Η αντικατάσταση ονομάτων με υποκατάστατα είναι ένα καλό πρώτο βήμα. Βάσει του GDPR, αυτό από μόνο του δεν καθιστά τα δεδομένα ανώνυμα. Αυτό το άρθρο εξηγεί τι ορίζει ο κανονισμός, τι αποφάσισε το Δικαστήριο της Ευρωπαϊκής Ένωσης τον Σεπτέμβριο του 2025 και τι πρέπει να κάνετε σχετικά.
Η σύντομη απάντηση
Ναι, γενικά. Ο GDPR ορίζει ότι τα προσωπικά δεδομένα που έχουν υποστεί ψευδωνυμοποίηση και θα μπορούσαν να αποδοθούν σε ένα άτομο με τη χρήση πρόσθετων πληροφοριών αφορούν ταυτοποιήσιμο άτομο. Αν έχετε το κλειδί που συνδέει το «Person_1» με ένα πραγματικό όνομα, το κείμενο που αντικαταστήσατε εξακολουθεί να αποτελεί προσωπικά δεδομένα για εσάς, και η επεξεργασία του υπάγεται στον GDPR.
Η ακριβέστερη απάντηση είναι ότι εξαρτάται από το ποιος έχει τα δεδομένα και ποια μέσα θα μπορούσε εύλογα να χρησιμοποιήσει για να ταυτοποιήσει το άτομο. Εδώ έχει σημασία η δικαστική απόφαση του 2025.
Τι ορίζει ο GDPR
Το άρθρο 4 παράγραφος 5 ορίζει την ψευδωνυμοποίηση ως:
«την επεξεργασία δεδομένων προσωπικού χαρακτήρα κατά τρόπο ώστε τα δεδομένα προσωπικού χαρακτήρα να μην μπορούν πλέον να αποδοθούν σε συγκεκριμένο υποκείμενο των δεδομένων χωρίς τη χρήση συμπληρωματικών πληροφοριών, εφόσον οι εν λόγω συμπληρωματικές πληροφορίες τηρούνται χωριστά και υπόκεινται σε τεχνικά και οργανωτικά μέτρα προκειμένου να διασφαλιστεί ότι τα δεδομένα προσωπικού χαρακτήρα δεν αποδίδονται σε ταυτοποιημένο ή ταυτοποιήσιμο φυσικό πρόσωπο»
Η αιτιολογική σκέψη 26 ορίζει ότι τα δεδομένα προσωπικού χαρακτήρα που έχουν υποστεί ψευδωνυμοποίηση και θα μπορούσαν να αποδοθούν σε φυσικό πρόσωπο με τη χρήση συμπληρωματικών πληροφοριών θα πρέπει να θεωρούνται πληροφορίες σχετικά με ταυτοποιήσιμο φυσικό πρόσωπο. Για να κριθεί αν ένα πρόσωπο είναι ταυτοποιήσιμο, θα πρέπει να λαμβάνονται υπόψη όλα τα μέσα που είναι ευλόγως πιθανό να χρησιμοποιηθούν, όπως η απομόνωση ενός προσώπου, είτε από τον υπεύθυνο επεξεργασίας είτε από άλλο άτομο, συμπεριλαμβανομένων του απαιτούμενου κόστους και χρόνου, καθώς και της διαθέσιμης τεχνολογίας.
Από τη διατύπωση προκύπτουν δύο πρακτικά σημεία. Το κλειδί πρέπει να τηρείται χωριστά, με τεχνικά και οργανωτικά μέτρα. Και η «ταυτοποιησιμότητα» κρίνεται με βάση ρεαλιστικά μέσα, όχι με βάση το αν η ταυτοποίηση είναι θεωρητικά δυνατή.
Τι πρόσθεσε το Δικαστήριο το 2025
Στις 4 Σεπτεμβρίου 2025, το Δικαστήριο της Ευρωπαϊκής Ένωσης αποφάνθηκε στην υπόθεση EDPS κατά SRB (υπόθεση C-413/23 P). Αφορούσε σχόλια που μια τραπεζική αρχή διαβίβασε σε εταιρεία συμβούλων αφού αντικατέστησε την ταυτότητα των συντακτών με κωδικούς. Η υπόθεση κρίθηκε βάσει του κανονισμού 2018/1725, ο οποίος εφαρμόζεται στα θεσμικά όργανα της ΕΕ, αλλά οι ορισμοί του για τα προσωπικά δεδομένα και την ψευδωνυμοποίηση αντικατοπτρίζουν εκείνους του GDPR.
Το Δικαστήριο έκρινε ότι τα ψευδωνυμοποιημένα δεδομένα δεν πρέπει να θεωρούνται προσωπικά δεδομένα «σε όλες τις περιπτώσεις και για κάθε πρόσωπο». Το αν τα δεδομένα αποτελούν προσωπικά δεδομένα για έναν συγκεκριμένο αποδέκτη εξαρτάται από τις περιστάσεις, μεταξύ άλλων από το αν ο αποδέκτης διαθέτει μέσα που είναι ευλόγως πιθανό να χρησιμοποιηθούν για την επαναταυτοποίηση των εμπλεκόμενων ατόμων. Το μέρος που έκανε την ψευδωνυμοποίηση και διαθέτει τις συμπληρωματικές πληροφορίες βρίσκεται σε διαφορετική θέση από έναν αποδέκτη που δεν έχει τρόπο να συνδέσει τους κωδικούς με κάποιον.
Πρόκειται για νομική εξέλιξη που οι ειδικοί εξακολουθούν να εξετάζουν. Μην την εκλάβετε ως άδεια να στέλνετε ψευδωνυμοποιημένα δεδομένα πελατών οπουδήποτε. Λέει ότι το ζήτημα αξιολογείται από την πλευρά του αποδέκτη, όχι ότι το ζήτημα παύει να υφίσταται.
Τι σημαίνει αυτό για ένα chatbot τεχνητής νοημοσύνης
- Εξακολουθείτε να είστε ο υπεύθυνος επεξεργασίας των αρχικών δεδομένων και του κλειδιού. Οι δικές σας υποχρεώσεις βάσει του GDPR εξακολουθούν να ισχύουν για τον τρόπο με τον οποίο χειρίζεστε το έγγραφο, συμπεριλαμβανομένης της αντικατάστασης.
- Το αν ο πάροχος τεχνητής νοημοσύνης λαμβάνει προσωπικά δεδομένα είναι ζήτημα που κρίνεται με βάση τα συγκεκριμένα πραγματικά περιστατικά. Το πλαίσιο μπορεί να ταυτοποιήσει ένα άτομο ακόμη και χωρίς όνομα: ένα σπάνιο επάγγελμα, μια μικρή πόλη, ένα ασυνήθιστο συμβάν. Αν κάποιος θα μπορούσε ρεαλιστικά να συμπεράνει για ποιον αφορά το κείμενο, αντιμετωπίστε το ως προσωπικά δεδομένα.
- Μη στηρίζετε τη θέση σας ως προς τη συμμόρφωση στην ιδέα ότι τα υποκατάστατα καθιστούν το κείμενο ανώνυμο. Σχεδιάστε τη διαδικασία σαν να μπορεί να εξακολουθεί να πρόκειται για προσωπικά δεδομένα και αντιμετωπίστε τα υποκατάστατα ως μία μόνο από πολλές διασφαλίσεις.
Η ψευδωνυμοποίηση εξακολουθεί να αξίζει και ο GDPR το αναγνωρίζει. Το άρθρο 32 παράγραφος 1 στοιχείο α΄ περιλαμβάνει την ψευδωνυμοποίηση στα μέτρα ασφαλείας που μπορεί να χρησιμοποιήσει ένας υπεύθυνος επεξεργασίας. Οι αιτιολογικές σκέψεις 28 και 78 αναφέρουν ότι μπορεί να μειώσει τους κινδύνους για τα υποκείμενα των δεδομένων και να στηρίξει την προστασία των δεδομένων από τον σχεδιασμό και εξ ορισμού. Ο κανονισμός την αντιμετωπίζει ως διασφάλιση, όχι ως έξοδο από το πεδίο εφαρμογής του.
Τι να κάνετε στην πράξη
- Περιορίστε πρώτα τα δεδομένα. Στείλτε μόνο το απόσπασμα που χρειάζεται για την εργασία. Δείτε πώς να χρησιμοποιείτε εργαλεία AI με έγγραφα πελατών.
- Αντικαταστήστε κάθε αναγνωριστικό, όχι μόνο τα ονόματα. Οι αριθμοί λογαριασμών, οι αριθμοί ταυτότητας και οι ημερομηνίες γέννησης είναι επίσης αναγνωριστικά. Η λίστα ελέγχου τα αναφέρει.
- Κρατήστε το κλειδί στην πλευρά σας, χωριστά από το κείμενο που στέλνετε, και διαγράψτε το όταν ολοκληρωθεί η υπόθεση.
- Ελέγξτε τους όρους του παρόχου και το πρόγραμμά σας. Ένα επιχειρηματικό πρόγραμμα με συμφωνία επεξεργασίας δεδομένων διαφέρει από έναν δωρεάν προσωπικό λογαριασμό. Δείτε τι αναφέρουν οι ρυθμίσεις δεδομένων.
- Ζητήστε συμβουλές για τις περιπτώσεις υψηλού κινδύνου: δεδομένα υγείας, δεδομένα παιδιών, ειδικές κατηγορίες δεδομένων ή οτιδήποτε θα είχε σοβαρές συνέπειες σε περίπτωση παραβίασης.
Στην καθημερινή χρήση, οι όροι χρησιμοποιούνται με χαλαρό τρόπο. Η ανωνυμοποίηση, η ψευδωνυμοποίηση και η απόκρυψη συγκρίνει τους όρους.
Συχνές ερωτήσεις
Είναι τα ψευδωνυμοποιημένα δεδομένα το ίδιο με τα ανώνυμα δεδομένα;
Όχι. Η αιτιολογική σκέψη 26 ορίζει ότι οι αρχές προστασίας δεδομένων δεν εφαρμόζονται σε ανώνυμες πληροφορίες, δηλαδή σε πληροφορίες που δεν αφορούν ταυτοποιήσιμο πρόσωπο ή σε δεδομένα που καθίστανται ανώνυμα έτσι ώστε το πρόσωπο να μην είναι πλέον ταυτοποιήσιμο. Τα ψευδωνυμοποιημένα δεδομένα που μπορούν να επανασυνδεθούν αποτελούν διαφορετική κατηγορία.
Απαγορεύει ο GDPR τη χρήση εργαλείων τεχνητής νοημοσύνης με προσωπικά δεδομένα;
Όχι. Απαιτεί νόμιμη βάση, ελαχιστοποίηση, ασφάλεια και, όταν υπάρχει πάροχος, κατάλληλη σύμβαση. Η χρήση υποκατάστατων βοηθά στην ελαχιστοποίηση.
Ισχύει αυτό και εκτός ΕΕ;
Το Ηνωμένο Βασίλειο έχει τη δική του εκδοχή, ενώ πολλές χώρες έχουν παρόμοιους κανόνες. Ο GDPR μπορεί επίσης να εφαρμόζεται σε επιχειρήσεις εκτός ΕΕ που παρέχουν υπηρεσίες σε άτομα εντός της.
ClientSafe διατηρεί στον υπολογιστή σας τον πίνακα που συνδέει τα υποκατάστατα με τα πραγματικά ονόματα. Το κείμενο που αντιγράφετε σε ένα εργαλείο τεχνητής νοημοσύνης περιλαμβάνει μόνο τα υποκατάστατα. Ελέγχετε πρώτα τι εντόπισε, καθώς κανένα εργαλείο δεν εντοπίζει τα πάντα.
Γενικές πληροφορίες, όχι νομικές συμβουλές. Ζητήστε τη γνώμη εξειδικευμένου συμβούλου προστασίας δεδομένων για τη δική σας περίπτωση.
Πηγές