ΓΚΠΔ και εταιρικά δεδομένα πριν από άδεια για ΤΝ

Σύντομη απάντηση

Κάθε δεδομένο προσωπικού χαρακτήρα στο σύνολο δεδομένων είτε αφαιρείται, είτε καθίσταται πραγματικά ανώνυμο, είτε διατηρείται, εφόσον υπάρχει νομική βάση για την επεξεργασία του για τον νέο σκοπό, με προηγούμενη ενημέρωση των προσώπων και, κατά κανόνα, με προηγούμενη εκτίμηση αντικτύπου. Τα ανώνυμα δεδομένα βρίσκονται εκτός της νομοθεσίας για την προστασία δεδομένων· τα ψευδωνυμοποιημένα, στα οποία τα ονόματα έχουν αντικατασταθεί από κωδικούς και η εταιρεία κρατά το κλειδί, όχι. Για τις περισσότερες άδειες ο εύλογος στόχος είναι η ανωνυμοποίηση, ελεγμένη με βάση τα μέσα που ευλόγως θα μπορούσαν να χρησιμοποιηθούν για ταυτοποίηση, και μια συμβατική απαγόρευση επαναταυτοποίησης.

Πού κρύβονται τα προσωπικά δεδομένα σε ένα εταιρικό αρχείο

Ο επιχειρηματίας σκέφτεται συνήθως το πελατολόγιο. Σε ένα τεχνικό ή εμπορικό αρχείο όμως τα προσωπικά δεδομένα εμφανίζονται σε πολύ περισσότερα σημεία: ονόματα και υπογραφές σε αλληλογραφία και στα υπομνήματα των σχεδίων, ονόματα πληρωμάτων και επιθεωρητών σε εκθέσεις, ηχογραφημένες κλήσεις και συστήματα αιτημάτων, ελεύθερα σχόλια σε φακέλους ποιότητας, ονόματα προγραμματιστών σε σχόλια κώδικα και στο ιστορικό εκδόσεων, φύλλα χρόνου εργασίας, στιγμιότυπα καμερών, και τα μεταδεδομένα σχεδόν κάθε εγγράφου. Σε φακέλους φαρμακευτικών επιχειρήσεων ή σχετικούς με την υγεία μπορεί να υπάρχουν δεδομένα υγείας, τα οποία ανήκουν στις ειδικές κατηγορίες και η επεξεργασία τους απαγορεύεται, εκτός αν συντρέχει κάποια από τις στενές εξαιρέσεις του ΓΚΠΔ.

Η πρώτη εργασία είναι λοιπόν μια καταγραφή, ανά πεδίο και ανά φάκελο, του είδους των δεδομένων που περιέχει κάθε πηγή και των προσώπων στα οποία αφορούν: στελέχη πελατών, εργαζόμενοι της εταιρείας, ασθενείς, καταναλωτές ή το ευρύ κοινό.

Ανώνυμα και ψευδωνυμοποιημένα δεδομένα: η νομική διάκριση

Ο ΓΚΠΔ δεν εφαρμόζεται σε ανώνυμες πληροφορίες, δηλαδή σε πληροφορίες που δεν αφορούν ταυτοποιημένο ή ταυτοποιήσιμο πρόσωπο, ή σε δεδομένα που έχουν καταστεί ανώνυμα κατά τρόπο ώστε το πρόσωπο να μην είναι πλέον ταυτοποιήσιμο. Τα ψευδωνυμοποιημένα δεδομένα, που μπορούν να αποδοθούν σε πρόσωπο με τη χρήση συμπληρωματικών πληροφοριών, παραμένουν προσωπικά. Το αν ένα πρόσωπο είναι ταυτοποιήσιμο κρίνεται με βάση όλα τα μέσα που ευλόγως ενδέχεται να χρησιμοποιηθούν, από την εταιρεία ή από οποιονδήποτε τρίτο, λαμβάνοντας υπόψη το κόστος, τον χρόνο και τη διαθέσιμη τεχνολογία.

Η διαγραφή ονομάτων και αριθμών ταυτότητας σπάνια αρκεί. Οι παλαιές αλλά ακόμη αξιοποιούμενες κατευθύνσεις των ευρωπαϊκών αρχών προστασίας δεδομένων για την ανωνυμοποίηση θέτουν τρία ερωτήματα: μπορεί κανείς ακόμη να απομονώσει ένα πρόσωπο, να συνδέσει εγγραφές που αφορούν το ίδιο πρόσωπο σε διαφορετικά σύνολα, ή να συναγάγει πληροφορίες γι’ αυτό; Ένα ημερολόγιο συντήρησης που αποτυπώνει τις βάρδιες ενός τεχνικού, ή ένα αρχείο πωλήσεων με σπάνιους συνδυασμούς ταχυδρομικού κώδικα και ηλικίας, μπορεί να παρουσιάζει και τους τρεις κινδύνους.

Τον Σεπτέμβριο του 2025 το Δικαστήριο της Ευρωπαϊκής Ένωσης, κρίνοντας με βάση τους αντίστοιχους κανόνες που ισχύουν για τα θεσμικά όργανα της Ένωσης, δέχθηκε ότι τα ψευδωνυμοποιημένα δεδομένα δεν είναι κατ’ ανάγκη προσωπικά για αποδέκτη που δεν διαθέτει εύλογα μέσα επαναταυτοποίησης. Με την ίδια απόφαση έκρινε ότι, για την υποχρέωση του υπευθύνου επεξεργασίας να ενημερώσει τα πρόσωπα για τους αποδέκτες των δεδομένων τους, η ταυτοποιησιμότητα εκτιμάται κατά τον χρόνο της συλλογής και από τη σκοπιά του υπευθύνου, και ότι η υποχρέωση αυτή ίσχυε πριν από τη διαβίβαση, ανεξάρτητα από το αν τα δεδομένα παρέμεναν προσωπικά για τον αποδέκτη. Για την εταιρεία που διαθέτει δεδομένα, αυτό σημαίνει στην πράξη ότι η ψευδωνυμοποίηση μπορεί να διευκολύνει τον αγοραστή, δεν απαλλάσσει όμως τον πωλητή από τις δικές του υποχρεώσεις.

Αν προσωπικά δεδομένα παραμείνουν στο σύνολο

Η διάθεση δεδομένων σε εταιρεία τεχνητής νοημοσύνης αποτελεί νέο σκοπό, διαφορετικό από εκείνον για τον οποίο συλλέχθηκαν. Αν δεν υπάρχει συγκατάθεση ή ειδική νομική διάταξη, η εταιρεία οφείλει να εξετάσει αν ο νέος σκοπός συμβιβάζεται με τον αρχικό, σταθμίζοντας τη σχέση των δύο σκοπών, το πλαίσιο της συλλογής και τη σχέση της με τα πρόσωπα, τη φύση των δεδομένων (η υπαγωγή σε ειδικές κατηγορίες έχει ιδιαίτερη σημασία), τις πιθανές συνέπειες για τα πρόσωπα και τις εγγυήσεις που υπάρχουν, όπως η κρυπτογράφηση ή η ψευδωνυμοποίηση. Όταν η εταιρεία στηρίζεται στο έννομο συμφέρον, πρέπει να το προσδιορίσει, να δείξει ότι η διάθεση είναι αναγκαία γι’ αυτό και να το σταθμίσει με τα δικαιώματα των προσώπων· οι εύλογες προσδοκίες τους κατά τον χρόνο της συλλογής αποτελούν ουσιώδες στοιχείο της στάθμισης.

Πριν από κάθε περαιτέρω επεξεργασία για νέο σκοπό, τα πρόσωπα πρέπει να ενημερωθούν γι’ αυτόν. Όταν η επεξεργασία, ιδίως με χρήση νέων τεχνολογιών, ενδέχεται να επιφέρει υψηλό κίνδυνο, διενεργείται εκτίμηση αντικτύπου πριν αρχίσει. Η αδειοδότηση προσωπικών δεδομένων για εκπαίδευση τεχνητής νοημοσύνης συχνά πληροί αυτό το κριτήριο.

Τα δεδομένα των εργαζομένων χρειάζονται ιδιαίτερη προσοχή. Ο ελληνικός νόμος επιτρέπει την επεξεργασία τους για τους σκοπούς της σύμβασης εργασίας, εφόσον είναι απολύτως απαραίτητη, και η συγκατάθεση του εργαζομένου κρίνεται με γνώμονα την εξάρτηση που ενυπάρχει στη σχέση εργασίας. Οι φάκελοι προσωπικού, οι αξιολογήσεις και η εσωτερική αλληλογραφία είναι στην πράξη υλικό που εξαιρείται και δεν αδειοδοτείται.

Τι είπε το ΕΣΠΔ για τα μοντέλα τεχνητής νοημοσύνης

Με τη γνώμη 28/2024, που εκδόθηκε στις 17 Δεκεμβρίου 2024, το Ευρωπαϊκό Συμβούλιο Προστασίας Δεδομένων εξέτασε μοντέλα τεχνητής νοημοσύνης εκπαιδευμένα με προσωπικά δεδομένα. Τρία σημεία της αφορούν άμεσα όποιον προμηθεύει δεδομένα για τέτοια μοντέλα.

Πρώτον, ένα μοντέλο εκπαιδευμένο με προσωπικά δεδομένα δεν μπορεί να θεωρείται ανώνυμο σε κάθε περίπτωση· είναι ανώνυμο μόνο αν η πιθανότητα εξαγωγής προσωπικών δεδομένων από αυτό, καθώς και η πιθανότητα να ληφθούν τέτοια δεδομένα μέσω ερωτημάτων, είναι αμελητέα. Δεύτερον, το έννομο συμφέρον μπορεί να αποτελέσει νομική βάση για την ανάπτυξη μοντέλου, μόνο όμως μετά από έλεγχο τριών σταδίων, στον οποίο οι εύλογες προσδοκίες των προσώπων έχουν κεντρική θέση. Τρίτον, όποιος χρησιμοποιεί μοντέλο που ανέπτυξε άλλος πρέπει να βεβαιωθεί ότι το μοντέλο δεν αναπτύχθηκε με παράνομη επεξεργασία προσωπικών δεδομένων, εξετάζοντας μεταξύ άλλων την πηγή τους. Ο έλεγχος αυτός φτάνει, μέσω του δημιουργού του μοντέλου, μέχρι εκείνον που προμήθευσε τα δεδομένα εκπαίδευσης.

Πρακτικά βήματα προετοιμασίας

Στην πράξη η δουλειά ακολουθεί σχεδόν σταθερή σειρά. Προηγείται η καταγραφή. Ακολουθεί, για κάθε πηγή, η απόφαση: εξαίρεση, ανωνυμοποίηση ή διατήρηση με τεκμηριωμένη νομική βάση. Η ανωνυμοποίηση πρέπει να ελέγχεται και όχι να τεκμαίρεται· μια απόπειρα επαναταυτοποίησης σε δείγμα, από πρόσωπο που δεν έκανε το ίδιο τον καθαρισμό, αποτελεί χρήσιμο έλεγχο. Όπου παραμένουν προσωπικά δεδομένα, η εκτίμηση αντικτύπου και η επικαιροποίηση της ενημέρωσης των προσώπων προηγούνται της παράδοσης.

Για τον κίνδυνο που απομένει, η σύμβαση προβλέπει απαγόρευση κάθε απόπειρας επαναταυτοποίησης ή συσχέτισης του συνόλου με άλλα δεδομένα για ταυτοποίηση προσώπων, υποχρεώσεις διαγραφής και δικαίωμα ελέγχου. Πρέπει επίσης να ορίζει τον ρόλο κάθε μέρους. Ο αγοραστής που λαμβάνει προσωπικά δεδομένα και αποφασίζει ο ίδιος για τη χρήση τους είναι κατά κανόνα αυτοτελής υπεύθυνος επεξεργασίας· όταν τα μέρη καθορίζουν από κοινού τους σκοπούς και τα μέσα, είναι από κοινού υπεύθυνοι και οφείλουν να κατανείμουν με διαφάνεια τις ευθύνες τους.

Συχνές ερωτήσεις

Αρκεί η ψευδωνυμοποίηση αν ο αγοραστής δεν δει ποτέ το κλειδί;

Μπορεί να περιορίσει την έκθεση του αγοραστή, όμως για την εταιρεία που κρατά το κλειδί τα δεδομένα παραμένουν προσωπικά και οι υποχρεώσεις της, μεταξύ αυτών η ενημέρωση των προσώπων για τη διάθεση, εξακολουθούν να ισχύουν. Η πραγματική ανωνυμοποίηση είναι ο ασφαλέστερος στόχος για μια άδεια.

Δεν αλλάζει σύντομα ο ΓΚΠΔ;

Η Επιτροπή πρότεινε τροποποιήσεις του ΓΚΠΔ στο πλαίσιο του «Digital Omnibus» στις 19 Νοεμβρίου 2025. Στις 28 Οκτωβρίου 2026 ο φάκελος της διαδικασίας στο Ευρωπαϊκό Κοινοβούλιο εμφανίζει την πρόταση σε αναμονή απόφασης επιτροπής. Δεν είναι νόμος, και ο σχεδιασμός γίνεται με βάση το ισχύον κείμενο.

Χρειαζόμαστε συγκατάθεση από κάθε πρόσωπο του συνόλου;

Όχι απαραίτητα. Η συγκατάθεση είναι μία από τις πιθανές νομικές βάσεις, και στη σχέση εργασίας σπάνια είναι αξιόπιστη. Η αφαίρεση ή η ανωνυμοποίηση των προσωπικών δεδομένων είναι συχνά απλούστερη από τη θεμελίωση της επεξεργασίας τους σε κατάλληλη νομική βάση.

Πηγές

Το κείμενο αυτό παρέχει γενική πληροφόρηση και δεν αποτελεί νομική συμβουλή· η απάντηση σε κάθε συγκεκριμένη περίπτωση εξαρτάται από τα πραγματικά περιστατικά και τα έγγραφά της.

Η L+A συμβουλεύει ελληνικές επιχειρήσεις σε θέματα προστασίας δεδομένων, αδειοδότησης δεδομένων και ρύθμισης της τεχνητής νοημοσύνης.

Στείλτε μας την ερώτησή σας

Περιγράψτε μας την περίπτωσή σας. Δικηγόρος της Εταιρείας θα σας απαντήσει με email.

Το μήνυμά σας φτάνει μόνο στους δικηγόρους της Εταιρείας και χρησιμοποιείται μόνο για να σας απαντήσουμε. Μπορείτε να γράψετε στα ελληνικά ή στα αγγλικά.