ΕΣΠΔ: Νέες κατευθυντήριες γραμμές για την ανωνυμοποίηση δεδομένων

Νέες κατευθυντήριες γραμμές για την ανωνυμοποίηση εξέδωσε το Ευρωπαϊκό Συμβούλιο Προστασίας Δεδομένων (ΕΣΠΔ), επιχειρώντας να αποσαφηνίσει πότε τα δεδομένα μπορούν πράγματι να θεωρηθούν ανώνυμα και, ως εκ τούτου, να βρίσκονται εκτός του πεδίου εφαρμογής του ΓΚΠΔ. Το κείμενο επικαιροποιεί την προσέγγιση που είχε διατυπώσει το 2014 η Ομάδα Εργασίας του άρθρου 29, λαμβάνοντας υπόψη τις σημαντικές μεταβολές στη νομολογία του ΔΕΕ, την ανάπτυξη των ευρωπαϊκών χώρων δεδομένων και τις τεχνολογικές εξελίξεις, ιδίως στον τομέα της τεχνητής νοημοσύνης.

Οι κατευθυντήριες γραμμές, που εγκρίθηκαν στις 7 Ιουλίου 2026, τέθηκαν σε δημόσια διαβούλευση έως τις 30 Οκτωβρίου.

Πότε τα δεδομένα θεωρούνται ανώνυμα

Σύμφωνα με το ΕΣΠΔ, τα δεδομένα είναι ανώνυμα όταν δεν αφορούν ταυτοποιημένο ή ταυτοποιήσιμο φυσικό πρόσωπο, η αξιολόγηση, ωστόσο, μπορεί να διαφέρει ανάλογα με τον εκάστοτε φορέα: οι ίδιες πληροφορίες ενδέχεται να αποτελούν προσωπικά δεδομένα για έναν φορέα που μπορεί να ταυτοποιήσει το πρόσωπο και ανώνυμα δεδομένα για κάποιον άλλο που δεν διαθέτει αυτή τη δυνατότητα.

Το ΕΣΠΔ ενσωματώνει στην προσέγγισή του τη νομολογία του ΔΕΕ και ιδίως την απόφαση της 4ης Σεπτεμβρίου 2025 στην υπόθεση C-413/23 P (ΕΕΠΔ κατά ΕΣΕ). Το βασικό τεστ περιλαμβάνει δύο ερωτήματα: εάν η πληροφορία «αφορά» φυσικό πρόσωπο και, εφόσον συμβαίνει αυτό, εάν το πρόσωπο είναι ταυτοποιημένο ή ταυτοποιήσιμο.

Για την εκτίμηση της δυνατότητας ταυτοποίησης πρέπει να εξετάζονται τα μέσα που είναι ευλόγως πιθανό να χρησιμοποιηθούν, λαμβάνοντας υπόψη αντικειμενικούς παράγοντες, όπως τα χαρακτηριστικά των δεδομένων, η πρόσβαση σε πρόσθετες πληροφορίες, το κόστος και ο απαιτούμενος χρόνος, καθώς και οι διαθέσιμες και εύλογα προβλέψιμες τεχνολογικές δυνατότητες.

Το ΕΣΠΔ επισημαίνει ότι η πιθανότητα επαναταυτοποίησης μπορεί να αυξάνεται με την πάροδο του χρόνου. Εάν η πιθανότητα αυτή παύσει να είναι αμελητέα, δεδομένα που προηγουμένως θεωρούνταν ανώνυμα πρέπει να αντιμετωπίζονται εκ νέου ως προσωπικά.

Τα τρία κριτήρια της ανωνυμοποίησης

Για την πρακτική αξιολόγηση, οι κατευθυντήριες γραμμές προβλέπουν δύο προσεγγίσεις: την προσέγγιση με βάση το εκάστοτε πλαίσιο (contextual approach), η οποία λαμβάνει υπόψη τις διαφορετικές δυνατότητες των εμπλεκόμενων φορέων, και την απλουστευμένη (simplified approach), η οποία μπορεί να οδηγήσει στην αντιμετώπιση δεδομένων ως μη ανώνυμων, ακόμη και όταν αυτά θα ήταν ανώνυμα για ορισμένους από τους εμπλεκόμενους φορείς, παρέχοντας όμως μεγαλύτερη βεβαιότητα ως προς την πραγματική ανωνυμία τους.

Και στις δύο περιπτώσεις τα κριτήρια που εξετάζονται είναι τρία: να μην είναι δυνατή η απομόνωση μοναδικής εγγραφής που αφορά συγκεκριμένο άτομο («No Record Isolation»), να μην είναι δυνατή η σύνδεσή της με άλλες πληροφορίες για το ίδιο πρόσωπο («No Linkage») και να μην μπορούν να συναχθούν συγκεκριμένα και ουσιώδη συμπεράσματα για ταυτοποιημένο ή ταυτοποιήσιμο άτομο («No Inference»).

Εάν πληρούνται και τα τρία κριτήρια, τα δεδομένα μπορούν να θεωρηθούν με ασφάλεια ανώνυμα. Η αποτυχία σε ένα από αυτά δεν σημαίνει αυτομάτως ότι πρόκειται για προσωπικά δεδομένα, αλλά ότι απαιτείται περαιτέρω αξιολόγηση.

Το ΕΣΠΔ υπενθυμίζει, τέλος, ότι η ίδια η διαδικασία ανωνυμοποίησης αποτελεί επεξεργασία προσωπικών δεδομένων και υπόκειται στον ΓΚΠΔ. Πρέπει, συνεπώς, να διαθέτει νόμιμη βάση, να τηρούνται οι υποχρεώσεις διαφάνειας και να τεκμηριώνονται τόσο η διαδικασία όσο και η αποτελεσματικότητά της.

Το υπό διαβούλευση σχέδιο των νέων Κατευθυντηρίων Γραμμών 2/2026 είναι διαθέσιμο στον ιστότοπο του ΕΣΠΔ.