri tekoälykehitystä varten. Ne täydentävät tietosuojaneuvoston tekoälymalleista antamaa lausuntoa vuodelta 2024. 

Ohje on avoinna kommenteille 30. lokakuuta saakka: Guidelines on web scraping (edpb.europa.eu)

Lohkoketjuja koskevasta ohjeesta lopullinen versio 

Lohkoketjuja koskeva ohje auttaa organisaatioita käyttämään teknologioita tietosuojalainsäädännön mukaisesti. Ohjeessa selitetään, miten lohkoketjut toimivat, ja arvioidaan niiden erilaisia rakenteita sekä vaikutuksia henkilötietojen käsittelyyn. Tietosuojaneuvosto on julkaissut myös ohjeeseen liittyneen julkisen kuulemisen tulokset sekä ohjeeseen tehdyt muutokset. 

Ohje lohkoketjuteknologioista ja julkisen kuulemisen tulokset: Guidelines on processing of personal data through blockchain technologies (edpb.europa.eu)

Lisätietoja: 

​​​​​​​Euroopan tietosuojaneuvoston tiedote 8.7.2026: EDPB sheds light on anonymisation and web scraping for generative AI and adopts final version of guidelines on blockchain (edpb.europa.eu)