PETs i Privacy by Design: usklađenost sa GDPR i AI Act-om

PETs (Privacy Enhancing Technologies) nisu samo tehnološka inovacija, to je praktičan mehanizam za sprovođenje načela privacy by design iz člana 25 GDPR-a, odnosno člana 42 Zakona o zaštiti podataka o ličnosti (ZZPL). U eri generativne AI, pitanje više nije da li ćemo koristiti lične podatke, već kako ćemo dokazati da je privatnost ugrađena u sam dizajn sistema. Važno je i ograničenje: PETs sami po sebi ne garantuju usklađenost. Oni su alat, a ne zamena za pravnu procenu rizika.

Pitanje sa kojim se sve češće susrećemo u praksi nije da li neka kompanija koristi lične podatke, gotovo svaka to radi. Pitanje je da li ume da dokaže da je zaštita privatnosti ugrađena u sistem od početka, a ne nalepljena naknadno kao zakrpa posle upita Poverenika. Upravo tu na scenu stupaju PETs.

Šta su PETs i zašto ih pravnici treba da razumeju?

PETs su skup tehničkih rešenja koja ograničavaju ko može da pristupi ličnim podacima, u kom obliku i sa kojim posledicama. OECD ih u svom izveštaju o regulatornim pristupima deli u četiri grupe: alate za obfuskaciju podataka (anonimizacija, pseudonimizacija, sintetički podaci), enkriptovanu obradu (homomorfna enkripcija, sigurno višestranačko izračunavanje, dokazi bez otkrivanja podataka- zero-knowledge proofs), federalizovanu i distribuiranu analitiku (federated learning) i alate za odgovornost.

Za pravnika, tehnički detalj kako neki alat radi manje je bitan od pitanja koju konkretnu zakonsku obavezu on ispunjava. To je i razlika između IT rečnika i pravnog rečnika, ista tehnologija, dva različita jezika.

Šta tačno propisuje član 25 GDPR-a (i član 42 ZZPL-a)?

Odgovor: obavezuju rukovaoca da tehničke i organizacione mere, uključujući izričito pomenutu pseudonimizaciju, primeni već u fazi određivanja načina obrade, ne naknadno. Cilj je delotvorno sprovođenje načela zaštite podataka, pre svega minimizacije, i to „podrazumevano“, što znači da podrazumevana podešavanja sistema moraju da obrađuju samo podatke neophodne za konkretnu svrhu.

ZZPL u članu 42 postavlja praktično identičnu obavezu: rukovalac mora da primeni mere poput pseudonimizacije kako bi obezbedio da se obrađuju samo podaci neophodni za svrhu, i da se bez učešća fizičkog lica podaci ne mogu učiniti dostupnim neograničenom broju ljudi. Uvodna izjava 78 GDPR-a dodatno nabraja primere mera: minimizaciju obima obrade, ranu pseudonimizaciju, transparentnost funkcija obrade i omogućavanje licu da prati sopstvenu obradu.

Zvanično tumačenje ove obaveze daju EDPB Smernice 4/2019 o članu 25 GDPR-a (finalna verzija 2.0, usvojena 20. oktobra 2020): suština obaveze je da rukovalac mora biti u mogućnosti da dokaže da ima odgovarajuće mere i zaštitne mehanizme kojima se načela zaštite podataka i prava lica čine delotvornim, ne samo pre početka obrade, već kontinuirano, kroz redovno preispitivanje delotvornosti izabranih mera. Bitna praktična posledica: obaveza se odnosi i na sisteme koji su projektovani pre stupanja GDPR-a na snagu, ti sistemi takođe moraju biti redovno usklađivani.

Tumačenje: obaveza iz člana 25 formalno pogađa rukovaoca, a ne obrađivača. EDPB Smernice, međutim, dodaju važnu nijansu: obrađivače (IT provajdere, razvojne timove) opisuju kao „ključne omogućivače“ (key enablers) koji kroz ugrađivanje zaštite podataka u sopstvena rešenja pomažu rukovaocu da ispuni ovu obavezu  iako odgovornost pred zakonom ostaje na rukovaocu.

Da li pseudonimizovani podaci prestaju da budu podaci o ličnosti?

Ne. Ovo je jedna od najčešćih pravnih zabluda u praksi. Pseudonimizacija, prema definiciji i iz ZZPL-a (čl. 4 tač. 6) i iz GDPR-a, jeste obrada koja onemogućava direktno pripisivanje podataka licu ali samo dok se dodatne informacije čuvaju odvojeno. Sve dok ta veza tehnički postoji, podaci ostaju lični podaci i i dalje potpadaju pod zakon.

Razumno verovatna (formulacija na koju se insistira) anonimizacija je nešto drugo: prema uvodnoj izjavi 26 GDPR-a, podaci su anonimni tek kada identifikacija lica više nije moguća nikakvim sredstvima koja bi rukovalac ili neko drugi razumno mogao da upotrebi. Tek tada obrada izlazi iz domašaja propisa. Firma koja kaže „mi smo to pseudonimizovali, pa se GDPR/ZZPL na nas više ne primenjuje“ pravno greši.

Najava (nacrt, još ne menja gore navedeno): Evropski odbor za zaštitu podataka (EDPB) je 7. jula 2026. usvojio Smernice 02/2026 o anonimizaciji  ali isključivo za javnu raspravu, što znači da tekst još uvek nije finalan niti obavezujući i može se menjati do konačnog usvajanja. U ovom obliku, nacrt bi uveo dve bitne novine: precizan operativni test od tri kriterijuma (odsustvo izolacije zapisa, odsustvo mogućnosti povezivanja sa drugim skupom podataka i odsustvo mogućnosti izvođenja zaključaka o pojedincu) za proveru da li su podaci zaista anonimni, i potvrdu da anonimnost nije apsolutna već zavisi od toga ko posmatra podatke. Isti skup podataka može biti anoniman za jednog primaoca, a lični podatak za drugog, u zavisnosti od sredstava koja mu je razumno dostupno da upotrebi. Ovo ne menja razliku pseudonimizacija/anonimizacija objašnjenu gore, samo bi, ako bude usvojen u ovom obliku, precizirao kako se ta anonimizacija testira u praksi. Kako je reč o nacrtu u javnoj raspravi (jul 2026), ne ulazimo dublje u ovom tekstu.

Detaljnijoj analizi posvetićemo poseban blog kad (i ako) smernice budu finalno usvojene.

Kako PETs pomažu kod procene uticaja na zaštitu podataka (DPIA)?

Kad neka obrada, posebno uz primenu novih tehnologija, verovatno nosi visok rizik za prava lica, rukovalac je po članu 54 ZZPL-a (član 35 GDPR-a) dužan da pre početka obrade sprovede procenu uticaja na zaštitu podataka. Zakon eksplicitno nabraja tri slučaja kad je ta procena obavezna: sistematska i obimna automatizovana procena ličnih aspekata (uključujući profilisanje) koja proizvodi pravno dejstvo; masovna obrada posebnih kategorija podataka ili podataka o krivičnim delima; i obimno sistematsko praćenje javno dostupnog prostora.

PETs se u tom postupku pojavljuju kao jedna od mera koje se dokumentuju kao odgovor na identifikovani rizik, ne kao zamena za samu procenu.

Da li se AI Act primenjuje na firme u Srbiji?

Da, ali ne automatski i ne uvek  i ovo je nijansa koju vredi razumeti pre nego što je neko pogrešno protumači u oba pravca. AI Act je uredba Evropske unije i formalno ne obavezuje srpske firme na isti način kao domaći zakon. Ali član 2 mu daje eksteritorijalni domašaj: primenjuje se na svakog ko plasira AI sistem na tržište EU ili ga stavlja u upotrebu u EU, bez obzira na to da li ima sedište u Uniji ili van nje, kao i na provajdere i korisnike AI sistema sa sedištem van EU, ako se izlazni rezultat (output) tog sistema koristi u EU. Uvodna izjava 22 objašnjava razlog: sprečavanje zaobilaženja Uredbe.

Praktičan primer: srpska firma koja razvija AI rešenje za klijenta u Nemačkoj, a čiji se rezultat koristi u EU, potpada pod AI Act  iako sama firma nema sedište u Uniji.

Za visokorizične AI sisteme, član 10 AI Act-a („Data and data governance“) traži da skupovi podataka za treniranje, validaciju i testiranje budu predmet upravljanja podacima koje obuhvata, između ostalog: dokumentovane izbore dizajna, poreklo i svrhu prikupljanja podataka, procenu dostupnosti i kvaliteta podataka, ispitivanje mogućih pristrasnosti (bias) i mere za njihovo otklanjanje. Uvodna izjava 69 tu obavezu direktno povezuje sa pravom EU o zaštiti podataka: navodi da se načelo minimizacije i zaštite podataka putem dizajna i podrazumevano moraju poštovati tokom celog životnog ciklusa AI sistema, a da mere koje provajderi mogu preduzeti uključuju anonimizaciju, enkripciju, ali i tehnologije koje „dovode algoritam do podataka“ bez prenosa ili kopiranja sirovih podataka između strana, što je, u suštini, opis pristupa nalik federated learning-u, iako AI Act taj termin ne koristi. Uvodna izjava 67 dodaje da zahtev da skupovi podataka budu potpuni i bez grešaka ne sme da ide na štetu primene privacy-preserving tehnika u razvoju i testiranju AI sistema.

Član 10 stav 5 ide korak dalje: dozvoljava izuzetnu obradu posebnih kategorija podataka (npr. o zdravlju ili rasnom poreklu) radi otkrivanja i korekcije pristrasnosti AI modela, ali samo uz kumulativne uslove, uključujući primenu pseudonimizacije, tehnička ograničenja ponovne upotrebe podataka, zabranu prenosa trećim licima i obavezno brisanje podataka čim je pristrasnost otklonjena.

Tumačenje: ovo pokazuje da evropski zakonodavac ne tretira PETs kao poželjan dodatak, već kao očekivani standard tehničke implementacije privatnosti u AI kontekstu.

Da li primena PETs-a sama po sebi znači da je firma usklađena?

Ne  i ovo je verovatno najvažnija nijansa cele teme. OECD u svom izveštaju, pozivajući se na smernice Evropskog odbora za zaštitu podataka (EDPB) iz 2019. godine, ističe da PETs mogu biti mera u smislu člana 25 GDPR-a samo ako ih rukovalac primeni kroz odgovarajući pristup zasnovan na proceni rizika, sama upotreba PET-a automatski ne pokriva sve zahteve tog člana. Britanski regulator (ICO) u sopstvenim smernicama ide istim putem: odluku o tome koji je PET prikladan treba doneti tek nakon procene rizika (npr. kroz DPIA), ne obrnuto, i ne treba svaki PET automatski poistovećivati sa anonimizacijom.

Drugim rečima: tehnologija je alat za sprovođenje pravne obaveze, a ne zamena za pravnu analizu.

Ovo dodatno potvrđuje i pomenuti nacrt EDPB Smernica 02/2026 (još u javnoj raspravi, jul 2026): on podvlači da je i sam postupak anonimizacije obrada ličnih podataka koja mora imati pravni osnov po članu 6 GDPR-a, uz odgovarajući izuzetak iz člana 9 stav 2 ako su u pitanju posebne kategorije podataka. Drugim rečima, čak i kad firma primenjuje PET radi anonimizacije, taj korak sam po sebi ostaje obrada podataka koja mora biti pravno utemeljena, a ne „tehnički izlazak“ iz zakona.

Šta ovo znači u praksi

Za firme koje obrađuju lične podatke u kontekstu AI rešenja, ovo se svodi na četiri koraka: mapirati koji lični podaci ulaze u treniranje ili validaciju modela; proceniti rizik i, gde je obaveza aktivirana, sprovesti DPIA; odabrati tehnički mehanizam (pseudonimizaciju, enkripciju, sintetičke podatke ili federated pristup) koji odgovara konkretnoj svrsi; i dokumentovati zašto je baš ta mera izabrana, jer se odgovornost iz člana 5 ZZPL-a i GDPR-a dokazuje upravo kroz tu dokumentaciju, ne kroz samu tehnologiju.

Često postavljana pitanja

Šta su PETs (Privacy Enhancing Technologies)?
PETs su tehnička rešenja koja smanjuju rizik po lične podatke, od pseudonimizacije i enkripcije do naprednijih pristupa kao što su diferencijalna privatnost, federated learning i sintetički podaci. Iz pravne perspektive, to su mere koje mogu poslužiti za sprovođenje obaveze iz člana 25 GDPR-a, odnosno člana 42 ZZPL-a.

Da li anonimizovani podaci i dalje potpadaju pod ZZPL i GDPR?
Ne, ako je reč o razumno verovatnoj anonimizaciji, tada identifikacija lica više nije razumno moguća i propis se ne primenjuje. Pseudonimizovani podaci, međutim, i dalje se smatraju ličnim podacima, jer veza sa licem tehnički postoji, samo je dodatno zaštićena.

Da li se AI Act primenjuje na firme u Srbiji koje nemaju sedište u EU?
Da, u određenim slučajevima. Prema članu 2 AI Act-a, primenjuje se i na provajdere i korisnike sa sedištem van EU, ako se izlazni rezultat njihovog AI sistema koristi na tržištu EU, kao i na svakog ko plasira AI sistem na EU tržište bez obzira na sedište.

Da li upotreba PETs-a oslobađa firmu obaveze izrade DPIA?
Ne. DPIA se sprovodi kad god su ispunjeni uslovi iz člana 54 ZZPL-a (član 35 GDPR-a), nezavisno od toga koje tehničke mere firma već primenjuje. PETs se u toj proceni pojavljuju kao jedna od mera za ublažavanje rizika, ne kao razlog da se procena preskoči.

Koje su najčešće PETs tehnike koje se pominju u regulativi i praksi?
Najčešće se pominju pseudonimizacija i enkripcija (uključujući homomorfnu enkripciju), diferencijalna privatnost, federated learning i sintetički podaci. Svaka od njih štiti podatke na drugačiji način, pa izbor zavisi od konkretne svrhe obrade.

Da li je anonimizacija jednokratan proces, ili treba periodično da se proverava?
Dobra praksa je periodično preispitivanje verovatnoće re-identifikacije, jer ona raste vremenom usled razvoja tehnologije i dostupnosti novih podataka. Ako verovatnoća poraste do te mere da više nije zanemarljiva, ranije anonimni podaci ponovo se smatraju ličnim podacima. Ovaj pristup dodatno razrađuje i nacrt EDPB Smernica 02/2026 o anonimizaciji (jul 2026, još u javnoj raspravi).