Во-первых, пакеты, установленные по зависимостям не превращаются в установленные вручную. Могу предположить только один вариант для такого развития событий: "apt-mark manual $PKGNAME" закопали в постинсталл. Но это не про Debian, а про PPA и прочие убунтоспецифичные "особенности".

Во-вторых, apt pinning в частности и apt preferences в целом имеет прямое отношение к управлению пакетами в Debian, позволяя мне на десктопе получать firefox из experimental, nginx из repo.nginx.org/mainline, а всё остальное только из testing.

В-третьих, про man 5 apt_preferences я не "для красного словца" упомянул: можно приоритет для Pin: origin *debian-security повысить, понизив при этом origin "", а можно повысить приоритет по urgency, который тоже есть в каждом пакете официальных репозиториев Debian и у нормальных сторонних мэйнтейнеров (nginx,deb-multimedia).

В-четвёртых, а Ubuntu-то причём тут? Вы говорили про проблему в Debian. Я не "продолжаю использовать иронично-через-дефис-описанную-вами убунточку", немного недолюбливаю её любителей за склонность тащить всякий шлак^W PPA в систему (а потом непонятные пакеты в системе и обновления становятся колом по причине заброшенности PPA). Это не к Debian претензии, учите матчасть.