Anonimizzazione dei dati personali: le nuove linee guida EDPB fanno chiarezza, ma saranno davvero utili?

L’anonimizzazione dei dati personali si è imposta come un tema di primo piano, per una pluralità di ragioni. Il dato anonimo consente di tutelare l’interessato, a cui esso non è più riconducibile, e insieme conserva, per le organizzazioni, grande utilità, sottraendole all’obbligo di applicare il Reg. (UE) 2019/679, il GDPR.

La centralità del dato anonimo si è accresciuta anche nel diritto europeo: si pensi al Data Governance Act, che impone agli enti pubblici di mettere a disposizione (anche) dati personali anonimizzati, in un impianto che il progetto di revisione del Regolamento Digital Omnibus, per il momento, conferma (l’abrogazione del Data Governance Act, destinato a confluire nel Data Act, non incide sulla disciplina del riutilizzo dei dati detenuti dagli enti pubblici). Nello stesso senso, il Regolamento sullo spazio europeo dei dati sanitari, il quale eleva i dati anonimi a strumento d’elezione per il perseguimento di finalità ulteriori rispetto alla cura (il c.d. “uso secondario”).

Il 7 luglio 2026 il Comitato europeo per la protezione dei dati (EDPB) ha adottato le “Linee guida 02/2026 on Anonymisation”, poste in consultazione pubblica fino al 30 ottobre 2026.

A oltre dieci anni di distanza, il documento aggiorna il “Parere 05/2014 del Gruppo di lavoro Articolo 29 sulle tecniche di anonimizzazione”, che lo stesso Comitato considera superato, alla luce, in particolare, degli sviluppi della giurisprudenza della Corte di giustizia dell’Unione europea, della nascita degli spazi europei di dati e dei progressi dell’intelligenza artificiale.

Le Linee guida si articolano in due parti: la prima inquadra giuridicamente la nozione di anonimizzazione; la seconda propone un quadro tecnico di valutazione, fondato su due approcci e tre criteri.

L’EDPB individua le due domande fondamentali: l’informazione si riferisce a una persona fisica? E, in caso di risposta affermativa, quella persona è identificata o identificabile? È sufficiente una sola risposta negativa perché il dato non sia personale, almeno rispetto al soggetto che compie la valutazione, e debba dunque ritenersi anonimo, da detta prospettiva.

Infatti, recependo la sentenza EDPS c. SRB (C-413/23 P), le Linee guida chiariscono che le risposte possono mutare da un soggetto all’altro: la stessa informazione può essere dato personale per un soggetto e dato anonimo per un altro. L’anonimato non è una qualità assoluta del dato, ma un attributo necessariamente relativo, che dipende dalla prospettiva del soggetto che lo tratta.

Un dato si riferisce a una persona fisica, in breve, per contenuto, quando riguarda la persona in sé; per finalità, quando è utilizzato — o è ragionevolmente prevedibile che lo sia — per valutare, trattare o influenzare lo status o il comportamento dell’individuo; per effetto, quando il trattamento è suscettibile di incidere sui diritti o sugli interessi dell’interessato. Identificare una persona, poi, significa distinguerla dalle altre in un determinato contesto, “rendendo così possibile trattarla in modo diverso”.

Richiamando ancora una volta la sentenza EDPS c. SRB, il Comitato precisa che la probabilità di identificazione non deve essere pari a zero, ma risultare non significativa nella realtà.

Il concetto di “mezzi” in “mezzi ragionevolmente utilizzabili” va interpretato in senso ampio: esso, osserva il Comitato, comprende qualsiasi mezzo concretamente idoneo all’identificazione, dalle operazioni più elementari alle analisi più sofisticate, anche quando accessibile soltanto tramite terzi. La valutazione va condotta alla luce di tutti i fattori oggettivi del caso concreto, inclusi gli sviluppi tecnologici ragionevolmente prevedibili.

Delle molte questioni di rilievo affrontate dalle Linee guida, due, in particolare, meritano di essere menzionate.

La prima attiene all’individuazione dei soggetti rilevanti, ossia quelli dalla cui prospettiva va misurata l’identificabilità, o meglio la probabilità di re-identificazione. L’elenco non è tassativo e dipende dalle circostanze concrete. Oltre al titolare del trattamento e ai destinatari dei dati, può occorrere valutare anche la prospettiva dei soggetti che potrebbero acquisire, direttamente o indirettamente, accesso alle informazioni o contribuire alla re-identificazione: dipendenti infedeli, giornalisti investigativi, autorità di contrasto e di intelligence — anche straniere —, imprese scorrette, cybercriminali. Chi dispone di informazioni aggiuntive, chi di capacità tecniche o investigative particolari, chi potrebbe accedere ai dati in modo illecito. Il Comitato impone di valutare separatamente la posizione di ciascun soggetto rilevante.

Il secondo aspetto, contiguo al primo, riguarda le motivazioni del soggetto che potrebbe procedere alla re-identificazione. L’EDPB sconsiglia di attribuire rilievo alla mancanza di interesse o di motivazione, perché i motivi possono essere difficili da accertare, mutare nel tempo e comunque non escluderebbero che l’identificazione avvenga per accidente, errore o negligenza.

La seconda parte del documento offre un quadro tecnico per valutare l’anonimizzazione, applicabile secondo due approcci distinti. L’approccio contestuale traduce lo standard giuridico delineato nella prima parte del documento e impone di valutare separatamente, per ciascun soggetto rilevante, i mezzi ragionevolmente utilizzabili per l’identificazione. Il Comitato riconosce, però, che questa valutazione, nella pratica, può risultare complessa. Per questo, le Linee guida delineano anche un approccio semplificato, che prescinde dalle differenze tra i singoli soggetti. Il Comitato precisa che l’approccio semplificato non è uno standard giuridico alternativo, ma un metodo operativo pensato per ridurre il rischio di considerare anonimi dati che non lo sono; esso può però condurre a trattare come personali dati che sarebbero anonimi rispetto ai soggetti rilevanti, così giungendosi ad applicare il GDPR nei casi dubbi. Le Linee guida osservano, infine, che i due approcci possono essere utilizzati in modo complementare.

Il cuore del framework è rappresentato dai tre criteri, evoluzione di quelli già proposti dal Gruppo di lavoro Articolo 29 nel 2014: il “No Record Isolation”, il “No Linkage” e il “No Inference”. Essi vanno impiegati, nell’uno o nell’altro approccio, per verificare se — e con quale probabilità — la re-identificazione sia possibile. Il superamento di tutti e tre, secondo l’uno o l’altro approccio, consente di concludere che il dato è anonimo. Il mancato soddisfacimento di uno solo, però, non comporta automaticamente la qualificazione del dato come personale: il framework è uno strumento di valutazione, non una regola meccanica. Occorrerà, dunque, approfondire la valutazione, con modalità differenti a seconda del criterio che sia risultato non soddisfatto.

Le Linee guida hanno il merito di ricondurre a sistema una materia che, negli ultimi anni, la giurisprudenza europea e i nuovi interventi legislativi hanno fortemente innovato. La distinzione tra approccio contestuale e approccio semplificato ne costituisce la novità principale e offre agli operatori un metodo di valutazione concreto.

Alcuni profili, tuttavia, meritano un’ulteriore riflessione in sede di consultazione pubblica.

Il primo riguarda l’ampiezza della nozione di soggetti rilevanti. Le Linee guida vi includono, a seconda dei casi, cybercriminali, imprese scorrette e autorità di intelligence — anche straniere —, mentre escludono l’opportunità di considerare la mancanza di motivazione rispetto alla re-identificazione. Un’impostazione che rischia di appesantire la valutazione richiesta al titolare del trattamento, omettendo di valorizzare adeguatamente strade utili per una valutazione ragionevole e plausibile delle probabilità di re-identificazione. Come anticipato, l’anonimizzazione occupa ormai un ruolo centrale in diversi atti del diritto dell’Unione europea. Eppure, essa resta un trattamento complesso e oneroso per i titolari. Valorizzare, anche in sede di Linee guida, soluzioni idonee ad alleggerire il percorso valutativo, senza diminuire la tutela degli interessati, favorirebbe un uso più diffuso dell’anonimizzazione. Resta, infine, da verificare come la valutazione degli “sviluppi tecnologici ragionevolmente prevedibili” possa tradursi in criteri realmente prevedibili per gli operatori: le Linee guida richiamano esplicitamente l’intelligenza artificiale agentica, destinata a ridurre tempi e costi delle tecniche di re-identificazione. Sarà interessante vedere come una simile valutazione possa applicarsi in concreto, senza compromettere la certezza del diritto. La consultazione pubblica può essere l’occasione per misurare questi equilibri.

__________

*Avv. Giorgia Bianchini, Studio Legale Finocchiaro