Immutabilità tecnologica e mutabilità del diritto. La protezione dei dati personali nei sistemi blockchain alla luce delle Linee Guida 02/2025 dell’EDPB

Abstract
Il contributo esamina il rapporto tra le tecnologie a registro distribuito e la disciplina della protezione dei dati personali, assumendo quale riferimento primario le Linee Guida 02/2025 dell’European Data Protection Board, adottate in versione definitiva il 7 luglio 2026 all’esito della consultazione pubblica avviata con la versione preliminare dell’8 aprile 2025. L’analisi ricostruisce anzitutto la qualificazione giuridica del dato registrato on-chain, per poi affrontare il tema dell’allocazione delle responsabilità in un contesto di governance disintermediata, la tenuta dei principi di cui all’art. 5 GDPR rispetto all’architettura tamperproof della blockchain, e le soluzioni tecniche indicate dall’Autorità per rendere compatibile l’immutabilità del registro con l’esercizio dei diritti di cancellazione e rettifica. Il lavoro propone, infine, una lettura teorica della tensione tra la persistenza tecnica del dato e la mutabilità che è propria della relazione giuridica, sostenendo che l’anonimizzazione tecnica, più che la cancellazione in senso stretto, costituisca l’esito operativo più coerente con l’architettura blockchain.

This contribution examines the relationship between distributed ledger technologies and the discipline of personal data protection, taking as its primary reference the European Data Protection Board’s Guidelines 02/2025, adopted in final version on 7 July 2026 following the public consultation launched with the preliminary version of 8 April 2025. The analysis first reconstructs the legal qualification of data recorded on-chain, before addressing the allocation of responsibilities in a context of disintermediated governance, the resilience of the principles set out in Article 5 GDPR against the tamper-proof architecture of blockchain, and the technical solutions indicated by the Authority to reconcile the immutability of the ledger with the exercise of the rights to erasure and rectification. Finally, the work proposes a theoretical reading of the tension between the technical persistence of data and the mutability inherent in the legal relationship, arguing that technical anonymisation, rather than erasure in the strict sense, constitutes the operational outcome most coherent with blockchain architecture.

1. Premessa: il problema teorico della persistenza del dato in un registro distribuito

L’analisi prende le mosse da una constatazione preliminare, tanto elementare quanto gravida di conseguenze sistematiche: la tecnologia blockchain, nella sua configurazione più diffusa, è costruita per rendere irreversibile ciò che vi viene iscritto, mentre il diritto della protezione dei dati personali è costruito, all’opposto, per rendere reversibile, attraverso la rettifica, la cancellazione, la limitazione, ciò che di un individuo viene trattato. Questa non è una tensione superabile con un accorgimento tecnico isolato, bensì una frizione strutturale tra due logiche di funzionamento reciprocamente eterogenee; da un lato l’architettura informatica orientata alla persistenza probatoria e alla verificabilità diacronica delle transazioni; dall’altro un impianto normativo che assume la mutabilità della relazione tra il soggetto e il dato che lo riguarda come condizione stessa dell’autodeterminazione informativa.
Occorre distinguere, sin da questa premessa, il piano descrittivo da quello prescrittivo. Sul piano descrittivo, si tratta di comprendere come una blockchain elabori, distribuisca e conservi l’informazione e quali categorie di dato personale possano in concreto residuare all’interno di tale architettura. Sul piano prescrittivo, si tratta di stabilire se, e a quali condizioni, un trattamento di dati personali realizzato per il tramite di un registro distribuito possa dirsi conforme al Regolamento generale sulla protezione dei dati e quali misure tecniche e organizzative siano idonee a mitigarne i rischi specifici. È su questo secondo piano che si colloca l’intervento dell’European Data Protection Board, il quale, con le Linee Guida 02/2025, ha inteso offrire alle organizzazioni un quadro interpretativo unitario, dapprima in versione preliminare, sottoposta a consultazione pubblica, e, successivamente, in versione definitiva .
Il presente contributo si propone di ricostruire criticamente tale intervento, verificandone la coerenza interna rispetto ai principi generali del Regolamento e collocandolo entro una riflessione più ampia sul rapporto tra tecnica e diritto. Si intende mostrare, in particolare, come le indicazioni dell’Autorità, pur muovendo da un approccio dichiaratamente tecnologicamente neutro, finiscano per orientare (non senza una certa cautela regolatoria) le scelte architetturali degli operatori verso soluzioni che privilegiano la conservazione fuori catena (off-chain) del dato personale, relegando il registro distribuito a funzione probatoria e di verifica dell’integrità.

2. Genesi, struttura e metodo delle Linee Guida 02/2025 dell’EDPB

Le Linee Guida 02/2025 sono state adottate dall’European Data Protection Board in una prima versione durante la plenaria dell’8 aprile 2025 e sottoposte a consultazione pubblica sino al 9 giugno dello stesso anno; la versione definitiva, la 2.0, reca lievi modifiche rispetto al testo consultato ed è stata adottata il 7 luglio 2026 . Si tratta di un intervallo temporale non trascurabile che segnala l’attenzione riposta dall’Autorità nella ponderazione dei contributi ricevuti in sede di consultazione e che a sua volta invita l’interprete a considerare il testo definitivo come l’esito di un processo deliberativo maturo, anzichè come un documento di prima approssimazione.
Sotto il profilo metodologico, l’Autorità dichiara sin dall’incipit di non voler qualificare la blockchain come una fattispecie di trattamento in sé, bensì di analizzare l’interazione tra le caratteristiche tecniche di tale tecnologia e i principi della protezione dei dati, fornendo indicazioni pratiche ai titolari del trattamento che intendano avvalersene . Tale impostazione muove da una premessa di neutralità tecnologica, per cui la blockchain è equiparata, quanto al regime applicabile, ad altre tecnologie di trattamento quali il cloud computing o le reti peer-to-peer: non esiste, cioè, alcuna esenzione dall’applicazione del Regolamento in ragione della sola scelta infrastrutturale operata dal titolare.
Le Linee Guida si articolano in cinque sezioni sostanziali – introduzione, contesto e scopo applicativo, descrizione della tecnologia, valutazione del trattamento basato su blockchain, diritti degli interessati – cui si affiancano un allegato recante sedici raccomandazioni operative e un glossario tecnico. Tale struttura, di per sé, rivela un approccio non meramente esegetico, ma consulenziale. L’Autorità non si limita a interpretare le disposizioni del Regolamento alla luce della fattispecie tecnologica, ma offre una griglia di autovalutazione (articolata attorno a quattro interrogativi cardine, relativi alla presenza di dati personali, alla necessità della blockchain, al tipo di architettura da adottare e alle misure tecniche e organizzative da implementare) che il titolare è chiamato a percorrere sin dalla fase di progettazione del trattamento.

3. La qualificazione giuridica del dato on-chain: metadati, payload, identificatori crittografici

Il nucleo tecnico-descrittivo delle Linee Guida individua due categorie di dato potenzialmente presenti all’interno di una transazione registrata su blockchain: i metadati, comprensivi degli identificativi dei partecipanti alla transazione, e il payload, ossia il contenuto sostanziale della transazione medesima . Quanto ai primi, l’Autorità osserva che ciascun partecipante è di norma associato a un identificativo alfanumerico, una chiave pubblica derivata da una corrispondente chiave privata, che assume la qualificazione di dato personale ove sia idoneo, con mezzi ragionevolmente utilizzabili, a consentire l’identificazione della persona fisica cui si riferisce, anche in ipotesi di violazione dei dati che ne comprometta l’anonimato relativo .
Tale impostazione risulta coerente con l’elaborazione della Corte di giustizia in tema di identificabilità indiretta, la quale, sin dalla nota pronuncia Breyer, ha chiarito che la qualificazione di un dato come personale non richiede che l’identificazione sia attuale o agevole, essendo sufficiente che essa risulti possibile attraverso mezzi che, secondo un criterio di ragionevolezza, siano nella disponibilità del titolare o di un terzo . Ne discende una conseguenza di non poco momento per gli operatori del settore: la circostanza che una chiave pubblica appaia, a un osservatore superficiale, come una sequenza casuale di caratteri privi di significato semantico non esclude, di per sé, la sua natura di dato personale, quante volte esistano, anche presso terzi, informazioni ulteriori idonee a ricondurla a una persona fisica determinata.
Quanto al payload, l’Autorità precisa che esso può includere dati personali relativi tanto ai soggetti direttamente coinvolti nella transazione quanto a terzi, e che il dato on-chain non si esaurisce nel contenuto della singola transazione, potendo comprendere altre strutture dati registrate sul medesimo registro, quali i log degli eventi o la memoria dei contratti intelligenti . Si tratta di una precisazione di rilievo sistematico, giacché essa amplia sensibilmente il perimetro dell’indagine che il titolare è tenuto a condurre in sede di accountability, imponendogli di verificare non soltanto la natura dei dati inseriti intenzionalmente nella transazione, ma anche quella dei dati generati come effetto collaterale del funzionamento stesso dell’infrastruttura.
A fronte di tale complessità, le Linee Guida enumerano tre tecniche idonee a mitigare il rischio derivante dalla registrazione diretta e leggibile del dato personale sul registro: la cifratura, mediante la quale il dato resta accessibile in chiaro soltanto a chi disponga della relativa chiave di decifrazione; l’hashing, salato o con chiave, mediante il quale sul registro residua unicamente un’impronta crittografica del dato, conservato altrove; e l’impegno crittografico (cryptographic commitment), che consente di vincolare un valore senza rivelarlo, riservando la verifica a un momento successivo . Ciascuna di tali tecniche, tuttavia, non elimina la qualificazione del dato risultante come personale: l’Autorità ribadisce, infatti, in termini inequivoci, che il dato cifrato resta dato personale e che la cifratura non esonera dagli obblighi discendenti dal Regolamento.

4. Le architetture di responsabilità: controller e processor nella governance disintermediata

Il secondo nodo problematico affrontato dalle Linee Guida attiene all’allocazione dei ruoli di titolare e di responsabile del trattamento in un contesto, come quello della governance blockchain, caratterizzato per definizione dall’assenza di un’autorità centrale univocamente identificabile . L’Autorità richiama, sul punto, la propria elaborazione generale in materia di titolare e responsabile , per poi precisare che la scelta di una determinata infrastruttura tecnologica non può mai costituire, di per sé, motivo di esonero dagli obblighi discendenti dal principio di responsabilizzazione .
Si osserva, sul piano sistematico, che l’elemento dirimente ai fini della qualificazione soggettiva è costituito dal meccanismo di governance adottato: ove la blockchain sia permissioned, l’esistenza di un’autorità che autorizza la partecipazione dei nodi consente, di norma, un’allocazione più agevole delle responsabilità, ragione per cui l’Autorità raccomanda, salvo giustificate ragioni contrarie, di preferire tale architettura a quella permissionless . Nelle blockchain pubbliche e permissionless, viceversa, la qualificazione dei nodi come titolari, responsabili ovvero soggetti privi di rilevanza soggettiva ai fini del Regolamento dipende da una valutazione fattuale che tenga conto dell’effettiva capacità di ciascun nodo di incidere, in modo determinante, sulle finalità e sui mezzi essenziali del trattamento .
Emerge, in questo passaggio, un profilo di rilevante interesse teorico, prima ancora che pratico: l’Autorità, pur muovendo da un presupposto di neutralità tecnologica, introduce nei fatti un incentivo regolatorio a favore delle architetture maggiormente centralizzate sotto il profilo della governance, in quanto more agevolmente riconducibili alle categorie soggettive elaborate dal diritto della protezione dei dati. Si tratta di una torsione significativa, giacché la ragione storica e ideologica che ha sorretto lo sviluppo delle blockchain pubbliche (la disintermediazione quale valore in sé) viene qui posta in tensione con l’esigenza, propria del diritto amministrativo della protezione dei dati, di poter individuare un interlocutore responsabile cui indirizzare l’azione di vigilanza e cui imputare, in ultima istanza, la sanzione.

5. I principi dell’art. 5 GDPR alla prova dell’immutabilità del registro

L’analisi si sposta, a questo punto, sul terreno dei principi generali enunciati dall’art. 5 GDPR , la cui applicazione alla fattispecie blockchain costituisce, nell’economia delle Linee Guida, il banco di prova più severo. Quanto al principio di limitazione della finalità, l’Autorità osserva che la natura disintermediata della tecnologia rende difficile vincolare contrattualmente i partecipanti al rispetto delle finalità inizialmente dichiarate, imponendo al titolare un onere rafforzato di chiarezza nella definizione delle finalità stesse sin dalla fase di progettazione .
Quanto al principio di minimizzazione, si osserva che la natura cumulativa e tendenzialmente perpetua della struttura a blocchi concatenati – ciascun blocco collegato crittograficamente al precedente e replicato presso una molteplicità di nodi – pone tale principio in frizione strutturale con le caratteristiche stesse della tecnologia, imponendo al titolare di dimostrare che la tecnica prescelta assicuri il trattamento del solo dato strettamente necessario, con il minor grado di pubblicità compatibile con la finalità perseguita . Si tratta di un onere probatorio non lieve, che richiede una documentazione puntuale delle alternative architetturali scartate e delle ragioni della scelta operata, in coerenza con il principio di necessità quale elaborato, in termini generali, dalla giurisprudenza della Corte europea dei diritti dell’uomo in tema di ingerenze nei diritti fondamentali.
Quanto al principio di esattezza, l’Autorità sottolinea che, stante la limitatissima possibilità di intervento successivo sul dato già registrato, l’onere di accuratezza si sposta interamente sulla fase preliminare di raccolta e selezione del dato, richiedendo al titolare una diligenza particolarmente qualificata nella verifica ex ante della correttezza delle informazioni destinate a essere iscritte sul registro . Quanto, infine, al principio di limitazione della conservazione, le Linee Guida chiariscono che la mera persistenza tecnica del dato sul registro non equivale, né può essere confusa con, un periodo di conservazione legittimamente definito; la circostanza che il dato permanga sulla blockchain per l’intera vita della stessa non esonera il titolare dal delimitare, e successivamente rispettare, un periodo di conservazione ancorato alla finalità del trattamento .
Si può osservare, a questo punto dell’indagine, come l’insieme dei principi dell’art. 5 GDPR, se applicato con rigore alla fattispecie blockchain, conduca a una conclusione per certi versi paradossale rispetto alla vocazione originaria della tecnologia: l’architettura a registro distribuito, nata per garantire la massima trasparenza e la massima persistenza dell’informazione, risulta conforme al diritto della protezione dei dati nella misura, esattamente inversa, in cui riesce a minimizzare quanto vi è iscritto e a rendere il dato eventualmente presente privo, nel tempo, di ogni valenza identificativa.

6. Il diritto alla cancellazione e alla rettifica. Soluzioni tecniche e limiti strutturali

Il tema più delicato, sotto il profilo sia teorico sia applicativo, riguarda la compatibilità tra l’architettura blockchain e l’esercizio dei diritti di cancellazione e di opposizione di cui agli artt. 17 e 21 GDPR . Le Linee Guida non eludono la difficoltà, riconoscendo apertamente che può risultare tecnicamente impraticabile procedere alla cancellazione effettiva di un dato registrato direttamente su una blockchain, stante la proprietà di integrità crittografica e di consenso distribuito che caratterizza tale tecnologia .
La soluzione indicata dall’Autorità non consiste, tuttavia, nell’esonero dall’obbligo, bensì nella sua traduzione operativa in termini di anonimizzazione: ove la cancellazione in senso proprio risulti tecnicamente impraticabile, il titolare deve assicurare che il dato personale eventualmente presente sul registro possa essere reso effettivamente anonimo, provvedendo alla cancellazione dei dati conservati fuori catena — le chiavi di cifratura, i sali crittografici, le informazioni collaterali — la cui eliminazione impedisca, con mezzi ragionevolmente utilizzabili, la successiva identificazione dell’interessato . Si tratta di un meccanismo che l’Autorità stessa qualifica come complesso da realizzare in pratica, tanto da raccomandare, ove la proprietà di forte integrità propria della blockchain non risulti strettamente necessaria alla finalità del trattamento, di orientarsi verso strumenti tecnologici alternativi.
Analoghe considerazioni valgono per il diritto di rettifica, che le Linee Guida ritengono soddisfacibile, in alcuni casi, mediante la registrazione di una transazione successiva che annunci la correzione o l’annullamento di quella precedente, fermo restando che quest’ultima permarrà comunque visibile sul registro, salva l’ipotesi, più radicale, in cui la rettifica stessa presupponga la cancellazione del dato erroneo, nel qual caso trovano applicazione le medesime soluzioni indicate per il diritto alla cancellazione . Le Linee Guida richiamano, sul punto, l’esperienza applicativa maturata dall’Autorità spagnola di protezione dei dati, la quale ha elaborato una nota tecnica dedicata proprio alla compatibilità tra blockchain e diritto alla cancellazione .
Un ulteriore profilo, distinto ma contiguo, riguarda l’esecuzione dei contratti intelligenti, la quale può in taluni casi integrare gli estremi di una decisione basata unicamente su un trattamento automatizzato ai sensi dell’art. 22 GDPR. In tale ipotesi, il titolare è tenuto ad assicurare le garanzie previste da tale disposizione, tra cui la possibilità di un intervento umano e il diritto dell’interessato di contestare la decisione, anche quando lo smart contract abbia già trovato integrale esecuzione e a prescindere da quanto risulti registrato sul registro . La disposizione del Data Act che definisce lo smart contract come programma per l’esecuzione automatizzata di un accordo, garantendo l’integrità e l’ordine cronologico dei relativi dati, offre in questo caso un utile ancoraggio definitorio, del quale le stesse Linee Guida si avvalgono.

7. Basi giuridiche, trasferimenti internazionali e valutazione d’impatto

Sotto il profilo della liceità del trattamento, le Linee Guida escludono l’esistenza di un’unica base giuridica valida per ogni trattamento realizzato mediante blockchain, imponendo una verifica caso per caso ai sensi dell’art. 6 GDPR, ed eventualmente dell’art. 9 GDPR ove ricorrano categorie particolari di dati . Particolare attenzione è riservata all’ipotesi del consenso quale base giuridica: l’Autorità precisa che, ove il consenso venga revocato, il dato personale deve poter essere cancellato o reso anonimo, con la conseguenza di non poco rilievo pratico che il consenso non può costituire base giuridica legittima per un trattamento che, per le caratteristiche tecniche dell’architettura prescelta, non consenta in concreto tale cancellazione o anonimizzazione . Vengono, altresì, considerate le ipotesi in cui l’impiego della blockchain sia imposto dal diritto dell’Unione o degli Stati membri, ad esempio in materia di contrasto al riciclaggio o di pubblicità immobiliare, richiamandosi in tal caso i limiti di proporzionalità e di riserva di legge propri dell’art. 23 GDPR .
Quanto ai trasferimenti internazionali, le Linee Guida rilevano come l’utilizzo di blockchain comporti, con frequenza tutt’altro che residuale, la condivisione del dato con nodi situati al di fuori dello Spazio economico europeo, i quali, specie nelle architetture permissionless, non sono né scelti né sottoposti a verifica dal titolare, ciò che rende particolarmente problematica l’applicazione delle garanzie di cui al Capo V del Regolamento . L’Autorità suggerisce, quale possibile misura di mitigazione, l’inserimento di clausole contrattuali standard negli accordi che disciplinano l’accesso alla qualità di nodo, pur riconoscendo che tale soluzione risulta di agevole praticabilità solo nelle architetture permissioned, ove tale accordo preventivo sia strutturalmente possibile.
Infine, con riguardo alla valutazione d’impatto sulla protezione dei dati, le Linee Guida richiamano i criteri elaborati dal Gruppo di lavoro Articolo 29 per la determinazione dei trattamenti suscettibili di comportare un rischio elevato , specificando che la valutazione debba muovere da una descrizione sistematica dell’infrastruttura blockchain adottata, dall’accertamento della necessità e proporzionalità del ricorso a tale tecnologia rispetto a soluzioni meno invasive, e da un’analisi puntuale dei rischi propri della fattispecie — tra cui quello, non scontato, relativo all’obsolescenza nel tempo dei meccanismi crittografici impiegati, aggravato dalla prospettiva, non ancora attuale ma non per questo irrilevante ai fini di una valutazione prospettica, della disponibilità di elaboratori quantistici crittograficamente rilevanti.

8. Considerazioni conclusive: memoria “tecnica” e oblio “giuridico”

L’indagine condotta consente di trarre alcune conclusioni che conviene ordinare secondo un criterio di crescente astrazione. Sul piano più immediatamente ricostruttivo, le Linee Guida 02/2025 confermano, senza margini di ambiguità, che la blockchain non gode di alcuno statuto derogatorio rispetto al Regolamento generale sulla protezione dei dati e che l’intera disciplina codicistica, dalla qualificazione del dato personale alla individuazione dei soggetti responsabili sino all’esercizio dei diritti dell’interessato, trova applicazione integrale anche quando il trattamento sia realizzato per il tramite di un registro distribuito. Tale conclusione, per quanto prevedibile alla luce del principio generale di neutralità tecnologica che permea l’intero impianto del GDPR, acquista un peso specifico ulteriore ove si consideri l’insistenza con cui l’Autorità, lungo l’intero testo delle Linee Guida, respinge l’argomento dell’impossibilità tecnica quale causa di esonero dagli obblighi di conformità.
Sul piano più propriamente teorico, l’analisi condotta permette di isolare l’esito più significativo della riflessione dell’EDPB: la sostituzione, sul piano operativo, del paradigma della cancellazione con quello dell’anonimizzazione. Ove il dato non possa essere fisicamente rimosso dal registro senza comprometterne l’integrità crittografica, la conformità al Regolamento si realizza non già eliminando l’informazione, bensì recidendo il nesso (tecnico, prima ancora che giuridico) tra l’informazione persistente e la persona fisica cui essa un tempo si riferiva. Si tratta di un’operazione concettualmente distinta dalla cancellazione in senso proprio, giacché lascia sussistere, sul piano fenomenico, la traccia della transazione, privandola tuttavia della sua valenza identificativa: ciò che permane sul registro, per usare l’espressione delle stesse Linee Guida, perde ogni semantica riferibile alla persona, pur continuando a svolgere una funzione di verifica dell’integrità delle transazioni residue.
Conviene rendere esplicito, a questo punto, il meccanismo concettuale che sorregge tale soluzione, mutuando dalla riflessione semiotica una distinzione che risulta qui particolarmente perspicua. Ciò che l’architettura blockchain impone di conservare, per ragioni strutturali legate all’integrità del registro, è il significante: la sequenza crittografica, la traccia formale della transazione, il blocco in quanto tale. Ciò che il diritto della protezione dei dati esige, viceversa, è la dissoluzione del significato: il venir meno di ogni riferibilità di quella traccia a una persona fisica determinata. Le Linee Guida, pur senza avvalersi di tale lessico, operano nei fatti una scomposizione analoga, ammettendo la persistenza indefinita del segno a condizione che esso sia svuotato di ogni valenza semantica personale. Ne discende una ridefinizione, non dichiarata ma sostanziale, dell’oggetto stesso della tutela: non più la scomparsa del dato, quale evento empiricamente verificabile, bensì la recisione irreversibile del suo potere referenziale, quale condizione giuridicamente sufficiente a soddisfare la pretesa dell’interessato.
Emerge, così, un’aporia di interesse più generale per il giurista.
Il diritto della protezione dei dati, che pure affonda le proprie radici teoriche nella medesima costellazione culturale da cui è scaturito il diritto all’oblio elaborato dalla Corte di giustizia nella nota vicenda Google Spain, si trova qui a dover rinunciare, quanto meno rispetto alla fattispecie blockchain, alla pretesa più radicale di quel diritto – la scomparsa integrale della traccia – per accontentarsi di una forma più mite, ma non per questo meno efficace, di tutela: la neutralizzazione del significato personale del dato, a fronte della permanenza ineliminabile del suo significante tecnico.

In relazione alla vicenda Google Spain, in realtà, si nota come essa offra, a ben vedere, un precedente metodologicamente più affine di quanto l’analogia superficiale con il «diritto alla cancellazione» lasci intendere. La Corte di giustizia non impose, infatti, la rimozione dell’informazione dalla fonte originaria (l’articolo di stampa restava lecitamente pubblicato sul sito del quotidiano che lo aveva diffuso) bensì la soppressione del collegamento istituito dal motore di ricerca tra l’interrogazione recante il nome dell’interessato e la pagina web che vi dava riscontro (Corte di giustizia, 13 maggio 2014, causa C-131/12, Google Spain e Google, punti 88 e 99). L’operazione tecnico-giuridica ivi imposta consisteva, dunque, non nella eliminazione del significante, il contenuto informativo permaneva integro presso la fonte, ma nella recisione del nesso referenziale tra quel contenuto e la ricerca nominativa che lo rendeva agevolmente reperibile in relazione alla persona. In questa prospettiva, la soluzione elaborata dall’EDPB per la fattispecie blockchain non rappresenta un’eccezione rispetto al modello dell’oblio delineato da Google Spain, quanto, piuttosto, una sua applicazione coerente, sebbene condotta con strumenti tecnici diversi: in entrambi i casi la tutela dell’interessato si realizza non  attraverso la scomparsa della traccia, ma attraverso l’interruzione del percorso che da quella traccia riconduce, con ragionevole certezza, alla persona fisica.

Tornando, per chiudere, all’aporia, si osserva, quindi, come la tensione tra memoria tecnica e oblio “giuridico” non trovi, nelle Linee Guida, una composizione dogmatica in senso stretto, quanto, piuttosto, una traslazione: il problema della cancellazione del dato si trasforma, nei fatti, nel problema, distinto ma equivalente sul piano funzionale, della cancellazione del legame referenziale tra il dato e la persona.
Restano, all’esito dell’indagine, alcune domande aperte che meritano di essere segnalate quali possibili direzioni di ricerca ulteriore. Anzitutto, occorrerà verificare, nella prassi applicativa dei prossimi anni, se le Autorità di controllo nazionali sapranno tradurre in prassi ispettiva coerente l’onere di documentazione preventiva richiesto dalle Linee Guida, ovvero se la complessità tecnica della materia finirà per attenuare, nei fatti, il rigore dell’accountability enunciato in via di principio. In secondo luogo, resta da approfondire il rapporto tra le Linee Guida in esame e la disciplina settoriale in materia di mercati delle cripto-attività e di contrasto al riciclaggio, la cui più stringente disciplina in tema di conservazione dei dati identificativi, di durata quinquennale, pone un problema di coordinamento con il principio di limitazione della conservazione non integralmente risolto dal testo qui esaminato . Infine, merita di essere ulteriormente esplorato, in una prospettiva che ecceda i confini della presente indagine, l’impatto che l’evoluzione della crittografia post-quantistica potrà avere sulla tenuta, nel tempo lunghissimo che caratterizza per definizione un registro immutabile, delle tecniche di anonimizzazione oggi ritenute adeguate.
Un problema che investe, prima ancora del diritto, la stessa possibilità di una promessa di oblio tecnicamente credibile.

Fonti normative e istituzionali
Regolamento (UE) 2016/679 del Parlamento europeo e del Consiglio, del 27 aprile 2016 (GDPR).
Regolamento (UE) 2023/1114 del Parlamento europeo e del Consiglio, del 31 maggio 2023, relativo ai mercati delle cripto-attività (MiCA).
Regolamento (UE) 2023/2854 del Parlamento europeo e del Consiglio, del 13 dicembre 2023 (Data Act).
Regolamento (UE) 2024/1624 del Parlamento europeo e del Consiglio, del 31 maggio 2024 (Anti-Money Laundering Regulation).
Direttiva (UE) 2015/849 del Parlamento europeo e del Consiglio, del 20 maggio 2015 (AMLD IV).
European Data Protection Board, Guidelines 02/2025 on processing of personal data through blockchain technologies, Version 1.1, 8 aprile 2025, e Version 2.0, 7 luglio 2026.
European Data Protection Board, Guidelines 4/2019 on Article 25 Data Protection by Design and by Default, Version 2.0, 20 ottobre 2020.
European Data Protection Board, Guidelines 07/2020 on the concepts of controller and processor in the GDPR, Version 2.0, 7 luglio 2021.
European Data Protection Board, Guidelines on consent under Regulation 2016/679, Version 1.1, 4 maggio 2020.
European Data Protection Board, Guidelines 10/2020 on restrictions under Article 23 GDPR, Version 2.1, 13 ottobre 2021.
European Data Protection Board, Recommendations 01/2020 on measures that supplement transfer tools to ensure compliance with the EU level of protection of personal data.
European Data Protection Board, Report of the work undertaken by the ChatGPT Taskforce, maggio 2024.
Gruppo di lavoro Articolo 29, Guidelines on Data Protection Impact Assessment (DPIA) and determining whether processing is ‘likely to result in a high risk’ for the purposes of Regulation 2016/679.
Agencia Española de Protección de Datos (AEPD), Technical note: Proof of concept Blockchain and the right of erasure.
Giurisprudenza
Corte di giustizia dell’Unione europea, 13 maggio 2014, causa C-131/12, Google Spain SL e Google Inc. c. Agencia Española de Protección de Datos (AEPD) e Mario Costeja González.
Corte di giustizia dell’Unione europea, 19 ottobre 2016, causa C-582/14, Patrick Breyer c. Bundesrepublik Deutschland.
Corte europea dei diritti dell’uomo, 26 aprile 1979, causa 6538/74, Sunday Times c. Regno Unito.
Dottrina
P. De Filippi, A. Wright, Blockchain and the Law: The Rule of Code, Cambridge (Mass.), Harvard University Press, 2018.
M. Finck, Blockchain Regulation and Governance in Europe, Cambridge, Cambridge University Press, 2019.
F. Pizzetti, Intelligenza artificiale, protezione dei dati personali e regola

Di Enrica Priolo
Borsista di ricerca e Cultore della materia in «Informatica Giuridica» e «Computer Law» presso UNICA. Avvocato, DPO e Consulente in diritto e nuove tecnologie.