L’EDPB aggiorna il paradigma dell’anonimizzazione
Nel corso della sua ultima sessione plenaria dello scorso 7 luglio 2026, il Comitato europeo per la protezione dei dati (EDPB) ha adottato le Linee guida 02/2026 sull’anonimizzazione, in consultazione pubblica fino al 30 settembre 2026. aggiornando il Parere 05/2014 del Gruppo Articolo 29. Il documento definisce un framework più articolato per stabilire quando un’informazione possa effettivamente essere considerata anonima e, di conseguenza, sottratta all’applicazione del GDPR.
Nel corso della sua ultima sessione plenaria dello scorso 7 luglio 2026, il Comitato europeo per la protezione dei dati (EDPB) ha adottato le Linee guida 02/2026 sull’anonimizzazione, in consultazione pubblica fino al 30 settembre 2026. aggiornando il Parere 05/2014 del Gruppo Articolo 29. Il documento definisce un framework più articolato per stabilire quando un’informazione possa effettivamente essere considerata anonima e, di conseguenza, sottratta all’applicazione del GDPR.
Le nuove Linee guida non rivoluzionano integralmente il quadro precedente. Mantengono infatti i tre criteri già elaborati nel 2014 — No Record Isolation, No Linkage e No Inference —, ma collocandoli all’interno di una valutazione più chiaramente contestuale, dinamica e documentabile.
Perché aggiornare il Parere del 2014?
Il Parere 05/2014 del Gruppo Articolo 29 era stato il primo documento europeo a sistematizzare i criteri tecnici utilizzabili per valutare l’efficacia di un processo di anonimizzazione. I concetti di singling out, linkability e inference sono rimasti per oltre un decennio il principale riferimento europeo in materia.
Nel frattempo, tuttavia, il contesto giuridico e tecnologico ha subito profondi cambiamenti: le tecniche di analisi e di correlazione dei dati sono diventate più sofisticate; la quantità di informazioni ausiliarie reperibili online è cresciuta in modo significativo; più di recente, i sistemi di intelligenza artificiale hanno reso possibili operazioni di collegamento e inferenza che nel 2014 sarebbero state molto più complesse e costose.
Per orientare in modo uniforme l’attività interpretative, nel corso del tempo la Corte di giustizia dell’Unione europea ha progressivamente precisato il concetto di identificabilità;
- Un ruolo centrale è svolto dalla sentenza EDPS v SRB, causa C-413/23 P, del 4 settembre 2025. La decisione ha rafforzato l’impostazione relativa dell’identificabilità, chiarendo le condizioni per le quali un dato pseudonimo ricevuto da un terzo destinatario possa, in concreto, ritenersi come vero e proprio dato anonimo. Sul punto, La decisione della CGUE pone due condizioni affinché il terzo destinatario li possa considerare anonimi: (i) che il destinatario sia effettivamente impossibilitato (anche dal punto di vista giuridico) di risalire ai singoli interessati, e (ii) che non condivida tali dati pseudonimizzati con nessun altro che invece sia in grado di (ri)identificare tali persone.Ai fini dell’obbligo informativo, ad esempio, la natura personale delle informazioni deve essere valutata dalla prospettiva del titolare al momento della raccolta, indipendentemente dal fatto che un successivo destinatario possa non essere in grado di identificare direttamente gli interessati.
- Il principio, già anticipato dalla sentenza Breyer, causa C-582/14, costituisce uno degli assi portanti delle nuove Linee guida: per stabilire se un’informazione sia anonima occorre individuare preliminarmente il soggetto o i soggetti rispetto ai quali la valutazione deve essere compiuta.
Il punto di partenza del documento è che l’anonimità non costituisce necessariamente una proprietà intrinseca e immutabile del dataset. La qualificazione dipende dal contesto, dai soggetti che possono accedere alle informazioni e dai mezzi ragionevolmente utilizzabili per identificare gli individui.
Un dataset può quindi risultare anonimo per un destinatario indipendente che non dispone di informazioni aggiuntive, ma continuare a essere personale per il soggetto che conserva la chiave di collegamento o i dati originari.
Questa relatività produce conseguenze operative immediate:
- Quando un’organizzazione comunica un dataset a un titolare autonomo, occorre valutare non soltanto le caratteristiche intrinseche dei dati trasmessi, ma anche le informazioni, le capacità tecniche e le fonti esterne disponibili al destinatario.
- Diverso è il caso in cui il destinatario operi come responsabile del trattamento. Se un soggetto tratta i dati per conto del titolare, l’identificabilità deve essere valutata dalla prospettiva del titolare stesso, non soltanto da quella del responsabile. Questa precisazione impedisce di eludere il GDPR affidando il trattamento a un responsabile o a un sub-responsabile che non disponga direttamente degli identificatori originari. Il dato non diventa anonimo per il solo fatto che una parte della catena di trattamento non sia materialmente in grado di ricondurlo agli interessati, quando tale capacità resta nella disponibilità del titolare.
Quando un’informazione “si riferisce” a una persona secondo l’EDPB
Riprendendo l’impostazione elaborata dalla Corte di giustizia nella sentenza Nowak, causa C-434/16, l’EDPB distingue tre modalità attraverso le quali un’informazione può riguardare un individuo: per contenuto, per scopo o per effetto.
- Un’informazione riguarda una persona per contenuto quando descrive direttamente caratteristiche, comportamenti o condizioni dell’individuo. È il caso di un referto medico, di una fotografia o di un registro relativo a un dipendente.
- L’informazione riguarda una persona per scopo quando è utilizzata, o destinata a essere utilizzata, per valutare, influenzare o trattare un individuo in modo specifico, anche se il dato riguarda apparentemente un oggetto. Il valore di un’abitazione, ad esempio, può essere impiegato per determinare la posizione fiscale del proprietario; la scheda di manutenzione di un veicolo può essere utilizzata per valutare l’operato del meccanico.
- Il collegamento sussiste infine per effetto quando il trattamento, pur riguardando formalmente un oggetto, un’attività o un’organizzazione, è suscettibile di incidere sui diritti o sugli interessi di una persona. I dati GPS dei taxi, raccolti per ottimizzare i percorsi, possono anche consentire di monitorare gli spostamenti, le pause e il rendimento dei conducenti.
Il legame con l’individuo non deve quindi essere immediatamente evidente. Anche informazioni aggregate possono riferirsi a singole persone quando, attraverso opportune tecniche di analisi, consentono di ricavare dati individuali specifici.
I tre criteri dell’anonimizzazione
Le Linee guida mantengono i tre criteri già elaborati nel 2014, aggiornandone la formulazione e chiarendone la funzione.
I criteri operano come test prudenziali. Se il dataset li supera tutti, può essere considerato anonimo con un elevato grado di affidabilità. Se uno dei criteri non è soddisfatto, tuttavia, non ne deriva automaticamente che le informazioni siano personali: occorre svolgere una seconda analisi per verificare se la tecnica individuata permetta concretamente di distinguere, collegare o ricavare informazioni relative a una persona identificata o identificabile.
A) No Record Isolation
Il criterio del No Record Isolation richiede di verificare se sia possibile isolare un record, una combinazione di attributi o un insieme di valori riferibili allo stesso individuo.
L’unicità di un record costituisce un importante indicatore di rischio, ma non equivale automaticamente all’identificazione. Occorre ancora verificare se l’isolamento consenta di distinguere una persona nel contesto e, eventualmente, di trattarla in modo differenziato.
L’esempio della videosorveglianza è particolarmente utile. In una ripresa di una strada, la descrizione “persona con una giacca nera” potrebbe riguardare diversi soggetti; lo stesso potrebbe valere per “persona accompagnata da un cane”. La combinazione “persona con una giacca nera accompagnata da un cane” potrebbe invece isolare un unico individuo all’interno della scena.
B) No Linkage
Il criterio del No Linkage richiede di verificare se le informazioni possano essere collegate:
- ad altri record presenti nello stesso dataset;
- a record contenuti in dataset differenti;
- a fonti informative esterne;
- a informazioni già detenute dal soggetto che accede ai dati.
Il collegamento è uno dei profili più complessi della valutazione, perché impone di considerare informazioni che il titolare potrebbe non controllare direttamente.
Un dataset apparentemente innocuo può diventare identificativo se incrociato con un registro pubblico, una banca dati commerciale, informazioni pubblicate sui social network o dati già disponibili presso il destinatario.
Il rischio non scompare necessariamente introducendo rumore o imprecisione. Tecniche avanzate di record linkage possono infatti collegare informazioni anche quando i dati non coincidono perfettamente o presentano errori, approssimazioni e valori mancanti.
La valutazione deve quindi tenere conto non soltanto delle corrispondenze esatte, ma anche delle tecniche probabilistiche e statistiche ragionevolmente utilizzabili.
C) No Inference
Il criterio del No Inference riguarda la possibilità di ricavare dal dataset un’informazione personale specifica e significativa relativa a un individuo identificato o identificabile.
Non ogni inferenza determina il fallimento del test. L’informazione ricavata deve essere specifica, cioè riferibile a un determinato individuo, e significativa, ossia dipendere effettivamente dal dataset e non da una generica conoscenza statistica della popolazione.
L’affermazione “il verde è un colore molto popolare” può indurre a ipotizzare che anche Luca preferisca il verde. Questa inferenza non è però significativa in senso tecnico, perché deriva da una conoscenza generale e non da dati specificamente riferiti a Luca.
Diverso sarebbe il caso di un dataset relativo ai prestiti bancari dal quale sia possibile ricavare che una persona identificabile ha incontrato difficoltà nel rimborso del proprio mutuo. In questo caso l’inferenza è individuale, significativa e dipende dal contenuto informativo del dataset.
Rientra in questo ambito anche la membership inference, ossia la possibilità di dedurre che una determinata persona fosse inclusa nel dataset originario. La semplice appartenenza può già rivelare informazioni sensibili oppure costituire il primo passaggio per ricavare ulteriori dati relativi all’interessato.
Il problema assume particolare rilievo nei sistemi di intelligenza artificiale. Un modello addestrato su dati personali può conservare o rendere estraibili informazioni relative al dataset di addestramento, anche quando non contiene una banca dati tradizionale direttamente consultabile. Analogo rischio può riguardare i dati sintetici, qualora opportune interrogazioni o tecniche di prompting consentano di ricostruire informazioni individuali.
Il mancato superamento di un test non chiude l’analisi
Uno dei chiarimenti più importanti delle Linee guida riguarda il rapporto tra i tre criteri e la qualificazione giuridica finale.
Se tutti i test sono soddisfatti, il dataset può essere considerato anonimo con un elevato grado di sicurezza.
Se uno dei test non è soddisfatto, non si può invece concludere automaticamente che le informazioni siano personali. Occorre verificare se la possibilità teorica di isolamento, collegamento o inferenza produca risultati sufficientemente affidabili e precisi da permettere di distinguere una persona e di trattarla diversamente.
L’isolamento di un record, ad esempio, potrebbe non consentire di associarlo a un individuo reale. Un collegamento potrebbe produrre risultati troppo incerti. Un’inferenza potrebbe essere generica, imprecisa o basata su conoscenze disponibili indipendentemente dal dataset.
Il fallimento di uno dei criteri apre quindi una seconda fase di valutazione, nella quale occorre esaminare l’effettiva capacità identificativa della tecnica considerata.
Due approcci metodologici
Le Linee guida distinguono due modalità di applicazione del framework: l’approccio contestuale e l’approccio semplificato.
L’approccio contestuale
L’approccio contestuale riflette più direttamente lo standard giuridico del considerando 26 GDPR.
Richiede di individuare le entità rilevanti — destinatari, soggetti autorizzati, potenziali terzi, persone che potrebbero ottenere accesso ai dati — e di valutare, per ciascuna, i mezzi ragionevolmente utilizzabili per identificare gli interessati.
Devono essere considerate le informazioni aggiuntive disponibili, le competenze tecniche, la capacità di calcolo, i costi, i tempi, gli impedimenti giuridici, le misure di sicurezza e la possibilità di acquisire ulteriori dataset.
A seconda del contesto, tra le entità rilevanti possono rientrare destinatari autorizzati, dipendenti infedeli, giornalisti investigativi, autorità pubbliche, servizi di intelligence, cybercriminali o altre organizzazioni interessate ai dati.
È il metodo più preciso, ma anche il più oneroso. Il rischio caratteristico consiste in un falso giudizio di anonimato: il titolare potrebbe ritenere anonimo il dataset perché non ha individuato tutte le capacità e le fonti informative disponibili ai potenziali reidentificatori.
L’approccio semplificato
L’approccio semplificato adotta una prospettiva più conservativa. Invece di differenziare analiticamente le capacità delle diverse entità, assume prudenzialmente che, quando una tecnica di reidentificazione sia concretamente disponibile, un soggetto possa essere in grado di utilizzarla.
Questo approccio riduce il rischio di qualificare erroneamente come anonimi dati che non lo sono, ma può produrre il risultato opposto: negare l’anonimato a informazioni che, rispetto alle entità concretamente rilevanti, potrebbero invece essere considerate anonime.
L’approccio semplificato può dunque condurre ad applicare il GDPR anche in situazioni nelle quali lo standard contestuale avrebbe consentito di qualificare il dataset come anonimo.
L’EDPB suggerisce di utilizzare i due metodi in modo combinato. Si può partire dall’approccio semplificato per verificare se esistano tecniche teoricamente idonee alla reidentificazione e, in caso positivo, applicare l’approccio contestuale per stabilire se tali tecniche rientrino effettivamente tra i mezzi ragionevolmente utilizzabili dai soggetti considerati.
In questo modo, il primo approccio opera come filtro prudenziale e il secondo come strumento di affinamento della valutazione.
I mezzi ragionevolmente utilizzabili
L’identificabilità non deve essere valutata in termini di possibilità meramente astratta. Il considerando 26 GDPR richiede di considerare i mezzi ragionevolmente utilizzabili dal titolare o da altri soggetti per identificare direttamente o indirettamente una persona.
La valutazione deve fondarsi su elementi oggettivi, tra cui:
- natura, granularità e unicità dei dati;
- quantità di attributi disponibili;
- esistenza di informazioni ausiliarie;
- costi e tempi della reidentificazione;
- competenze e capacità tecniche necessarie;
- disponibilità di potenza di calcolo;
- ostacoli giuridici e organizzativi;
- valore economico o strategico delle informazioni;
- evoluzione tecnologica ragionevolmente prevedibile.
Non è richiesto che la probabilità di reidentificazione sia matematicamente pari a zero. Occorre però che il rischio concreto di distinguere una persona sia insignificante nella realtà.
Il carattere “ragionevole” dei mezzi non è inoltre statico. Tecniche oggi costose o accessibili soltanto a pochi soggetti potrebbero diventare comuni in futuro, soprattutto grazie alla crescente disponibilità di strumenti di intelligenza artificiale capaci di automatizzare la raccolta, il collegamento e l’analisi di fonti eterogenee.
Tre avvertenze operative
Oltre al framework generale, le Linee guida contengono alcune indicazioni che contrastano con pratiche ancora diffuse.
La motivazione del reidentificatore non è decisiva
Molte analisi escludono determinati soggetti sulla base dell’argomento secondo cui non avrebbero interesse a identificare gli interessati.
L’EDPB considera questo criterio poco affidabile. Le motivazioni individuali e organizzative sono difficili da dimostrare, possono mutare nel tempo e non tengono conto dell’identificazione accidentale, della negligenza o dell’azione di dipendenti infedeli.
La motivazione può essere considerata indirettamente, ad esempio valutando il valore economico o strategico dei dati reidentificati, ma non può costituire da sola la ragione per escludere un rischio.
Le misure contrattuali non bastano da sole
Clausole di riservatezza, divieti di reidentificazione e accordi di non divulgazione possono contribuire alla riduzione del rischio, soprattutto quando sono verificabili, effettivamente azionabili e accompagnati da controlli.
Non equivalgono tuttavia a un generale impedimento di legge e non costituiscono, da soli, una prova sufficiente dell’anonimato. Possono essere ignorati, violati o modificati; la loro efficacia dipende dalla possibilità concreta di accertare e sanzionare le violazioni.
Le misure contrattuali devono quindi essere valutate insieme alle misure tecniche e organizzative, non come loro sostituto automatico.
L’anonimizzazione non è necessariamente permanente
Un dataset considerato anonimo in un determinato momento può diventare reidentificabile in seguito alla disponibilità di nuove fonti informative, al progresso tecnologico, a una violazione di sicurezza o alla diffusione di strumenti di analisi più potenti.
È pertanto buona pratica predisporre un riesame periodico, con frequenza proporzionata alla durata della conservazione, all’ampiezza della diffusione del dataset, alla sensibilità delle informazioni originarie e alla velocità dell’evoluzione tecnologica nel settore interessato.
Il riesame assume particolare importanza quando i dati sono pubblicati online, condivisi con un numero elevato di destinatari o conservati per periodi molto lunghi.
Il GDPR si applica al processo di anonimizzazione
Un punto spesso trascurato è che l’anonimizzazione costituisce essa stessa un trattamento di dati personali.
Fino a quando il processo non è stato completato con successo, il GDPR continua ad applicarsi integralmente. Il titolare deve quindi individuare una base giuridica ai sensi dell’articolo 6 e, quando il dataset originario comprende categorie particolari di dati, una delle condizioni previste dall’articolo 9, paragrafo 2.
Non è sufficiente che il trattamento precedente fosse lecito: occorre verificare che anche l’operazione di anonimizzazione sia compatibile con la base giuridica individuata, con le finalità dichiarate e con le ragionevoli aspettative degli interessati.
Si applicano inoltre i principi di correttezza, trasparenza, minimizzazione, limitazione delle finalità, sicurezza e responsabilizzazione.
Gli interessati devono essere informati, nei limiti previsti dal GDPR, del fatto che i loro dati saranno utilizzati per produrre informazioni anonime. Il titolare deve anche evitare l’impiego improprio di espressioni come “anonimo”, “de-identificato” o “depersonalizzato” quando permanga una possibilità ragionevole di identificazione.
La documentazione del processo deve essere conservata anche dopo la cancellazione dei dati originari. Dovrebbero essere registrati, tra gli altri elementi:
- le caratteristiche del dataset iniziale;
- le tecniche di anonimizzazione applicate;
- i soggetti rispetto ai quali è stata valutata l’identificabilità;
- le fonti informative aggiuntive considerate;
- i test eseguiti;
- le ipotesi formulate;
- le misure tecniche, organizzative e contrattuali adottate;
- i risultati della valutazione;
- le condizioni che potrebbero richiedere un riesame.
Considerazioni conclusive
Le Linee guida 02/2026 non sostituiscono integralmente il paradigma del 2014. I tre criteri fondamentali restano invariati e molte delle tecniche discusse erano già note agli operatori.
Il documento consolida però un cambiamento concettuale avviato dalla giurisprudenza della Corte di giustizia: l’anonimizzazione non può essere trattata come un’operazione meramente formale, binaria e definitiva.
Non basta rimuovere gli identificatori diretti, applicare una tecnica statistica e archiviare il risultato. Occorre individuare le prospettive rilevanti, valutare i mezzi ragionevolmente utilizzabili, considerare le informazioni ausiliarie, applicare i tre test, documentare il ragionamento e verificare nel tempo che le condizioni iniziali restino valide.
Le implicazioni sono particolarmente rilevanti per chi sviluppa sistemi di intelligenza artificiale, gestisce dataset sanitari, svolge attività di ricerca scientifica o condivide dati con partner pubblici e privati.
L’anonimizzazione diventa così un processo di governo del rischio, non una semplice trasformazione tecnica del dato. È un’attività più complessa rispetto alla mera eliminazione del nome, ma anche più coerente con la realtà contemporanea, nella quale la capacità identificativa di un’informazione dipende sempre più dalle relazioni tra dataset, dalle capacità degli attori e dagli strumenti tecnologici disponibili.
Di Alessia Palladino
Assegnista di ricerca e Cultore della Materia in «Informatica giuridica» e «Computer Law» presso l’Università degli Studi di Cagliari