Εμπιστοσύνη

Ψευδωνυμοποίηση ως συμπληρωματικό μέτρο διαβίβασης

Το κείμενο αυτό περιγράφει πώς η ψευδωνυμοποίηση του filterit αντιστοιχεί στο συμπληρωματικό μέτρο που περιγράφουν οι Συστάσεις 01/2020 του Ευρωπαϊκού Συμβουλίου Προστασίας Δεδομένων (EDPB) για τις διαβιβάσεις προς τρίτες χώρες, ώστε ένας οργανισμός να το χρησιμοποιήσει στη δική του αξιολόγηση αντικτύπου διαβίβασης (TIA) όταν στέλνει κείμενο σε πάροχο τεχνητής νοημοσύνης εκτός Ευρωπαϊκού Οικονομικού Χώρου. Είναι γραμμένο από το τι κάνουν ο κώδικας και η εγκατάσταση, και λέει ρητά τι μένει στον οργανισμό.

Σχετικά: τα τεχνικά και οργανωτικά μέτρα (άρθρο 32), η αντιστοίχιση ελέγχων ISO/IEC 27701 και 27001, η σύμβαση επεξεργασίας (ενότητα 7 για τις διαβιβάσεις), ο κατάλογος υποεπεξεργαστών, η δήλωση διαφάνειας ΤΝ, η σελίδα ακρίβειας και η μέθοδός της.

1. Τι είναι και τι δεν είναι

Οι Συστάσεις 01/2020 του EDPB (εγκρίθηκαν 10.11.2020, τελική έκδοση 18.6.2021) λένε ότι, όταν το δίκαιο της τρίτης χώρας δεν εξασφαλίζει ισοδύναμη προστασία, ο εξαγωγέας μπορεί να προσθέσει στις τυποποιημένες συμβατικές ρήτρες συμπληρωματικά μέτρα. Στο παράρτημά τους, η περίπτωση χρήσης 2 είναι η διαβίβαση ψευδωνυμοποιημένων δεδομένων: τα δεδομένα φεύγουν με τέτοιο τρόπο ώστε να μην μπορούν να αποδοθούν σε συγκεκριμένο πρόσωπο χωρίς πρόσθετη πληροφορία, η πρόσθετη πληροφορία μένει αποκλειστικά στον εξαγωγέα εντός ΕΟΧ, και προστατεύεται από τεχνικά και οργανωτικά μέτρα.

Το filterit υλοποιεί ακριβώς αυτό το σχήμα για μία ροή: το κείμενο που το προσωπικό στέλνει σε εργαλείο τεχνητής νοημοσύνης. Πριν το κείμενο φύγει, τα προσωπικά δεδομένα που ανιχνεύονται αντικαθίστανται με υποκατάστατα της μορφής [NAME_1], [AFM_2]. Η αντιστοίχιση υποκατάστατου με αρχική τιμή, που είναι η «πρόσθετη πληροφορία» των Συστάσεων, κρατιέται κρυπτογραφημένη σε υποδομή εντός ΕΕ ή στη συσκευή του χρήστη, και δεν περιλαμβάνεται σε όσα φτάνουν στον πάροχο. Η απάντηση του μοντέλου επιστρέφει με τα υποκατάστατα και οι τιμές αποκαθίστανται στον οργανισμό.

Τι δεν είναι:

Δεν είναι ανωνυμοποίηση. Η αντιστοίχιση υπάρχει, άρα τα δεδομένα παραμένουν προσωπικά για τον οργανισμό. Για τον πάροχο, το αν το ψευδωνυμοποιημένο κείμενο είναι προσωπικό δεδομένο κρίνεται από τη δική του σκοπιά και από τα μέσα που εύλογα μπορεί να χρησιμοποιήσει (ΔΕΕ, C-413/23 P, 4.9.2025). Το κείμενο αυτό δεν στηρίζει κανέναν ισχυρισμό ανωνυμίας προς τον πάροχο.
Δεν είναι πλήρης κάλυψη. Η ανίχνευση είναι πιθανολογική. Η δημοσιευμένη ακρίβεια ανά κατηγορία και επίπεδο ανίχνευσης είναι στη σελίδα ακρίβειας, με τη μέθοδό της. Το ελεύθερο κείμενο μπορεί να κρατά έμμεσα αναγνωριστικά (θέση, εργοδότης, σπάνιο γεγονός, μικρή κοινότητα) που ταυτοποιούν χωρίς όνομα.
Δεν είναι η αξιολόγηση αντικτύπου διαβίβασης του οργανισμού και δεν είναι νομική συμβουλή. Είναι το υλικό για μία ενότητα της, αυτή του συμπληρωματικού μέτρου.

2. Τι αντιστοιχεί σε ποια προϋπόθεση

Η παράγραφος 85 των Συστάσεων θέτει τέσσερις προϋποθέσεις για την περίπτωση χρήσης 2. Για καθεμία, τι κάνει το filterit και πού είναι το τεκμήριο.

Προϋπόθεση των Συστάσεων	Τι κάνει το filterit	Πού είναι το τεκμήριο
(α) Τα δεδομένα διαβιβάζονται έτσι ώστε να μην μπορούν πλέον να αποδοθούν σε συγκεκριμένο πρόσωπο ούτε να το ξεχωρίσουν μέσα σε μια ομάδα, χωρίς πρόσθετη πληροφορία	Κάθε αναγνωριστικό που ανιχνεύεται γίνεται αδιαφανές υποκατάστατο: ένας αύξων αριθμός ανά κατηγορία, που δεν προκύπτει από την τιμή. Το ίδιο πρόσωπο παίρνει το ίδιο υποκατάστατο μέσα στον ίδιο λογαριασμό, ώστε το κείμενο να μένει συνεκτικό· η συνέπεια αυτή επιτρέπει στον αποδέκτη να συνδέσει αναφορές στο ίδιο υποκατάστατο μεταξύ αιτημάτων, και ο οργανισμός το σταθμίζει στην αξιολόγησή του. Ονόματα, αριθμοί φορολογικού μητρώου και κοινωνικής ασφάλισης, αριθμοί ταυτότητας, IBAN, τηλέφωνα, διευθύνσεις και οι υπόλοιπες κατηγορίες του καταλόγου καλύπτονται, για ό,τι ανιχνεύεται.	Ο κατάλογος κατηγοριών και οι μετρήσεις στη σελίδα ακρίβειας· η δήλωση διαφάνειας ΤΝ, ενότητα 4.
(β) Η πρόσθετη πληροφορία κρατιέται αποκλειστικά από τον εξαγωγέα, χωριστά, σε κράτος μέλος ή σε χώρα με απόφαση επάρκειας	Η αντιστοίχιση κρατιέται σε θησαυροφυλάκιο κρυπτογραφημένο με AES-256-GCM. Στη φιλοξενούμενη υπηρεσία το θησαυροφυλάκιο βρίσκεται σε υποδομή στη Γερμανία, υπό τον διαχειριστή του filterit ως εκτελούντα του οργανισμού· για ατομικούς λογαριασμούς με κωδικό, το κλειδί παράγεται από τον κωδικό του χρήστη και ξεκλειδώνει μόνο στη σύνδεση. Με τον desktop agent η αντιστοίχιση μένει στη συσκευή του χρήστη, υπό κλειδί της συσκευής, και ο διαχειριστής δεν τη λαμβάνει. Ο πάροχος του μοντέλου δεν λαμβάνει την αντιστοίχιση σε καμία εγκατάσταση.	Ενότητα 2 των τεχνικών και οργανωτικών μέτρων· κατάλογος υποεπεξεργαστών (τόπος φιλοξενίας)· ενότητα 4 της σύμβασης επεξεργασίας.
(γ) Η αποκάλυψη ή μη εξουσιοδοτημένη χρήση της πρόσθετης πληροφορίας εμποδίζεται με κατάλληλα τεχνικά και οργανωτικά μέτρα	Κρυπτογράφηση σε ηρεμία με κλειδί που δεν βρίσκεται στη βάση ή στον κώδικα, διαχωρισμός κλειδιών, αναζήτηση μόνο με αποτυπώματα HMAC, ρόλοι ανά οργανισμό, δεύτερο βήμα σύνδεσης, αρχείο ενεργειών διαχειριστή, αυτόματη διαγραφή της αντιστοίχισης 30 ημέρες μετά τη δημιουργία, κρυπτογραφημένα αντίγραφα ασφαλείας. Κάθε αποστολή προς τον πάροχο καταγράφεται σε αρχείο εξόδου με αλυσίδα κατακερματισμού, χωρίς τιμές, ώστε να αποδεικνύεται τι έφυγε και πότε.	Ενότητες 2, 5, 8 και 10 των τεχνικών και οργανωτικών μέτρων· ενότητα 7 της πολιτικής απορρήτου· η διαδικασία περιστατικών· το Evidence Pack της περιόδου.
(δ) Ο υπεύθυνος έχει διαπιστώσει, με ενδελεχή ανάλυση των δεδομένων και λαμβάνοντας υπόψη τι μπορεί να κατέχουν οι αρχές της χώρας προορισμού, ότι τα ψευδωνυμοποιημένα δεδομένα δεν μπορούν να αποδοθούν σε πρόσωπο ακόμη και με διασταύρωση	Αυτό μένει στον οργανισμό (ενότητα 3). Το filterit δίνει τα δεδομένα της ανάλυσης: ποιες κατηγορίες ανιχνεύονται και με ποια μετρημένη ακρίβεια, τι δεν ανιχνεύεται, πώς ο οργανισμός ορίζει υποχρεωτικές κατηγορίες και ελάχιστο επίπεδο ανίχνευσης στην πολιτική απόκρυψης.	Σελίδα ακρίβειας και μέθοδος· η πολιτική απόκρυψης του οργανισμού· το πρότυπο ενότητας TIA, κατόπιν αιτήματος.

Συμβατική βάση δίπλα στο μέτρο: ο πάροχος του μοντέλου λαμβάνει το ψευδωνυμοποιημένο κείμενο υπό τυποποιημένες συμβατικές ρήτρες που περιέχονται στη σύμβαση επεξεργασίας του, με όρους που αποκλείουν τη χρήση για εκπαίδευση, όπως αναφέρει ο κατάλογος υποεπεξεργαστών. Το ψευδωνυμοποιημένο κείμενο που τυχόν κρατά αναγνωριστικά που δεν ανιχνεύθηκαν καλύπτεται έτσι συμβατικά, όχι τεχνικά.

Τι δεν αναφέρεται ως τεκμήριο, επειδή είναι απενεργοποιημένο από προεπιλογή: ο περιορισμός ανά γραμμή στη βάση, η μηχανή πολιτικής, η επαναφορά περιορισμένη ανά συνεδρία και η δεύτερη έκδοση της κρυπτογράφησης. Αν ο οργανισμός τα ενεργοποιήσει στη δική του εγκατάσταση, τα προσθέτει ο ίδιος στην αξιολόγησή του.

3. Τι μένει στον οργανισμό

Η αξιολόγηση του δικαίου της τρίτης χώρας για τον συγκεκριμένο πάροχο και τη συγκεκριμένη χρήση (βήματα 3 και 4 των Συστάσεων). Για παρόχους στις Ηνωμένες Πολιτείες, ο οργανισμός σημειώνει αν στηρίζεται στο Πλαίσιο Προστασίας Δεδομένων ΕΕ και ΗΠΑ ή στις τυποποιημένες ρήτρες του παρόχου, και παρακολουθεί την εκκρεμή αίτηση αναίρεσης Latombe (C-703/25 P) στο Δικαστήριο της ΕΕ.
Η επιλογή παρόχου και οι όροι του: χωρίς εκπαίδευση με το περιεχόμενο, μηδενική ή ελάχιστη διατήρηση, γνωστοί υποεκτελούντες. Ο οργανισμός που χρησιμοποιεί τον desktop agent με δικό του λογαριασμό στον πάροχο έχει τη δική του σύμβαση μαζί του.
Η προϋπόθεση (δ): για ποιες κατηγορίες δεδομένων και ποιες χρήσεις το υπόλοιπο που μπορεί να διαφύγει την ανίχνευση είναι αποδεκτό, και για ποιες όχι (δεδομένα υγείας, ποινικές καταδίκες, υποθέσεις σε μικρές κοινότητες). Η απόφαση γράφεται στην αξιολόγηση και στην πολιτική αποδεκτής χρήσης του οργανισμού.
Η ενημέρωση των υποκειμένων για τη χρήση εργαλείων ΤΝ, την ψευδωνυμοποίηση και τους αποδέκτες (άρθρα 13 και 14). Κατά την C-413/23 P, η υποχρέωση κρίνεται από τη σκοπιά του υπευθύνου κατά τη συλλογή, ανεξάρτητα από το τι βλέπει ο αποδέκτης.
Η επανεξέταση, όταν αλλάξει κάτι από τα παρακάτω.

Ανοιχτά ζητήματα κατά την ημερομηνία του κειμένου (2026-10-14), που ο οργανισμός παρακολουθεί:

Οι Κατευθυντήριες γραμμές 01/2025 του EDPB για την ψευδωνυμοποίηση βρίσκονταν σε δημόσια διαβούλευση· δεν έχουμε επιβεβαιώσει οριστική έκδοση. Το σχέδιο Κατευθυντήριων γραμμών 02/2026 για την ανωνυμοποίηση είναι σε διαβούλευση έως 30.10.2026.
Η απόφαση C-413/23 P (EDPS κατά SRB) έκρινε ότι το αν τα ψευδωνυμοποιημένα δεδομένα είναι προσωπικά για τον αποδέκτη κρίνεται από τη σκοπιά του αποδέκτη. Οι συνέπειες για τους παρόχους ΤΝ δεν έχουν αποτυπωθεί ακόμη σε καθοδήγηση αρχής.
Η πρόταση «Digital Omnibus» της Επιτροπής για τον ορισμό των προσωπικών δεδομένων δεν έχει ψηφιστεί.
Η αίτηση αναίρεσης Latombe (C-703/25 P) κατά της απόφασης επάρκειας για τις ΗΠΑ εκκρεμεί.

4. Αναθεώρηση

Το κείμενο αναθεωρείται τουλάχιστον μία φορά τον χρόνο, μετά από κάθε ουσιώδη αλλαγή στην αρχιτεκτονική, και όταν αλλάξει κάποιο από τα ανοιχτά ζητήματα της ενότητας 3. Η έκδοση και η ημερομηνία είναι στην κορυφή· το ιστορικό αλλαγών βρίσκεται στο αποθετήριο. Το κείμενο δεν έχει ελεγχθεί από νομικό· όταν ελεγχθεί, ο πίνακας θα το γράψει.

Έκδοση	Ημερομηνία	Αλλαγή
1.0	2026-10-14	Πρώτη δημοσιευμένη έκδοση.