Il 7 luglio l’EDPB ha adottato le Linee guida 02/2026 sull’anonimizzazione (“Linee guida”). È un documento che bisogna conoscere, in quanto fa chiarezza su alcuni aspetti giuridici e concettuali legati all’anonimizzazione, al processo di anonimizzazione e alla re-identificazione. Questioni delicate per chi si occupa di privacy, e in generale per chi lavora con i dati, considerato che in relazione a un dataset anonimo non si dovrebbe applicare il GDPR e tutto ciò che ne consegue in termini di obblighi e diritti.
Vediamo insieme alcune questioni rilevanti che sono emerse da una prima lettura, corredate da alcune riflessioni emerse, e tenendo a mente che le Linee guida sono in consultazione pubblica fino al 30 ottobre, quindi non ancora definitive.
La relatività del dato anonimo: conta la prospettiva
Innanzitutto, si chiarisce che la natura personale di un dato (o di un set di dati) non deve essere vista in termini assoluti, ma può variare da un soggetto a un altro. Le Linee guida parlano, in questo senso, di “prospettiva”: è con riferimento alla prospettiva che si dovrebbe valutare se un’informazione deve considerarsi personale per uno o più determinati soggetti.
Di seguito un passaggio rilevante al riguardo: “Typically, whether information is personal for a particular entity will be assessed by reference to their own perspective.”
Anche l’EDPB, quindi, sembra confermare l’abbandono della concezione assoluta dell’anonimità del dato, in linea con la posizione della CJUE nella Sentenza del 4 settembre 2025, nel caso C‑413/23 P (EDPB vs SRB). Da qui l’importanza di individuare correttamente le prospettive pertinenti, alla luce della natura specifica e del contesto del trattamento. In tale ambito, è particolarmente rilevante porsi le seguenti domande:
Chi ha accesso ai dati?
Chi ha il controllo sui dati?
I dati vengono trasmessi da una parte a un’altra?
Che rapporto intercorre tra le parti?
Il destinatario dei dati può trattare i dati per conto di un’altra parte? Quale è il suo ruolo nel trattamento dei dati, e quali le finalità perseguite?
Ne consegue che l’anonimizzazione può essere effettuata in modo che i dati non risultino anonimi per tutti, ma solo per determinati soggetti. A questo proposito, vale la pena sottolineare un punto importante con riguardo ai trattamenti effettuati da un responsabile del trattamento per conto del titolare del trattamento: la natura personale del dato va valutata, anche per il responsabile, guardando alla prospettiva del titolare (punto 15 delle Linee guida). La logica è comprensibile – altrimenti si rischierebbe di eludere le tutele del GDPR semplicemente esternalizzando le attività – ma nella pratica può comprimere il principio di relatività di cui abbiamo appena parlato.
Approccio contestuale o approccio semplificato? Per valutare l’anonimato, l’EDPB propone due strade:
Un approccio contestuale, che tiene conto delle differenze di capacità tra coloro che potrebbero identificare l’interessato;
Un approccio semplificato, che non ne tiene conto.
Contrariamente a quanto i suddetti termini possano far pensare, l’approccio semplificato è in realtà quello più prudente, e addirittura potrebbe fornire un livello di protezione più cauto rispetto a quello necessario (par. 3.2 delle Linee guida, per approfondire).
Ma teorizzare sui due approcci lascia il tempo che trova. Meglio analizzare il contesto per poi combinare i due approcci in base all’obiettivo che si intende raggiungere.
I mezzi «ragionevolmente utilizzabili» per l’identificazione
Le Linee guida dedicano ampio spazio anche al concetto di mezzi “ragionevolmente utilizzabili” per l’identificazione (par. 2.4.2): è un concetto su cui si misura, in concreto, se un soggetto potrebbe re-identificare gli interessati.
Il punto di partenza resta il Considerando 26 del GDPR: “Per stabilire l’identificabilità di una persona è opportuno considerare tutti i mezzi, come l’individuazione, di cui il titolare del trattamento o un terzo può ragionevolmente avvalersi per identificare detta persona fisica direttamente o indirettamente.” Occorre guardare a un insieme di fattori oggettivi, tra cui i costi e il tempo necessari, lo stato e lo sviluppo della tecnologia.
L’EDPB richiama tali elementi e aggiunge alcune indicazioni a corredo. Eccone alcune:
- i mezzi non sono “ragionevolmente utilizzabili” se il loro impiego è impossibile, sproporzionato in termini di costi e tempi, oppure vietato dalla legge;
- il concetto di “mezzo” va inteso in senso ampio: dalla semplice lettura di un documento fino a tecniche di analisi avanzate, incluse quelle disponibili tramite soggetti terzi (la cosiddetta “catena di mezzi”);
- vanno considerati tutti i soggetti potenzialmente interessati alla re-identificazione: non solo il titolare del trattamento, ma anche partner, dipendenti infedeli, giornalisti d’inchiesta, forze dell’ordine e agenzie di intelligence, aziende che agiscono in modo non etico e criminali informatici;
- la “mancanza di motivazione” non è un fattore su cui fare affidamento, anche in quanto le motivazioni sono difficili da valutare e dimostrare oggettivamente e possono cambiare nel tempo;
- una circostanza di cui tener conto è il valore potenziale (non solo quello monetario) dei dati re-identificati per il soggetto che tenta la re-identificazione;
- un divieto di natura contrattuale può di certo influire sui mezzi che è ragionevolmente probabile vengano utilizzati per re-identificare le persone, ma deve essere considerato con cautela nella valutazione complessiva; maggior peso potrebbe darsi, in generale, ai divieti legali;
- il rischio di re-identificazione aumenta nel tempo, complice l’evoluzione tecnologica: anche per tale ragione è buona prassi riesaminare periodicamente le valutazioni effettuate.
Su questo ultimo punto, l’EDPB lancia un alert doveroso: gli strumenti di intelligenza artificiale, in particolare quella agentica, renderanno sempre più accessibili – in termini di tempi e costi – le tecniche di re-identificazione. Un fattore da monitorare con attenzione, anche per le valutazioni di anonimato effettuate in passato.
I tre criteri per testare l’anonimato
Per stabilire se un dataset è davvero anonimo, l’EDPB, in continuità con i precedenti pareri, suggerisce di usare i tre criteri seguenti:
- «No Record Isolation»: il criterio è soddisfatto se i dati non contengono una combinazione univoca di valori di attributi riferiti a un singolo individuo;
- « No Linkage»: il criterio è soddisfatto se i dati non contengono un record relativo a un individuo che possa essere collegato a un altro record che (a) si riferisca anch’esso (con certezza o con elevata probabilità) allo stesso individuo e (b) provenga da un set di dati diverso;
- « No Inference»: il criterio è soddisfatto se dai dati forniti non è possibile trarre alcuna inferenza specifica e significativa. Le inferenze possono basarsi sui dati forniti e/o su informazioni aggiuntive, comprese quelle relative al processo di anonimizzazione. Gli esempi contenuti nelle Linee guida aiutano a capire di cosa si tratta in pratica.
Se tutti e tre i criteri sono soddisfatti, i dati possono considerarsi anonimi. D’altra parte, la violazione di un criterio non significa automaticamente che i dati siano personali, ma impone ulteriori analisi.
Si tratta, in ogni caso, di valutazioni tutt’altro che facili e da condurre con cura, e che richiedono il contributo di più professionalità – tra cui legali, informatiche, statistiche – se del caso anche esterne all’organizzazione. Lo stesso EDPB, nelle Linee guida, incoraggia lo sviluppo e la diffusione di competenze scientifiche specifiche su questi temi. Complessità che non riguarda solo la valutazione dell’anonimato, ma anche il processo di anonimizzazione.
Sul processo di anonimizzazione
L’EDPB ci ricorda che anonimizzare dati personali è, a tutti gli effetti, un trattamento di dati personali che, come tale, richiede una base giuridica ex art. 6 GDPR e, se il dataset contiene dati appartenenti a categorie particolari, almeno una delle eccezioni dell’art. 9, par. 2. Approccio, del resto, seguito anche dal nostro Garante privacy.
In teoria tutto corretto, ma nella sostanza è una condizione tutt’altro che agevole da soddisfare: individuare una base giuridica specifica per un’attività che nasce proprio per uscire dal perimetro del GDPR non è affatto scontato, specie quando l’anonimizzazione riguarda dati raccolti anni prima per finalità diverse. E ciò, nonostante la presunzione introdotta dall’EDPB al punto 38 delle Linee guida, secondo cui la base giuridica dell’anonimizzazione coincide con quella del trattamento precedente all’anonimizzazione, se ne condivide attività e finalità.
Molte sono le riflessioni che possono scaturire da tale analisi, noi di Studio Legale Lisi monitoreremo con attenzione gli sviluppi di queste Linee Guida.
