Γερμανική Ένωση Δικηγόρων κατά ΕΣΠΔ: Οι κατευθυντήριες γραμμές για την ανωνυμοποίηση υπερβαίνουν τα όρια του ΓΚΠΔ

Έντονη κριτική στο σχέδιο Κατευθυντήριων Γραμμών 02/2026 του Ευρωπαϊκού Συμβουλίου Προστασίας Δεδομένων (ΕΣΠΔ) για την ανωνυμοποίηση ασκεί η Γερμανική Ένωση Δικηγόρων (Deutscher Anwaltverein – DAV), με παρέμβασή της στο πλαίσιο της δημόσιας διαβούλευσης.

Η επαγγελματική οργάνωση, η οποία εκπροσωπεί περίπου 60.000 δικηγόρους, αμφισβητεί ευθέως τη συμβατότητα αρκετών προτεινόμενων κατευθύνσεων με τον ΓΚΠΔ και τη νομολογία του Δικαστηρίου της Ευρωπαϊκής Ένωσης. Η κριτική της δεν περιορίζεται σε επιμέρους ερμηνευτικές διαφωνίες, αλλά επεκτείνεται στην ίδια την αρμοδιότητα του ΕΣΠΔ να διαμορφώνει απαιτήσεις που υπερβαίνουν το ισχύον νομοθετικό πλαίσιο.

Υπέρβαση αρμοδιοτήτων και δημιουργία νομικής αβεβαιότητας

Σύμφωνα με τη DAV, το άρθρο 70 παρ. 1 στοιχ. ε ́ ΓΚΠΔ εξουσιοδοτεί το ΕΣΠΔ να εκδίδει κατευθυντήριες γραμμές για την ομοιόμορφη εφαρμογή του Κανονισμού, όχι όμως να θεσπίζει πρόσθετες ουσιαστικές προϋποθέσεις ανωνυμοποίησης.

Η Ένωση επικρίνει ιδιαίτερα την αποκαλούμενη «απλουστευμένη προσέγγιση» (simplified approach), μέσω της οποίας το ΕΣΠΔ προτείνει αυστηρότερο πρότυπο αξιολόγησης της ανωνυμίας, αναγνωρίζοντας μάλιστα ότι αυτό μπορεί να υπερβαίνει το εφαρμοστέο νομικό κριτήριο.

Παρότι οι κατευθυντήριες γραμμές δεν έχουν δεσμευτικό χαρακτήρα, η DAV επισημαίνει ότι επηρεάζουν καθοριστικά την πρακτική των εποπτικών αρχών, των δικαστηρίων και των επιχειρήσεων. Επομένως, η εισαγωγή αυστηρότερων κριτηρίων μπορεί να οδηγήσει σε ανεπίτρεπτη διεύρυνση του πεδίου εφαρμογής του ΓΚΠΔ.

Η απόφαση SRB και η πιθανότητα επαναταυτοποίησης

Κεντρική θέση στην επιχειρηματολογία της Ένωσης κατέχει η απόφαση του ΔΕΕ της 4ης Σεπτεμβρίου 2025, C-413/23 P, EDPS κατά SRB.

Κατά τη DAV, η απόφαση επιβεβαιώνει ότι ο προσωπικός χαρακτήρας των δεδομένων πρέπει να αξιολογείται με βάση τις πραγματικές δυνατότητες ταυτοποίησης του συγκεκριμένου αποδέκτη και όχι με αποκλειστικό κριτήριο την ύπαρξη πρόσθετων πληροφοριών που διαθέτει κάποιο άλλο πρόσωπο.

Η Ένωση θεωρεί ότι το ΕΣΠΔ δεν αξιοποιεί επαρκώς αυτή τη νομολογία, καθώς εξακολουθεί να αποδίδει υπερβολική βαρύτητα σε υποθετικά σενάρια επαναταυτοποίησης.

Ειδικότερα, αμφισβητεί την επιλογή του ΕΣΠΔ να περιλαμβάνει στην αξιολόγηση κινδύνους που συνδέονται με κυβερνοεπιθέσεις, κακόβουλους εργαζομένους, παράνομες διασταυρώσεις δεδομένων ή πρόσβαση τρίτων κατά παράβαση συμβατικών και νομικών υποχρεώσεων.

Κατά τη DAV, η απλή θεωρητική δυνατότητα πραγματοποίησης τέτοιων ενεργειών δεν αρκεί για να καταστήσει την επαναταυτοποίηση ευλόγως πιθανή. Απαιτείται αξιολόγηση των συγκεκριμένων περιστάσεων, του κόστους, των διαθέσιμων μέσων και των πραγματικών κινήτρων των εμπλεκομένων.

Απαιτείται αυτοτελής νομική βάση για την ανωνυμοποίηση;

Μια δεύτερη ουσιώδης διαφωνία αφορά τη νομιμότητα της ίδιας της διαδικασίας ανωνυμοποίησης. Στην παράγραφο 38 του σχεδίου του, το ΕΣΠΔ επισημαίνει ότι η ανωνυμοποίηση συνιστά πράξη επεξεργασίας προσωπικών δεδομένων κατά το άρθρο 4 παρ. 2 ΓΚΠΔ και, ως εκ τούτου, προϋποθέτει την ύπαρξη νομικής βάσης σύμφωνα με το άρθρο 6 και, εφόσον πρόκειται για ειδικές κατηγορίες δεδομένων, τη συνδρομή μιας από τις εξαιρέσεις του άρθρου 9 παρ. 2 ΓΚΠΔ.

Η DAV δεν αμφισβητεί ότι η διαδικασία ανωνυμοποίησης υπάγεται καταρχήν στον ΓΚΠΔ, θεωρεί όμως προβληματική την απαίτηση αυτοτελούς θεμελίωσης της νομιμότητάς της. Όπως υποστηρίζει, η ανωνυμοποίηση δεν αποτελεί μια συνηθισμένη πράξη επεξεργασίας, αλλά μια διαδικασία που αποσκοπεί ακριβώς στην εξάλειψη του προσωπικού χαρακτήρα των δεδομένων και, συνακόλουθα, στην προστασία των δικαιωμάτων των υποκειμένων τους.

Στο πλαίσιο αυτό, η Ένωση επικαλείται τις αρχές της ελαχιστοποίησης των δεδομένων και του περιορισμού της περιόδου αποθήκευσης, καθώς και τις υποχρεώσεις προστασίας των δεδομένων ήδη από τον σχεδιασμό και ασφάλειας της επεξεργασίας, σύμφωνα με τα άρθρα 25 και 32 ΓΚΠΔ. Επισημαίνει ακόμη ότι η ανωνυμοποίηση μπορεί να λειτουργήσει ως ισοδύναμο της διαγραφής μέτρο προστασίας, αφού οδηγεί στην οριστική εξάλειψη της δυνατότητας ταυτοποίησης.

Με βάση τα παραπάνω, η DAV προτείνει την καθιέρωση τεκμηρίου σύμφωνα με το οποίο, όταν τα προσωπικά δεδομένα έχουν συλλεγεί και υποβληθεί νόμιμα σε επεξεργασία, η ανωνυμοποίησή τους καλύπτεται καταρχήν από την ίδια νομική βάση. Παράλληλα, ζητεί η ανωνυμοποίηση να θεωρείται κατά κανόνα συμβατή με τους αρχικούς σκοπούς επεξεργασίας κατά το άρθρο 6 παρ. 4 ΓΚΠΔ, ακόμη και όταν πραγματοποιείται σε μεταγενέστερο στάδιο, στο πλαίσιο διαφορετικής δραστηριότητας και με σκοπό την περαιτέρω αξιοποίηση των ανώνυμων πλέον πληροφοριών.

Ιδιαίτερη κριτική ασκείται στην απαίτηση εφαρμογής του άρθρου 9 παρ. 2 ΓΚΠΔ για την ανωνυμοποίηση ειδικών κατηγοριών δεδομένων. Η DAV χαρακτηρίζει τη θέση αυτή ανεπαρκώς αιτιολογημένη και νομικά αμφισβητήσιμη, επισημαίνοντας ότι είναι παράδοξο να καθίσταται δυσκολότερη η ανωνυμοποίηση ακριβώς εκείνων των δεδομένων για τα οποία η προστατευτική της λειτουργία είναι περισσότερο αναγκαία.

Επικαλείται μάλιστα την ύπαρξη τεχνικών μεθόδων που επιτρέπουν την αφαίρεση αναγνωριστικών στοιχείων χωρίς πρόσβαση στα πεδία που περιλαμβάνουν ευαίσθητες πληροφορίες, όπως συμβαίνει με την αφαίρεση ονομάτων ή αριθμών ασθενών από ένα σύνολο ιατρικών δεδομένων, χωρίς επεξεργασία των πληροφοριών που αφορούν τη θεραπεία τους.

Κατά την Ένωση, η υιοθέτηση υπερβολικών απαιτήσεων νομιμότητας δημιουργεί αντικίνητρα για την ανωνυμοποίηση και δυσχεραίνει τη δευτερογενή αξιοποίηση δεδομένων, μεταξύ άλλων για την ιατρική έρευνα και την εκπαίδευση συστημάτων τεχνητής νοημοσύνης.

Η σημασία των συμβατικών εγγυήσεων

Η DAV ζητεί επίσης να αναγνωριστεί αυτοτελής σημασία στις συμβατικές και οργανωτικές εγγυήσεις κατά την εκτίμηση της δυνατότητας επαναταυτοποίησης.

Απαγορεύσεις διασύνδεσης δεδομένων, δεσμεύσεις εμπιστευτικότητας, συμβατικές κυρώσεις και αποτελεσματικοί μηχανισμοί ελέγχου μπορούν, κατά την Ένωση, να περιορίσουν ουσιωδώς την πιθανότητα επαναταυτοποίησης, χωρίς να απαιτείται πάντοτε η εφαρμογή πρόσθετων τεχνικών μέτρων.

Ως παραδείγματα αναφέρονται τα ασφαλή περιβάλλοντα επεξεργασίας (data clean rooms) και τα μοντέλα ανεξάρτητων διαμεσολαβητών δεδομένων, στα οποία ο αποδέκτης στερείται πρόσβασης στις πρόσθετες πληροφορίες που απαιτούνται για την ταυτοποίηση.

Αποθαρρύνεται τελικά η ανωνυμοποίηση;

Πέρα από τις επιμέρους νομικές αντιρρήσεις, η παρέμβαση της DAV αναδεικνύει μια ευρύτερη αντίφαση που, κατά την Ένωση, χαρακτηρίζει το σχέδιο του ΕΣΠΔ: ενώ η ανωνυμοποίηση αποτελεί ένα από τα αποτελεσματικότερα μέσα προστασίας των προσωπικών δεδομένων, οι υπερβολικά αυστηρές απαιτήσεις για την αναγνώρισή της ενδέχεται να αποθαρρύνουν τους οργανισμούς από την εφαρμογή της.

Όπως επισημαίνεται, οι επιχειρήσεις έχουν λόγο να επενδύσουν σε τεχνολογίες ανωνυμοποίησης και άλλες τεχνολογίες ενίσχυσης της ιδιωτικότητας (Privacy Enhancing Technologies – PETs), εφόσον η αξιοποίησή τους συνοδεύεται από συγκεκριμένα πλεονεκτήματα και επαρκή νομική ασφάλεια. Όταν όμως ακόμη και η εφαρμογή προηγμένων τεχνικών δεν διασφαλίζει ότι τα δεδομένα θα θεωρηθούν ανώνυμα, οι οργανισμοί εξακολουθούν να επιβαρύνονται με τις υποχρεώσεις του ΓΚΠΔ, παρά το κόστος και την προσπάθεια που έχουν καταβάλει για τον περιορισμό των κινδύνων.

Η DAV επισημαίνει μάλιστα ότι το πρόβλημα αυτό παρατηρείται ήδη στην πράξη, καθώς επιχειρήσεις που εξετάζουν την υιοθέτηση τεχνολογιών ενίσχυσης της ιδιωτικότητας τελικά εγκαταλείπουν τα σχετικά σχέδια, διαπιστώνοντας ότι τα αναμενόμενα νομικά πλεονεκτήματα δεν εξασφαλίζονται. Σε ορισμένες περιπτώσεις, η κατάσταση μπορεί να αποδειχθεί ακόμη δυσμενέστερη, αφού οι οργανισμοί περιορίζουν τη δυνατότητά τους να αξιοποιούν και να ελέγχουν τα δεδομένα, χωρίς να απαλλάσσονται από τις αντίστοιχες νομικές ευθύνες.

Στο πλαίσιο αυτό, η Ένωση θεωρεί ότι η πρόσφατη νομολογία του ΔΕΕ, και ιδίως η απόφαση SRB, προσφέρει την ευκαιρία για μια περισσότερο πραγματιστική προσέγγιση της ανωνυμοποίησης, η οποία θα συνδυάζει την προστασία των υποκειμένων με τη δυνατότητα αξιοποίησης δεδομένων για την έρευνα, την καινοτομία και την οικονομική ανάπτυξη.

Για τον λόγο αυτό, ζητεί την απάλειψη της «απλουστευμένης προσέγγισης», την αναθεώρηση των παραδειγμάτων που στηρίζονται σε υποθετικούς κινδύνους επαναταυτοποίησης και τη μεγαλύτερη αναγνώριση της σημασίας των συμβατικών και οργανωτικών εγγυήσεων.

Παράλληλα, προτείνει την προσθήκη συγκεκριμένων πρακτικών παραδειγμάτων που θα αποσαφηνίζουν την εφαρμογή των διατάξεων του ΓΚΠΔ στις περιπτώσεις όπου τα ίδια δεδομένα είναι προσωπικά για έναν φορέα, αλλά ανώνυμα για κάποιον άλλον. Η Ένωση αναφέρεται ειδικότερα στις υποχρεώσεις ενημέρωσης των άρθρων 13 και 14, στις ρυθμίσεις για τους από κοινού υπευθύνους και τους εκτελούντες την επεξεργασία, καθώς και στις υποχρεώσεις τήρησης αρχείων δραστηριοτήτων επεξεργασίας.

Κατά τη DAV, η σχετικότητα της δυνατότητας ταυτοποίησης, όπως αναγνωρίζεται από τη νομολογία του ΔΕΕ, δημιουργεί σύνθετα ζητήματα που δεν αντιμετωπίζονται επαρκώς από το σχέδιο. Η παροχή συγκεκριμένων κατευθύνσεων για τις περιπτώσεις αυτές θα μπορούσε να ενισχύσει τη νομική ασφάλεια και να διευκολύνει την εφαρμογή του ΓΚΠΔ σε περιβάλλοντα ανταλλαγής και περαιτέρω αξιοποίησης δεδομένων.