Objavljeno: 30.7.2026.
Agencija za zaštitu osobnih podataka zaprimila je Vaš zahtjev u kojem tražite mišljenje o pravnim učincima pseudonimizacije u odnosu voditelj obrade – izvršitelj obrade te izvršitelj obrade – podizvršitelj obrade, osobito u svjetlu presude Suda Europske unije u predmetu C-413/23 P, EDPS protiv SRB, i Smjernica 02/2026 Europskog odbora za zaštitu podataka o anonimizaciji. Iz zahtjeva proizlazi da voditelj obrade, odnosno izvršitelj obrade u drugom scenariju, zadržava mogućnost reidentifikacije, dok primatelj podataka ne raspolaže algoritmom, ključem ni drugim sredstvima za povezivanje pseudonimiziranih podataka s konkretnim ispitanicima.
U nastavku se daje načelno mišljenje, polazeći isključivo od opisanih hipotetskih okolnosti. Konačna ocjena u konkretnom slučaju ovisila bi o stvarnoj naravi podataka, svrsi i načinu obrade, ugovornom uređenju odnosa, tehničkim i organizacijskim mjerama, mogućnosti povezivanja s drugim skupovima podataka, dostupnosti dodatnih informacija te cjelokupnom kontekstu obrade.
Prema Općoj uredbi o zaštiti podataka, osobni podaci su sve informacije koje se odnose na identificiranog ili pojedinca koji se može identificirati, dok je pseudonimizacija obrada osobnih podataka na način da se oni više ne mogu pripisati konkretnom ispitaniku bez uporabe dodatnih informacija, pod uvjetom da se te dodatne informacije čuvaju odvojeno i da su poduzete odgovarajuće tehničke i organizacijske mjere. Sama pseudonimizacija stoga nije istovjetna anonimizaciji.
Uvodna izjava 26. Opće uredbe nalaže da se pri ocjeni može li se pojedinac identificirati uzmu u obzir sva sredstva za koja je razumno vjerojatno da će ih upotrijebiti voditelj obrade ili druga osoba, uključujući trošak, vrijeme, dostupnu tehnologiju i tehnološki razvoj. Na anonimne informacije, odnosno informacije koje se ne odnose na identificiranog ili pojedinca koji se može identificirati, Opća uredba se ne primjenjuje.
Europski odbor za zaštitu podataka (dalje u tekstu: EDPB) u Smjernicama 02/2026 o anonimizaciji koje su predmet javnog savjetovanja do 30. listopada 2026., potvrđuje da podaci mogu biti anonimni za neke subjekte, a za druge ne, pri čemu se anonimnost u pravilu procjenjuje iz perspektive relevantnog subjekta. Međutim, EDPB istodobno izričito naglašava da se, kada subjekt obrađuje informacije u ime drugog subjekta, pitanje jesu li podaci osobni za tog subjekta procjenjuje prema perspektivi voditelja obrade. Ako su podaci osobni za voditelja obrade, trebaju se smatrati osobnim podacima i za izvršitelja obrade te izvršitelj podliježe obvezama iz Opće uredbe.
Mogu li se podaci smatrati anonimnima iz perspektive izvršitelja obrade?
Polazeći od opisanog odnosa voditelj obrade – izvršitelj obrade, Agencija smatra da se pseudonimizirani podaci koje voditelj dostavlja izvršitelju, a koje voditelj i dalje može povezati s konkretnim ispitanicima, u pravilu ne mogu smatrati anonimnima za potrebe odnosa iz članka 28. Opće uredbe o zaštiti podataka.
Presuda Suda Europske unije u predmetu C-413/23 P potvrđuje da pseudonimizirani podaci ne moraju u svakom slučaju i za svaku osobu predstavljati osobne podatke, ako pseudonimizacija, ovisno o okolnostima, stvarno sprječava osobe različite od voditelja da identificiraju ispitanika. Međutim, Sud je također naglasio da relevantna perspektiva ovisi o okolnostima i konkretnoj obvezi koja se primjenjuje, a EDPB je za odnos obrade u ime voditelja dodatno razjasnio da se primjenjuje perspektiva voditelja obrade.
Slijedom navedenoga, činjenica da izvršitelj nema ključ, algoritam ili druge dodatne informacije može biti vrlo važna za procjenu rizika, sigurnosti obrade, načela smanjenja količine podataka i primjenu tehničkih i organizacijskih mjera, ali sama po sebi ne uklanja primjenu članka 28. Opće uredbe kada izvršitelj i dalje obrađuje podatke u ime i prema uputama voditelja obrade.
Kriteriji za prihvaćanje zaključka o anonimnosti
Zaključak da su podaci anonimni za određenog primatelja može se prihvatiti samo nakon dokumentirane, konkretne i cjelovite procjene. U kontekstu odnosa voditelj – izvršitelj, prvi i odlučujući korak jest utvrditi je li primatelj doista izvršitelj obrade, odnosno obrađuje li podatke u ime voditelja. Ako je odgovor potvrdan, prema EDPB-u se primjenjuje perspektiva voditelja, pa sama nemogućnost izvršitelja da izvrši reidentifikaciju ne dovodi do zaključka da izvršitelj obrađuje anonimne podatke.
U slučajevima u kojima primatelj ne obrađuje podatke u ime voditelja, nego nastupa samostalno, moguća je primjena kontekstualnog pristupa. Tada je potrebno procijeniti postoje li sredstva za koja je razumno vjerojatno da će biti upotrijebljena za identifikaciju, uključujući dobivanje dodatnih informacija, korištenje metoda pod kontrolom drugih osoba ili stavljanje podataka na raspolaganje drugim subjektima koji imaju sredstva za identifikaciju. Pritom nije potrebno da vjerojatnost identifikacije bude nula, ali mora biti beznačajna u stvarnosti.
EDPB kao tehnički okvir navodi tri kriterija: No Record Isolation, No Linkage i No Inference, odnosno nepostojanje mogućnosti izdvajanja pojedinačnog zapisa, povezivanja zapisa s drugim informacijama i izvođenja specifičnih i značajnih zaključaka o pojedincu. Ako su sva tri kriterija zadovoljena, podaci se mogu smatrati anonimnima; ako jedan ili više kriterija nisu zadovoljeni, potrebna je dodatna analiza.
U praktičnom smislu, relevantni su najmanje sljedeći elementi: nepostojanje pristupa ključu ili algoritmu, odvojenost i zaštita dodatnih informacija, zabrana i tehnička onemogućenost spajanja s drugim skupovima podataka, ograničenja daljnjeg prijenosa, kontrola pristupa, revizijski tragovi, zabrana pokušaja reidentifikacije, procjena vanjskih izvora i javno dostupnih podataka, procjena rizika curenja podataka, te periodična ponovna procjena s obzirom na tehnološki razvoj. EDPB pritom naglašava da tehničke, organizacijske i ugovorne mjere mogu ograničiti pristup, ali same po sebi nisu dovoljne za zaključak o anonimnosti bez stvarne procjene mogućnosti reidentifikacije.
Utjecaj na odnos iz članka 28. Opće uredbe o zaštiti podataka
U opisanom scenariju voditelj obrade zadržava mogućnost reidentifikacije i povezivanja rezultata obrade s konkretnim ispitanicima. Stoga podaci za voditelja ostaju osobni, odnosno pseudonimizirani osobni podaci. Ako izvršitelj obrađuje te podatke u ime voditelja, članak 28. Opće uredbe i dalje se primjenjuje.
Članak 28. stavak 3. propisuje da obrada od strane izvršitelja mora biti uređena ugovorom ili drugim pravnim aktom koji obvezuje izvršitelja prema voditelju i kojim se uređuju predmet, trajanje, narav i svrha obrade, vrste osobnih podataka, kategorije ispitanika te obveze i prava voditelja.
Slijedom toga, voditelj i izvršitelj u opisanom scenariju trebaju sklopiti ugovor o obradi osobnih podataka u smislu članka 28. stavka 3. Opće uredbe. Pseudonimizacija može i treba biti ugrađena u taj ugovor kao sigurnosna i organizacijska mjera, ali ne zamjenjuje ugovor o obradi niti mijenja kvalifikaciju odnosa kada izvršitelj postupa u ime voditelja.
Drukčiji bi zaključak bio moguć samo ako bi se utvrdilo da primatelj ne obrađuje podatke u ime voditelja, da samostalno određuje svrhe i sredstva obrade, da se podaci ne vraćaju voditelju niti se rezultati mogu povezati s ispitanicima, te da su podaci za tog primatelja doista anonimni u smislu Opće uredbe. U tom slučaju primatelj ne bi bio izvršitelj obrade u smislu članka 4. točke 8. Opće uredbe, nego bi se radilo o drugom pravnom odnosu.
Obveze izvršitelja ako nema mogućnost reidentifikacije
Ako je subjekt izvršitelj obrade u smislu članka 4. točke 8. Opće uredbe, obveze iz članka 28. i dalje ga obvezuju, ali se njihov praktični opseg primjenjuje uzimajući u obzir narav obrade i informacije koje su izvršitelju dostupne.
To osobito znači da izvršitelj mora obrađivati podatke samo prema dokumentiranim uputama voditelja, osigurati povjerljivost osoba ovlaštenih za obradu, provoditi mjere sigurnosti iz članka 32., poštovati uvjete za angažiranje podizvršitelja, pomagati voditelju u ispunjavanju prava ispitanika u mjeri u kojoj je to moguće, pomagati u ispunjavanju obveza sigurnosti, procjene učinka i prethodnog savjetovanja, te po završetku pružanja usluge vratiti ili izbrisati podatke i omogućiti provjeru usklađenosti.
Ako izvršitelj ne može identificirati ispitanika, od njega se ne može očekivati da samostalno postupa po zahtjevu ispitanika na način koji pretpostavlja identifikaciju. Međutim, može biti obvezan omogućiti voditelju da po njegovoj uputi pronađe, izdvoji, ograniči, izbriše ili vrati pseudonimizirane zapise ako voditelj raspolaže ključem ili drugim sredstvima za povezivanje. Izvršitelj također ne smije pokušavati reidentifikaciju, spajati podatke s drugim skupovima podataka ili odstupiti od uputa voditelja, osim ako za to postoji pravna obveza.
Prijenos izvršitelju u treću zemlju i standardne ugovorne klauzule
U opisanom scenariju, ako se podaci dostavljaju izvršitelju obrade u trećoj zemlji, a voditelj zadržava mogućnost reidentifikacije i izvršitelj obrađuje podatke u ime voditelja, radi se o prijenosu osobnih podataka u smislu poglavlja V. Opće uredbe.
Članak 44. propisuje da se svaki prijenos osobnih podataka koji se obrađuju ili su namijenjeni obradi nakon prijenosa u treću zemlju može provesti samo ako su ispunjeni uvjeti iz poglavlja V. Opće uredbe. Ako ne postoji odluka o primjerenosti iz članka 45., prijenos je dopušten samo uz odgovarajuće zaštitne mjere, pri čemu članak 46. među takvim mjerama navodi standardne klauzule o zaštiti podataka koje je donijela Europska komisija. Europska komisija također navodi da se standardne ugovorne klauzule koriste kao mehanizam prijenosa za prijenose iz EU/EGP-a prema subjektima u trećim zemljama.
Stoga bi u opisanom scenariju, ako ne postoji odluka o primjerenosti ni drugi primjenjiv mehanizam iz poglavlja V., voditelj i izvršitelj trebali osigurati odgovarajući mehanizam prijenosa, u pravilu standardne ugovorne klauzule, uz sve dodatne procjene i mjere koje proizlaze iz važeće prakse o prijenosima u treće zemlje.
Samo ako bi podaci prije prijenosa bili stvarno anonimni za sve relevantne perspektive, odnosno ako se više ne bi radilo o osobnim podacima, poglavlje V. Opće uredbe ne bi se primjenjivalo. Međutim, to nije zaključak koji proizlazi iz opisanog odnosa voditelj – izvršitelj u kojem voditelj zadržava mogućnost reidentifikacije.
Odnos izvršitelj obrade – podizvršitelj obrade
Na odnos izvršitelj obrade – podizvršitelj obrade primjenjuje se isti temeljni pristup. Ako podizvršitelj obrađuje podatke radi izvršenja obrade koju je voditelj povjerio izvršitelju, tada je riječ o podizvršitelju u smislu članka 28. stavka 4. Opće uredbe.
Članak 28. stavak 4. propisuje da izvršitelj, kada angažira drugog izvršitelja, mora na tog drugog izvršitelja ugovorom ili drugim pravnim aktom nametnuti iste obveze zaštite podataka koje su propisane ugovorom između voditelja i izvršitelja, osobito u pogledu dovoljnih jamstava za provedbu odgovarajućih tehničkih i organizacijskih mjera. Izvršitelj ostaje odgovoran voditelju za ispunjenje obveza podizvršitelja.
Slijedom navedenoga, ako izvršitelj pseudonimizira podatke prije dostave podizvršitelju, a podizvršitelj nema pravnu, stvarnu ni tehničku mogućnost reidentifikacije, to može smanjiti rizik obrade i utjecati na konkretne sigurnosne mjere. Međutim, ako podizvršitelj obrađuje te podatke u okviru obrade koja se provodi u ime voditelja, a voditelj ili izvršitelj zadržava mogućnost povezivanja podataka s ispitanicima, podaci se za potrebe članka 28. ne bi trebali tretirati kao anonimni podaci izvan područja primjene Opće uredbe.
Gledano po subjektima: za voditelja obrade podaci ostaju osobni ako ih može povezati s ispitanicima; za izvršitelja podaci ostaju osobni osobito ako raspolaže ključem ili drugim sredstvima reidentifikacije, a u svakom slučaju jer obrađuje podatke u ime voditelja; za podizvršitelja, premda možda nema vlastitu mogućnost reidentifikacije, obveze iz članka 28. primjenjuju se zbog naravi podizvršiteljskog odnosa i zbog perspektive voditelja obrade koju EDPB predviđa za obradu u ime drugoga.
Drukčije bi se moglo ocjenjivati samo kada primatelj više ne bi djelovao kao podizvršitelj, nego kao samostalni subjekt koji prima podatke koji su za njega, nakon konkretne procjene, anonimni te ih ne obrađuje u ime voditelja ni izvršitelja.
Agencija smatra da se u opisanim scenarijima pseudonimizacija ne može koristiti kao osnova za isključenje primjene članka 28. Opće uredbe ako primatelj podataka djeluje kao izvršitelj ili podizvršitelj obrade, a voditelj obrade ili izvršitelj zadržava mogućnost reidentifikacije odnosno povezivanja rezultata obrade s konkretnim ispitanicima.
