Il file si chiama “database anonimizzato”; chi lo ha preparato ha eliminato nome, cognome, indirizzo ed email, lasciando però l’anno di nascita, il comune di residenza, la professione, alcune informazioni sanitarie e le date degli accessi. In una grande città quella combinazione potrebbe riferirsi a molte persone; in un comune piccolo, magari confrontandola con una pagina pubblica o con un profilo professionale, potrebbe indicarne una sola.
Il nome ricompare, sebbene nessuno lo abbia lasciato nel file.
Il 7 luglio 2026 l’EDPB ha adottato le Linee guida 02/2026 sull’anonimizzazione, sottoposte a consultazione pubblica fino al 30 ottobre: il testo potrà quindi cambiare, ma affronta già in maniera piuttosto chiara un problema che esiste da anni. Molte organizzazioni trattano l’anonimizzazione come una tecnica identificabile con la rimozione di alcune colonne; il GDPR, invece, chiede di verificare il risultato raggiunto.
La differenza produce conseguenze concrete, perché le informazioni realmente anonime restano fuori dall’ambito di applicazione del Regolamento; se una persona può ancora essere identificata, anche indirettamente e utilizzando dati reperiti altrove, quelle informazioni restano personali. Quando esiste una tabella capace di associare un codice a un individuo siamo normalmente davanti a una pseudonimizzazione: misura certamente utile, spesso indispensabile, che però non fa scomparire il GDPR.
Le linee guida tengono conto della sentenza pronunciata dalla Corte di giustizia il 4 settembre 2025 nella causa C-413/23 P, EDPS contro SRB, e insistono sulla prospettiva dalla quale deve essere valutata l’identificabilità; uno stesso insieme di informazioni può risultare anonimo per un soggetto che non dispone di ulteriori elementi e continuare a essere personale per chi conserva il collegamento con i dati originari.
Un istituto di ricerca indipendente potrebbe, ad esempio, ricevere estratti di cartelle cliniche privi di identificativi e non avere alcun mezzo ragionevolmente utilizzabile per risalire ai pazienti; l’ospedale che conserva le cartelle complete, invece, potrebbe riconoscerli facilmente. Prima di definire anonimo un database occorre quindi rispondere a una domanda meno banale di quanto sembri: per chi dovrebbe esserlo?
È il passaggio delle linee guida che considero più utile e, probabilmente, anche quello destinato a creare maggiori difficoltà applicative, perché l’EDPB chiede di esaminare i mezzi che ciascun soggetto potrebbe ragionevolmente utilizzare; contano il costo della reidentificazione, il tempo necessario, la tecnologia disponibile, le informazioni accessibili e persino la possibilità di rivolgersi a un terzo dotato di capacità migliori. L’assenza attuale di uno strumento tecnico presso il destinatario dice poco, qualora quello stesso strumento possa essere acquistato o utilizzato senza particolari difficoltà.
Questa valutazione non può limitarsi alle persone autorizzate ad accedere al sistema; secondo le circostanze, possono assumere rilievo anche un dipendente infedele, un giornalista investigativo, un’autorità dotata di specifici poteri, una società interessata a quelle informazioni oppure un criminale informatico. Non tutte queste prospettive dovranno essere esaminate in ogni progetto, naturalmente, ma la scelta di escluderle avrà bisogno di una motivazione collegata al caso concreto.
Le linee guida contengono anche un’indicazione che merita attenzione nei rapporti con i fornitori: il divieto contrattuale di tentare la reidentificazione può ridurre il rischio, ma deve accompagnare le misure tecniche, perché una clausola può essere violata, modificata o ignorata. Un archivio che consente facilmente di riconoscere gli interessati non acquista la qualità di dato anonimo per effetto della firma apposta in fondo a un contratto.
Per verificare se l’anonimizzazione abbia funzionato, l’EDPB riprende i tre criteri già utilizzati dal Gruppo Articolo 29 nel parere del 2014 e li aggiorna alla giurisprudenza e alle tecniche oggi disponibili: isolamento del record, collegabilità e inferenza.
Il primo test serve a capire se una combinazione di attributi permetta di distinguere una persona da tutte le altre; più il record è dettagliato, maggiore sarà la possibilità che risulti unico, anche quando non contiene alcun identificativo diretto. Il secondo riguarda il collegamento con altre fonti: un archivio apparentemente innocuo può diventare identificativo quando viene confrontato con un elenco pubblico, un profilo social o un diverso database. Il terzo esamina le informazioni che possono essere dedotte; una sequenza di luoghi e orari, per esempio, può rivelare il domicilio, il luogo di lavoro o la frequentazione abituale di una struttura sanitaria.
Se i dati superano tutte e tre le verifiche possono essere considerati anonimi con un ragionevole livello di sicurezza; il mancato superamento di uno dei criteri, tuttavia, non consente ancora di concludere automaticamente che ogni informazione sia personale, perché occorre proseguire l’analisi e stabilire se la tecnica disponibile permetta concretamente di distinguere l’individuo e trattarlo in modo differente. L’EDPB propone dunque un metodo da applicare e documentare, non tre caselle alle quali attribuire un colore verde.
Anche il percorso utilizzato per produrre il database anonimo rimane sottoposto al GDPR: durante quella fase il titolare tratta ancora dati personali, deve disporre di una base giuridica ai sensi dell’articolo 6 e, se sono presenti categorie particolari di dati, verificare anche l’articolo 9; restano inoltre gli obblighi di trasparenza e la necessità di conservare la documentazione delle operazioni eseguite.
Quella documentazione dovrebbe spiegare quali verifiche siano state svolte, quali soggetti e informazioni esterne siano stati considerati e perché la probabilità di reidentificazione sia stata ritenuta insignificante; la semplice indicazione del software utilizzato, o la rassicurante denominazione “anonymous_export_final.csv”, difficilmente potranno bastare quando da quella valutazione dipende la sottrazione di un intero progetto alle garanzie del GDPR.
Resta infine un elemento che nei progetti viene spesso dimenticato: il tempo. Nuovi archivi diventano disponibili, la potenza di calcolo aumenta e tecniche che oggi richiedono risorse eccezionali possono diventare di uso comune; per questa ragione l’EDPB raccomanda di riesaminare periodicamente il rischio di reidentificazione.
Anche un incidente di sicurezza può modificare immediatamente il giudizio espresso sul database: se viene sottratta la tabella necessaria a ricostruire le identità, informazioni considerate anonime fino al giorno precedente possono tornare personali, imponendo al titolare di valutare anche gli obblighi previsti dagli articoli 33 e 34 del GDPR.
“Abbiamo tolto i nomi” descrive soltanto un’operazione eseguita sul file; per scrivere “dati anonimi” occorre sapere che cosa vi sia rimasto, chi possa riceverlo, con quali informazioni possa confrontarlo e per quanto tempo questa valutazione possa ancora considerarsi affidabile.
Le nuove linee guida chiedono di conservare le risposte. Era ora.