L’opinione dell’Avvocato generale (AG) Dean Spielmann, pubblicata il 6 febbraio 2025, riaccende il dibattito sulla pseudonimizzazione, l’anonimizzazione e il concetto di “dato personale”, a meno di un mese dalla pubblicazione delle linee guida 1/2025 da parte dell’European Data Protection Board (Edpb).
Indice degli argomenti
La pseudonimizzazione
Il GDPR definisce i dati personali come qualsiasi informazione riguardante una persona fisica identificata o identificabile direttamente o indirettamente.
La mappa dei rischi Cyber in Italia: scopri lo scenario per il 2025
Invece, la pseudonimizzazione è descritta come “il trattamento dei dati personali in modo tale che non possano più essere attribuiti a un interessato specifico senza l’utilizzo di informazioni aggiuntive, a condizione che tali informazioni aggiuntive siano conservate separatamente e soggette a misure tecniche e organizzative intese a garantire che tali dati personali non siano attribuiti a una persona fisica
identificata o identificabile”.
Definizione di dati anonimi
I dati vengono generalmente considerati anonimi se:
- non riguardano una persona fisica identificata o identificabile;
- oppure se sono stati trattati in modo tale da rendere irragionevole la possibilità di ricollegare l’interessato a tali dati, sulla base di una valutazione che tiene conto delle risorse necessarie, della tecnologia disponibile e dei suoi sviluppi.
Si tratta di un criterio estremamente rigido. Infatti, le autorità di protezione dei dati personali tendono a interpretare il considerando 26 del GDPR in modo molto restrittivo, non collegandolo a una specifica fase del trattamento.
Il precedente della Corte di Giustizia: il caso Breyer
Nel caso C-582/14 (“Breyer”), la Corte di Giustizia ha stabilito che un indirizzo IP dinamico, se registrato da un fornitore di servizi online, costituisce un dato personale. Questo perché, con le informazioni aggiuntive fornite da un Internet Service Provider, sarebbe possibile identificare un utente.
La Corte ha sottolineato che, anche se i provider di servizi online non possono generalmente trasmettere tali dati, esistono strumenti giuridici che consentono loro di rivolgersi alle autorità competenti per ottenere tali informazioni, in particolare in caso di attacchi informatici.
Secondo la Corte, infatti, esistono “strumenti giuridici che consentono al fornitore di servizi di media online di rivolgersi, in particolare in caso di attacchi cibernetici, all’autorità competente affinché quest’ultima assuma le iniziative necessarie per ottenere tali informazioni dal fornitore di accesso a Internet e per avviare procedimenti penali.
Sembra quindi che il fornitore di servizi di media online disponga di mezzi che possono essere ragionevolmente utilizzati per identificare, con l’aiuto di altri soggetti, ossia l’autorità competente e il fornitore di accesso a Internet, la persona interessata sulla base degli indirizzi IP conservati”.
Personalità del dato
Questa decisione è stata centrale nella definizione della personalità del dato. L’interpretazione rigorosa adottata dalla Corte ha spinto molti titolari a trattare i dati pseudonimizzati con estrema cautela, applicando comunque le tutele previste dal Gdpr, anche quando i dati hanno subito un processo di de-identificazione avanzata.
Il caso Srb vs. EDPS e la decisione T-557/2020: il caso del Banco Popular
Nel 2017 il Comitato di risoluzione unico (SRB) aveva adottato un piano di risoluzione per Banco Popular, ai sensi del Regolamento (UE) n. 806/2014. Il SRB ha incaricato Deloitte, in qualità di soggetto indipendente, di effettuare una valutazione per determinare se gli azionisti e i creditori avrebbero ricevuto un trattamento migliore in caso di normale procedura d’insolvenza.
In questo contesto è stata iniziata una procedura di consultazione per decidere se concedere un risarcimento agli azionisti e ai creditori colpiti.
I dati raccolti durante la registrazione, ovvero l’identità dei partecipanti e la proprietà degli strumenti di capitale di Banco Popular, erano accessibili solo a un numero limitato di dipendenti del SRB.
Durante la consultazione, l’SRB ha raccolto e inviato al revisore commenti in forma aggregata, filtrata e categorizzata, accompagnati da codici alfanumerici che consentivano all’SRB di verificare che ogni commento fosse stato gestito correttamente. Deloitte non ha mai avuto accesso ai dati personali raccolti nella fase di registrazione.
Tuttavia, alcuni azionisti e creditori hanno presentato un reclamo, sostenendo che l’informativa non indicava chiaramente che tali commenti sarebbero stati trasmessi al revisore.
L’EDPS ha quindi concluso che l’SRB aveva effettuato un trattamento illecito di dati personali, considerando che i dati trasmessi fossero pseudonimizzati e quindi soggetti alla normativa sulla protezione dei dati personali.
Conseguentemente, secondo l’EDPS, Deloitte era un destinatario dei dati personali, ma non era menzionato nell’informativa del SRB, violando l’obbligo di trasparenza previsto dall’Articolo 15(1)(d) del Regolamento (UE) 2018/1725.
Nella decisione T-557/2020, la Corte Generale ha ribadito, come già affermato nel caso Breyer, che la nozione di anonimizzazione non deve essere interpretata in modo assoluto. Inoltre, ha precisato che il rischio di re-identificazione deve essere valutato dal punto di vista del destinatario dei dati, verificando se questo abbia i mezzi per identificare gli interessati.
Nuova prospettiva sul concetto di dato personale
Questa interpretazione ha aperto a una nuova prospettiva sul concetto di dato personale:
- se il destinatario dei dati non ha mezzi sufficienti per identificare gli individui, allora l’obbligo di informazione non sussiste;
- la sola disponibilità di dati aggiuntivi da parte del titolare non implica che tali dati siano personali anche per i destinatari, a meno che questi non possano effettivamente ricollegarli a una persona fisica.
Corollario di tale decisione è il principio secondo cui la disponibilità, da parte del titolare, di dati aggiuntivi idonei a re-identificare l’individuo non comporti necessariamente che tali dati debbano considerarsi personali anche per i destinatari, laddove questi ultimi non abbiano i mezzi necessari per riassociarli a una persona fisica.
Linee guida Edpb, l’opinione dell’Avvocato Generale (AG)
Il caso SRB v. EDPS è ora all’attenzione della Corte di Giustizia. Il 6 febbraio 2025, l’Avvocato Generale ha rilasciato un’opinione che, se seguita dalla Corte, potrebbe ridefinire l’intero approccio alla pseudonimizzazione.
Sebbene la decisione sia basata sul Regolamento 2018/1725, i suoi principi sono applicabili anche ai trattamenti soggetti al GDPR.
Ecco i principali punti affrontati dall’AG:
- i dati pseudonomizzati non sono necessariamente dati personali;
- la nozione di identificabilità richiede una valutazione relativa;
- è valida la presunzione secondo cui un’opinione espressa da un soggetto è un’informazione che lo “riguarda”;
- l’identificazione dei destinatari dei dati va fatta al momento della raccolta, dal punto di vista del titolare iniziale.
I dati pseudonomizzati non sono necessariamente dati personali
L’AG evidenzia che né il Regolamento 2018/1725 né il Gdpr forniscono una definizione esatta di “dato pseudonimizzato”.
Si limitano a descrivere la pseudonimizzazione come una garanzia tecnica e organizzativa applicata al dato.
In particolare, il considerando 16 del Regolamento 2018/1725 (e il corrispondente considerando 26 del Gdpr) afferma che “i dati personali sottoposti a pseudonimizzazione, i quali potrebbero essere attribuiti a una persona fisica mediante informazioni aggiuntive, dovrebbero essere considerati informazioni su una persona fisica identificabile”.
Tuttavia, secondo l’AG, questo significa che non tutti i dati pseudonimizzati permettono l’identificabilità dell’interessato.
Diversamente da quanto le autorità hanno spesso ritenuto, secondo l’AG tale specifica va interpretata come un’ammissione della possibilità che, in alcuni casi, i dati pseudonomizzati non permettano l’identificabilità dell’interessato.
La conseguenza naturale di tale ragionamento è che i dati pseudonomizzati possono o non possono essere considerati come personali, a seconda del
loro potenziale identificativo.
La nozione di identificabilità richiede una valutazione relativa
Il considerando 16 del Regolamento 2018/1725 e il 26 del Gdpr precisano che l’identificabilità va valutata sia in rapporto al titolare stesso che in relazione a terzi, nonché tenendo conto “l’insieme dei fattori obbiettivi tra cui i costi e il tempo necessario per l’identificazione” oltre a “le tecnologie disponibili al momento del trattamento” e “gli sviluppi tecnologici”.
Attualmente, la giurisprudenza tende a considerare un dato non personale solo quando il rischio di identificazione è nullo o insignificante. Tuttavia, l’AG critica questa impostazione, ritenendola sproporzionata: imporre gli obblighi del Gdpr a soggetti che non possono ragionevolmente re-identificare gli interessati sarebbe eccessivo.
L’AG conclude quindi che il livello di pseudonimizzazione va determinato dal punto di vista del destinatario: solo se quest’ultimo ha mezzi sufficienti per identificare l’individuo si applica la normativa sui dati personali.
Un’opinione espressa da un soggetto è un’informazione che lo “riguarda”
L’Edps ha sollevato la questione del possibile contrasto tra la decisione della Corte Generale e la precedente sentenza C- 434/16 (cd. “Nowak”), nella quale la Corte di Giustizia aveva stabilito che “le risposte scritte fornite da un candidato durante un esame professionale e le eventuali annotazioni dell’esaminatore relative a tali risposte costituiscono dati personali”.
Secondo l’AG, per stabilire se un commento possa essere considerato un dato personale, occorre distinguere due casi:
- se il commento riguarda altre persone, è necessaria un’analisi che consideri il contesto, il contenuto, la finalità e l’effetto del commento;
- se il commento riguarda il suo stesso autore, si può presumere che sia un dato personale, perché riflette il suo ragionamento e la sua opinione soggettiva, salvo prova contraria.
L’AG sottolinea che il filtraggio, la categorizzazione e l’aggregazione dei commenti non alterano questa considerazione. Se si ritenesse il contrario, basterebbe aggregare più commenti per escludere il requisito dell’“informazione riguardante una persona fisica”. E ciò sarebbe un’interpretazione distorta del concetto di dato personale.
Nel caso specifico, l’AG conclude che, poiché i commenti erano destinati a contribuire a un processo decisionale e a essere considerati nelle valutazioni, devono comunque essere considerati informazioni che “riguardano” i loro autori.
L’identificazione dei destinatari dei dati va fatta al momento della raccolta, dal punto di vista del titolare iniziale
Secondo l’AG, il momento della raccolta dei dati è quello in cui il titolare deve individuare e indicare chiaramente i destinatari dei dati, poiché gli obblighi di trasparenza impongono di informare gli interessati fin da tale momento.
Pertanto, l’AG rigetta l’interpretazione secondo cui la nozione di destinatario dei dati personali, per fini di trasparenza, debba essere valutata solo nel momento della trasmissione dei dati.
Ritardare questa valutazione significherebbe violare l’obbligo normativo, che richiede di indicare i destinatari al momento della raccolta.
In altre parole, per determinare chi sia il “destinatario” dei dati, occorre adottare la prospettiva del titolare che inizialmente raccoglie e pseudonimizza i dati, e non quella del soggetto che li riceve in seguito.
Nel caso specifico, quindi, l’SRB avrebbe dovuto chiaramente informare gli interessati della trasmissione dei dati a Deloitte.
Corte di Giustizia: cosa farà ora
Nonostante la rilevanza delle valutazioni dell’AG, è probabile che la Corte di Giustizia decida la controversia senza esprimere principi chiari sulla natura della pseudonimizzazione e sulla valutazione dell’identificabilità da parte del destinatario dei dati.
Piuttosto, potrebbe limitarsi a rinviare la questione alla Corte Generale, concentrandosi esclusivamente sull’obbligo informativo di SRB. Questo perché, ai fini di tale obbligo, il punto di vista del destinatario dei dati non risulta determinante.
Le linee guida dell’EDPB
Le linee guida dell’Edpb indicano che i dati pseudonomizzati, i quali potrebbero essere attribuiti a una persona fisica mediante l’utilizzo di ulteriori informazioni, dovrebbero considerarsi informazioni su una persona identificabile. Secondo l’EDPB, questa considerazione rimane vera se i dati pseudonomizzati e informazioni aggiuntive non sono nelle mani della stessa persona.
Allo stesso tempo, al punto 48 le Linee Guida considerano la pseudonomizzazione come una misura di minimizzazione dei dati quando gli stessi sono inviati a un destinatario esterno, per evitare che abbiano accesso a informazioni identificanti di cui non hanno necessità o per evitare che siano usati per scopi incompatibili.
Le recenti linee guida dell’Edpb non affrontano direttamente il tema della identificabilità da parte dei destinatari, soffermandosi, al contrario, sul punto di vista del titolare pseudonomizzante e concentrandosi su come tale procedimento possa rappresentare una misura di garanzia adatta a soddisfare diversi obblighi: minimizzazione, privacy by design e by default, misura di mitigazione dei rischi di cyber security.
Pertanto, queste linee guida lasciano aperto il punto, quantomai critico, dell’applicabilità al destinatario della normativa in materia di protezione dei dati personali.
Perché è importante
L’incertezza sulle conseguenze della pseudonimizzazione e sull’applicazione della normativa in materia di protezione dei dati personali rappresenta uno dei principali ostacoli allo sviluppo del mercato dei dati nell’Unione Europea.
Attualmente, l’ampia interpretazione del concetto di “dato personale” porta a un’applicazione generalizzata del GDPR, anche in situazioni in cui si sottopongono i dati a processi di de-identificazione avanzati.
Questo crea oneri e rischi significativi, specialmente per startup e aziende innovative, che spesso si trovano a dover sostenere costi elevati di compliance o ad abbandonare progetti di valorizzazione dei dati per timore di violare la normativa.
La definizione di cosa si intenda per dati personali è cruciale anche alla luce delle nuove normative approvata dall’Unione Europea nel contesto della Digital Strategy (come il Data Act e il Data Governance Act). Infatti, tali normative stabiliscono una differenza tra dati personali e dati non personali che, in molti casi, ha conseguenze pratiche nella gestione della compliance e nell’esercizio dei diritti attribuiti a interessati e utenti.
Chiarimento necessario
Un chiarimento da parte dell’EDPB o della Corte di Giustizia sarebbe fondamentale per:
- definire con maggiore certezza quando i dati pseudonimizzati rientrano o meno nell’ambito di applicazione del GDPR;
- stabilire i criteri per valutare l’identificabilità dal punto di vista del destinatario dei dati, evitando interpretazioni eccessivamente restrittive;
- dare alle imprese strumenti concreti per adottare misure di protezione efficaci senza essere gravate da obblighi sproporzionati.
In un’epoca in cui la gestione responsabile dei dati è cruciale per l’innovazione e la competitività, un intervento chiarificatore sarebbe un passo necessario per garantire un equilibrio tra tutela della privacy e sviluppo del mercato dei dati in Europa.
Sicurezza della Blockchain: 10 best practice per aumentare il grado di protezione
