Con un provvedimento che farà sicuramente discutere, il 26 aprile scorso il Tribunale dell’Unione Europea ha stabilito[1] che i dati pseudonimizzati trasmessi a un destinatario non sono considerati dati personali se tale destinatario non ha i mezzi per identificare a sua volta gli interessati.
Indice degli argomenti
Il provvedimento del Tribunale dell’Unione Europea
Proviamo a capire perché la “sentenza choc” del Tribunale dell’Unione Europea potrebbe mettere in discussione l’applicabilità stessa del GDPR.
L’antefatto
Nell’ambito delle sue prerogative, il Single Resolution Board (Comitato di Risoluzione Unico, che interviene in caso di dissesto finanziario delle banche) ha utilizzato un modulo elettronico per consentire a determinati interessati di esprimere alcune opinioni, condividendo le risposte ricevute con una società di consulenza.
Prima di condividere le risposte con tale società, il Single Resolution Board ha sostituito i nominativi di ciascun interessato con dei codici (procedendo, quindi, alla previa pseudonimizzazione dei dati identificativi).
A seguito di una serie di reclami, però, lo European Data Protection Supervisor (Garante Europeo della Protezione dei Dati) ha statuito che il Single Resolution Board ha condiviso i dati personali pseudonimizzati con la società di consulenza di cui si è avvalso senza informare le persone interessate di tale trattamento di dati.
Il Single Resolution Board, dal canto suo, ha ritenuto che fornire tali informazioni non fosse necessario perché i dati trasmessi erano stati pseudonimizzati e, di conseguenza, non potevano essere considerati dati personali per il destinatario della comunicazione dei dati.
La decisione
Tuttavia, il Tribunale è stato (inaspettatamente) di diverso avviso rispetto allo European Data Protection Supervisor. Il Tribunale ha statuito che, in linea con la decisione del 2016 della Corte di Giustizia dell’Unione Europea in merito agli “Indirizzi IP dinamici come dati personali”[2], per determinare se le informazioni pseudonimizzate trasmesse a un destinatario costituiscano o meno dati personali, è necessario “considerare la prospettiva del destinatario della comunicazione dei dati”.
Se il destinatario di tali dati non dispone di informazioni aggiuntive che gli consentano di identificare nuovamente gli interessati e non ha a disposizione strumenti legali per accedere a tali informazioni, i dati trasmessi possono essere considerati anonimizzati.
Quindi, in tal caso non si sarebbe di fronte né a dati personali, né all’applicabilità del GDPR.
Per il Tribunale dell’Unione Europea il fatto che chi trasmette i dati abbia i mezzi per identificare nuovamente gli interessati è irrilevante, poiché non significa che i dati personali trasmessi “dal mittente” siano considerati automaticamente anche dati personali per il destinatario[3].
Pseudonimizzazione e dati personali: l’applicabilità del GDPR
A questo punto, per fare chiarezza attorno alla “sentenza choc” del Tribunale dell’Unione Europea è utile ricordare che, nell’ambito del trattamento dei dati personali, quella dell’identificazione – anche potenziale e, quindi, “remota” – di una persona fisica, è di fondamentale importanza poiché attorno a tale concetto orbita la stessa applicabilità del GDPR.
Come da – ormai – sei anni il Regolamento Generale sulla Protezione dei Dati “ci insegna”, la pseudonimizzazione è “il trattamento dei dati personali in modo tale che i dati personali non possano più essere attribuiti a un interessato specifico senza l’utilizzo di informazioni aggiuntive, a condizione che tali informazioni aggiuntive siano conservate separatamente e soggette a misure tecniche e organizzative intese a garantire che tali dati personali non siano attribuiti a una persona fisica identificata o identificabile” (Art. 4 n. 5 del Regolamento (UE) 2016/679 (“GDPR”).
Inoltre, nel Considerando 26 del GDPR si legge che i dati personali sottoposti a pseudonimizzazione, i quali potrebbero essere attribuiti a una persona fisica mediante l’utilizzo di ulteriori informazioni, dovrebbero essere considerati informazioni su una persona fisica identificabile.
La pseudonimizzazione, pertanto, entra in gioco quando – per determinate finalità del trattamento – è necessario che la persona fisica interessata non risulti più identificabile in “maniera non irreversibile”.
Questa mancanza di “irreversibilità” è ciò che divide la pseudonimizzazione dall’anonimizzazione, ossia ciò che separa una tecnica che rientra nel GDPR da un’altra che ne è estranea.
Differenza tra pseudonimizzazione e anonimizzazione
L’irreversibilità del processo de-identificativo conduce, infatti, all’anonimizzazione dei dati. Il già richiamato Considerando 26 del GDPR, che “cita” le due tecniche in esame, nella sua ultima parte afferma che “i principi di protezione dei dati non dovrebbero pertanto applicarsi a informazioni anonime, vale a dire informazioni che non si riferiscono a una persona fisica identificata o identificabile o a dati personali resi sufficientemente anonimi da impedire o da non consentire più l’identificazione dell’interessato. Il presente regolamento non si applica pertanto al trattamento di tali informazioni anonime, anche per finalità statistiche o di ricerca”.
In soldoni, quindi, con l’anonimizzazione non è più possibile in alcun modo risalire all’identità dell’interessato. Ragion per cui, tale trattamento/tecnica non rientra nell’ambito di applicazione del GDPR.
NOTE
Judgment of the General Court (Eighth Chamber, Extended Composition) of 26 April 2023. Single Resolution Board v European Data Protection Supervisor. EUR-Lex, qui. ↑
CJEU Confirms Dynamic IP Addresses To Be Personal Data. Covington & Burling LLP – Inside Privacy, qui. ↑
EU General Court Clarifies When Pseudonymized Data is Considered Personal Data. Covington & Burling LLP – Inside Privacy, qui. ↑
