Nel corso della sua ultima sessione plenaria dello scorso 7 luglio 2026, il Comitato europeo per la protezione dei dati (EDPB) ha adottato le Linee guida 02\/2026 sull\u2019anonimizzazione, in consultazione pubblica fino al 30 settembre 2026. aggiornando il Parere 05\/2014 del Gruppo Articolo 29. Il documento definisce un framework pi\u00f9 articolato per stabilire quando un\u2019informazione possa effettivamente essere considerata anonima e, di conseguenza, sottratta all\u2019applicazione del GDPR.<\/em><\/p>\n\n\n\n Nel corso della sua ultima sessione plenaria<\/strong> dello scorso 7 luglio 2026<\/strong>, il Comitato europeo per la protezione dei dati (EDPB) ha adottato le Linee guida 02\/2026<\/a><\/strong> sull\u2019anonimizzazione<\/strong>, in consultazione pubblica fino al 30 settembre 2026. aggiornando il Parere 05\/2014 <\/strong>del Gruppo Articolo 29. Il documento definisce un framework<\/strong> pi\u00f9 articolato per stabilire quando un\u2019informazione possa effettivamente essere considerata anonima e, di conseguenza, sottratta all\u2019applicazione del GDPR.<\/p>\n\n\n\n Le nuove Linee guida non rivoluzionano integralmente<\/strong> il quadro precedente. Mantengono infatti i tre criteri gi\u00e0 elaborati nel 2014 \u2014 No Record Isolation<\/em>, No Linkage<\/em> e No Inference<\/em> \u2014, ma collocandoli all\u2019interno di una valutazione pi\u00f9 chiaramente contestuale, dinamica e documentabile.<\/p>\n\n\n\n Il Parere 05\/2014<\/strong> del Gruppo Articolo 29 era stato il primo documento europeo<\/strong> a sistematizzare i criteri tecnici utilizzabili per valutare l\u2019efficacia di un processo di anonimizzazione. I concetti di singling out<\/em>, linkability<\/em> e inference<\/em> sono rimasti per oltre un decennio il principale riferimento europeo in materia.<\/p>\n\n\n\n Nel frattempo, tuttavia, il contesto giuridico e tecnologico ha subito profondi cambiamenti: le tecniche di analisi e di correlazione dei dati sono diventate pi\u00f9 sofisticate; la quantit\u00e0 di informazioni ausiliarie reperibili online \u00e8 cresciuta in modo significativo; pi\u00f9 di recente, i sistemi di intelligenza artificiale hanno reso possibili operazioni di collegamento e inferenza che nel 2014 sarebbero state molto pi\u00f9 complesse e costose.<\/p>\n\n\n\n Per orientare in modo uniforme l’attivit\u00e0 interpretative, nel corso del tempo la Corte di giustizia dell\u2019Unione europea<\/strong> ha progressivamente precisato il concetto di identificabilit\u00e0<\/strong>; <\/p>\n\n\n\n Il punto di partenza del documento \u00e8 che l\u2019anonimit\u00e0 non costituisce necessariamente una propriet\u00e0 intrinseca<\/strong> e immutabile del dataset. La qualificazione dipende dal contesto, dai soggetti che possono accedere alle informazioni e dai mezzi ragionevolmente utilizzabili per identificare gli individui.<\/p>\n\n\n\n Un dataset pu\u00f2 quindi risultare anonimo per un destinatario indipendente che non dispone di informazioni aggiuntive, ma continuare a essere personale per il soggetto che conserva la chiave di collegamento o i dati originari.<\/p>\n\n\n\n Questa relativit\u00e0 produce conseguenze operative immediate: <\/p>\n\n\n\n Riprendendo l\u2019impostazione elaborata dalla Corte di giustizia nella sentenza Nowak<\/em>, causa C-434\/16, l\u2019EDPB distingue tre modalit\u00e0 attraverso le quali un\u2019informazione pu\u00f2 riguardare un individuo: per contenuto, per scopo o per effetto.<\/p>\n\n\n\n Il legame con l\u2019individuo non deve quindi essere immediatamente evidente. Anche informazioni aggregate possono riferirsi a singole persone quando, attraverso opportune tecniche di analisi, consentono di ricavare dati individuali specifici.<\/p>\n\n\n\n Le Linee guida mantengono i tre criteri gi\u00e0 elaborati nel 2014, aggiornandone la formulazione e chiarendone la funzione.<\/p>\n\n\n\n I criteri operano come test prudenziali. Se il dataset li supera tutti, pu\u00f2 essere considerato anonimo con un elevato grado di affidabilit\u00e0. Se uno dei criteri non \u00e8 soddisfatto, tuttavia, non ne deriva automaticamente che le informazioni siano personali: occorre svolgere una seconda analisi per verificare se la tecnica individuata permetta concretamente di distinguere, collegare o ricavare informazioni relative a una persona identificata o identificabile.<\/p>\n\n\n\n Il criterio del No Record Isolation<\/em> richiede di verificare se sia possibile isolare un record, una combinazione di attributi o un insieme di valori riferibili allo stesso individuo.<\/p>\n\n\n\n L\u2019unicit\u00e0 di un record costituisce un importante indicatore di rischio, ma non equivale automaticamente all\u2019identificazione. Occorre ancora verificare se l\u2019isolamento consenta di distinguere una persona nel contesto e, eventualmente, di trattarla in modo differenziato.<\/p>\n\n\n\n L\u2019esempio della videosorveglianza \u00e8 particolarmente utile. In una ripresa di una strada, la descrizione \u201cpersona con una giacca nera\u201d potrebbe riguardare diversi soggetti; lo stesso potrebbe valere per \u201cpersona accompagnata da un cane\u201d. La combinazione \u201cpersona con una giacca nera accompagnata da un cane\u201d potrebbe invece isolare un unico individuo all\u2019interno della scena.<\/p>\n\n\n\n Il criterio del No Linkage<\/em> richiede di verificare se le informazioni possano essere collegate:<\/p>\n\n\n\n Il collegamento \u00e8 uno dei profili pi\u00f9 complessi della valutazione, perch\u00e9 impone di considerare informazioni che il titolare potrebbe non controllare direttamente.<\/p>\n\n\n\n Un dataset apparentemente innocuo pu\u00f2 diventare identificativo se incrociato con un registro pubblico, una banca dati commerciale, informazioni pubblicate sui social network o dati gi\u00e0 disponibili presso il destinatario.<\/p>\n\n\n\n Il rischio non scompare necessariamente introducendo rumore o imprecisione. Tecniche avanzate di record linkage<\/em> possono infatti collegare informazioni anche quando i dati non coincidono perfettamente o presentano errori, approssimazioni e valori mancanti.<\/p>\n\n\n\n La valutazione deve quindi tenere conto non soltanto delle corrispondenze esatte, ma anche delle tecniche probabilistiche e statistiche ragionevolmente utilizzabili.<\/p>\n\n\n\n Il criterio del No Inference<\/em> riguarda la possibilit\u00e0 di ricavare dal dataset un\u2019informazione personale specifica e significativa relativa a un individuo identificato o identificabile.<\/p>\n\n\n\n Non ogni inferenza determina il fallimento del test. L\u2019informazione ricavata deve essere specifica, cio\u00e8 riferibile a un determinato individuo, e significativa, ossia dipendere effettivamente dal dataset e non da una generica conoscenza statistica della popolazione.<\/p>\n\n\n\n L\u2019affermazione \u201cil verde \u00e8 un colore molto popolare\u201d pu\u00f2 indurre a ipotizzare che anche Luca preferisca il verde. Questa inferenza non \u00e8 per\u00f2 significativa in senso tecnico, perch\u00e9 deriva da una conoscenza generale e non da dati specificamente riferiti a Luca.<\/p>\n\n\n\n Diverso sarebbe il caso di un dataset relativo ai prestiti bancari dal quale sia possibile ricavare che una persona identificabile ha incontrato difficolt\u00e0 nel rimborso del proprio mutuo. In questo caso l\u2019inferenza \u00e8 individuale, significativa e dipende dal contenuto informativo del dataset.<\/p>\n\n\n\n Rientra in questo ambito anche la membership inference<\/em>, ossia la possibilit\u00e0 di dedurre che una determinata persona fosse inclusa nel dataset originario. La semplice appartenenza pu\u00f2 gi\u00e0 rivelare informazioni sensibili oppure costituire il primo passaggio per ricavare ulteriori dati relativi all\u2019interessato.<\/p>\n\n\n\n Il problema assume particolare rilievo nei sistemi di intelligenza artificiale. Un modello addestrato su dati personali pu\u00f2 conservare o rendere estraibili informazioni relative al dataset di addestramento, anche quando non contiene una banca dati tradizionale direttamente consultabile. Analogo rischio pu\u00f2 riguardare i dati sintetici, qualora opportune interrogazioni o tecniche di prompting consentano di ricostruire informazioni individuali.<\/p>\n\n\n\n Uno dei chiarimenti pi\u00f9 importanti delle Linee guida riguarda il rapporto tra i tre criteri e la qualificazione giuridica finale.<\/p>\n\n\n\n Se tutti i test sono soddisfatti, il dataset pu\u00f2 essere considerato anonimo con un elevato grado di sicurezza.<\/p>\n\n\n\n Se uno dei test non \u00e8 soddisfatto, non si pu\u00f2 invece concludere automaticamente che le informazioni siano personali. Occorre verificare se la possibilit\u00e0 teorica di isolamento, collegamento o inferenza produca risultati sufficientemente affidabili e precisi da permettere di distinguere una persona e di trattarla diversamente.<\/p>\n\n\n\n L\u2019isolamento di un record, ad esempio, potrebbe non consentire di associarlo a un individuo reale. Un collegamento potrebbe produrre risultati troppo incerti. Un\u2019inferenza potrebbe essere generica, imprecisa o basata su conoscenze disponibili indipendentemente dal dataset.<\/p>\n\n\n\n Il fallimento di uno dei criteri apre quindi una seconda fase di valutazione, nella quale occorre esaminare l\u2019effettiva capacit\u00e0 identificativa della tecnica considerata.<\/p>\n\n\n\n Le Linee guida distinguono due modalit\u00e0 di applicazione del framework: l\u2019approccio contestuale e l\u2019approccio semplificato.<\/p>\n\n\n\n L\u2019approccio contestuale riflette pi\u00f9 direttamente lo standard giuridico del considerando 26 GDPR.<\/p>\n\n\n\n Richiede di individuare le entit\u00e0 rilevanti \u2014 destinatari, soggetti autorizzati, potenziali terzi, persone che potrebbero ottenere accesso ai dati \u2014 e di valutare, per ciascuna, i mezzi ragionevolmente utilizzabili per identificare gli interessati.<\/p>\n\n\n\n Devono essere considerate le informazioni aggiuntive disponibili, le competenze tecniche, la capacit\u00e0 di calcolo, i costi, i tempi, gli impedimenti giuridici, le misure di sicurezza e la possibilit\u00e0 di acquisire ulteriori dataset.<\/p>\n\n\n\n A seconda del contesto, tra le entit\u00e0 rilevanti possono rientrare destinatari autorizzati, dipendenti infedeli, giornalisti investigativi, autorit\u00e0 pubbliche, servizi di intelligence, cybercriminali o altre organizzazioni interessate ai dati.<\/p>\n\n\n\n \u00c8 il metodo pi\u00f9 preciso, ma anche il pi\u00f9 oneroso. Il rischio caratteristico consiste in un falso giudizio di anonimato: il titolare potrebbe ritenere anonimo il dataset perch\u00e9 non ha individuato tutte le capacit\u00e0 e le fonti informative disponibili ai potenziali reidentificatori.<\/p>\n\n\n\n L\u2019approccio semplificato adotta una prospettiva pi\u00f9 conservativa. Invece di differenziare analiticamente le capacit\u00e0 delle diverse entit\u00e0, assume prudenzialmente che, quando una tecnica di reidentificazione sia concretamente disponibile, un soggetto possa essere in grado di utilizzarla.<\/p>\n\n\n\n Questo approccio riduce il rischio di qualificare erroneamente come anonimi dati che non lo sono, ma pu\u00f2 produrre il risultato opposto: negare l\u2019anonimato a informazioni che, rispetto alle entit\u00e0 concretamente rilevanti, potrebbero invece essere considerate anonime.<\/p>\n\n\n\n L\u2019approccio semplificato pu\u00f2 dunque condurre ad applicare il GDPR anche in situazioni nelle quali lo standard contestuale avrebbe consentito di qualificare il dataset come anonimo.<\/p>\n\n\n\n L\u2019EDPB suggerisce di utilizzare i due metodi in modo combinato. Si pu\u00f2 partire dall\u2019approccio semplificato per verificare se esistano tecniche teoricamente idonee alla reidentificazione e, in caso positivo, applicare l\u2019approccio contestuale per stabilire se tali tecniche rientrino effettivamente tra i mezzi ragionevolmente utilizzabili dai soggetti considerati.<\/p>\n\n\n\n In questo modo, il primo approccio opera come filtro prudenziale e il secondo come strumento di affinamento della valutazione.<\/p>\n\n\n\n L\u2019identificabilit\u00e0 non deve essere valutata in termini di possibilit\u00e0 meramente astratta. Il considerando 26 GDPR richiede di considerare i mezzi ragionevolmente utilizzabili dal titolare o da altri soggetti per identificare direttamente o indirettamente una persona.<\/p>\n\n\n\n La valutazione deve fondarsi su elementi oggettivi, tra cui:<\/p>\n\n\n\n Non \u00e8 richiesto che la probabilit\u00e0 di reidentificazione sia matematicamente pari a zero. Occorre per\u00f2 che il rischio concreto di distinguere una persona sia insignificante nella realt\u00e0.<\/p>\n\n\n\n Il carattere \u201cragionevole\u201d dei mezzi non \u00e8 inoltre statico. Tecniche oggi costose o accessibili soltanto a pochi soggetti potrebbero diventare comuni in futuro, soprattutto grazie alla crescente disponibilit\u00e0 di strumenti di intelligenza artificiale capaci di automatizzare la raccolta, il collegamento e l\u2019analisi di fonti eterogenee.<\/p>\n\n\n\n Oltre al framework generale, le Linee guida contengono alcune indicazioni che contrastano con pratiche ancora diffuse.<\/p>\n\n\n\n Molte analisi escludono determinati soggetti sulla base dell\u2019argomento secondo cui non avrebbero interesse a identificare gli interessati.<\/p>\n\n\n\n L\u2019EDPB considera questo criterio poco affidabile. Le motivazioni individuali e organizzative sono difficili da dimostrare, possono mutare nel tempo e non tengono conto dell\u2019identificazione accidentale, della negligenza o dell\u2019azione di dipendenti infedeli.<\/p>\n\n\n\n La motivazione pu\u00f2 essere considerata indirettamente, ad esempio valutando il valore economico o strategico dei dati reidentificati, ma non pu\u00f2 costituire da sola la ragione per escludere un rischio.<\/p>\n\n\n\n Clausole di riservatezza, divieti di reidentificazione e accordi di non divulgazione possono contribuire alla riduzione del rischio, soprattutto quando sono verificabili, effettivamente azionabili e accompagnati da controlli.<\/p>\n\n\n\n Non equivalgono tuttavia a un generale impedimento di legge e non costituiscono, da soli, una prova sufficiente dell\u2019anonimato. Possono essere ignorati, violati o modificati; la loro efficacia dipende dalla possibilit\u00e0 concreta di accertare e sanzionare le violazioni.<\/p>\n\n\n\n Le misure contrattuali devono quindi essere valutate insieme alle misure tecniche e organizzative, non come loro sostituto automatico.<\/p>\n\n\n\n Un dataset considerato anonimo in un determinato momento pu\u00f2 diventare reidentificabile in seguito alla disponibilit\u00e0 di nuove fonti informative, al progresso tecnologico, a una violazione di sicurezza o alla diffusione di strumenti di analisi pi\u00f9 potenti.<\/p>\n\n\n\n \u00c8 pertanto buona pratica predisporre un riesame periodico, con frequenza proporzionata alla durata della conservazione, all\u2019ampiezza della diffusione del dataset, alla sensibilit\u00e0 delle informazioni originarie e alla velocit\u00e0 dell\u2019evoluzione tecnologica nel settore interessato.<\/p>\n\n\n\n Il riesame assume particolare importanza quando i dati sono pubblicati online, condivisi con un numero elevato di destinatari o conservati per periodi molto lunghi.<\/p>\n\n\n\n Un punto spesso trascurato \u00e8 che l\u2019anonimizzazione costituisce essa stessa un trattamento di dati personali.<\/p>\n\n\n\n Fino a quando il processo non \u00e8 stato completato con successo, il GDPR continua ad applicarsi integralmente. Il titolare deve quindi individuare una base giuridica ai sensi dell\u2019articolo 6 e, quando il dataset originario comprende categorie particolari di dati, una delle condizioni previste dall\u2019articolo 9, paragrafo 2.<\/p>\n\n\n\n Non \u00e8 sufficiente che il trattamento precedente fosse lecito: occorre verificare che anche l\u2019operazione di anonimizzazione sia compatibile con la base giuridica individuata, con le finalit\u00e0 dichiarate e con le ragionevoli aspettative degli interessati.<\/p>\n\n\n\n Si applicano inoltre i principi di correttezza, trasparenza, minimizzazione, limitazione delle finalit\u00e0, sicurezza e responsabilizzazione.<\/p>\n\n\n\n Gli interessati devono essere informati, nei limiti previsti dal GDPR, del fatto che i loro dati saranno utilizzati per produrre informazioni anonime. Il titolare deve anche evitare l\u2019impiego improprio di espressioni come \u201canonimo\u201d, \u201cde-identificato\u201d o \u201cdepersonalizzato\u201d quando permanga una possibilit\u00e0 ragionevole di identificazione.<\/p>\n\n\n\n La documentazione del processo deve essere conservata anche dopo la cancellazione dei dati originari. Dovrebbero essere registrati, tra gli altri elementi:<\/p>\n\n\n\n Le Linee guida 02\/2026 non sostituiscono integralmente il paradigma del 2014. I tre criteri fondamentali restano invariati e molte delle tecniche discusse erano gi\u00e0 note agli operatori.<\/p>\n\n\n\n Il documento consolida per\u00f2 un cambiamento concettuale avviato dalla giurisprudenza della Corte di giustizia: l\u2019anonimizzazione non pu\u00f2 essere trattata come un\u2019operazione meramente formale, binaria e definitiva.<\/p>\n\n\n\n Non basta rimuovere gli identificatori diretti, applicare una tecnica statistica e archiviare il risultato. Occorre individuare le prospettive rilevanti, valutare i mezzi ragionevolmente utilizzabili, considerare le informazioni ausiliarie, applicare i tre test, documentare il ragionamento e verificare nel tempo che le condizioni iniziali restino valide.<\/p>\n\n\n\n Le implicazioni sono particolarmente rilevanti per chi sviluppa sistemi di intelligenza artificiale, gestisce dataset sanitari, svolge attivit\u00e0 di ricerca scientifica o condivide dati con partner pubblici e privati.<\/p>\n\n\n\n L\u2019anonimizzazione diventa cos\u00ec un processo di governo del rischio, non una semplice trasformazione tecnica del dato. \u00c8 un\u2019attivit\u00e0 pi\u00f9 complessa rispetto alla mera eliminazione del nome, ma anche pi\u00f9 coerente con la realt\u00e0 contemporanea, nella quale la capacit\u00e0 identificativa di un\u2019informazione dipende sempre pi\u00f9 dalle relazioni tra dataset, dalle capacit\u00e0 degli attori e dagli strumenti tecnologici disponibili.<\/p>\n\n\n\n Di\u00a0Alessia Palladino<\/strong> Nel corso della sua ultima sessione plenaria dello scorso 7 luglio 2026, il Comitato europeo per la protezione dei dati (EDPB) ha adottato le Linee guida 02\/2026 sull\u2019anonimizzazione, in consultazione pubblica fino al 30 settembre 2026. […]<\/p>\n","protected":false},"author":9973,"featured_media":1255,"comment_status":"closed","ping_status":"open","sticky":false,"template":"","format":"standard","meta":{"_coblocks_attr":"","_coblocks_dimensions":"","_coblocks_responsive_height":"","_coblocks_accordion_ie_support":"","footnotes":""},"categories":[1],"tags":[37,11,8,36],"class_list":["post-1254","post","type-post","status-publish","format-standard","has-post-thumbnail","hentry","category-news-ed-eventi","tag-anonimizzazione","tag-dataprotection","tag-ia","tag-law"],"_links":{"self":[{"href":"https:\/\/sites.unica.it\/ict4lawforensics\/wp-json\/wp\/v2\/posts\/1254","targetHints":{"allow":["GET"]}}],"collection":[{"href":"https:\/\/sites.unica.it\/ict4lawforensics\/wp-json\/wp\/v2\/posts"}],"about":[{"href":"https:\/\/sites.unica.it\/ict4lawforensics\/wp-json\/wp\/v2\/types\/post"}],"author":[{"embeddable":true,"href":"https:\/\/sites.unica.it\/ict4lawforensics\/wp-json\/wp\/v2\/users\/9973"}],"replies":[{"embeddable":true,"href":"https:\/\/sites.unica.it\/ict4lawforensics\/wp-json\/wp\/v2\/comments?post=1254"}],"version-history":[{"count":1,"href":"https:\/\/sites.unica.it\/ict4lawforensics\/wp-json\/wp\/v2\/posts\/1254\/revisions"}],"predecessor-version":[{"id":1256,"href":"https:\/\/sites.unica.it\/ict4lawforensics\/wp-json\/wp\/v2\/posts\/1254\/revisions\/1256"}],"wp:featuredmedia":[{"embeddable":true,"href":"https:\/\/sites.unica.it\/ict4lawforensics\/wp-json\/wp\/v2\/media\/1255"}],"wp:attachment":[{"href":"https:\/\/sites.unica.it\/ict4lawforensics\/wp-json\/wp\/v2\/media?parent=1254"}],"wp:term":[{"taxonomy":"category","embeddable":true,"href":"https:\/\/sites.unica.it\/ict4lawforensics\/wp-json\/wp\/v2\/categories?post=1254"},{"taxonomy":"post_tag","embeddable":true,"href":"https:\/\/sites.unica.it\/ict4lawforensics\/wp-json\/wp\/v2\/tags?post=1254"}],"curies":[{"name":"wp","href":"https:\/\/api.w.org\/{rel}","templated":true}]}}
\n\n\n\nPerch\u00e9 aggiornare il Parere del 2014?<\/h2>\n\n\n\n
\n
\n
Quando un\u2019informazione \u201csi riferisce\u201d a una persona secondo l’EDPB<\/h2>\n\n\n\n
\n
I tre criteri dell\u2019anonimizzazione<\/h2>\n\n\n\n
A) No Record Isolation<\/h3>\n\n\n\n
B) No Linkage<\/h3>\n\n\n\n
\n
C) No Inference<\/h3>\n\n\n\n
Il mancato superamento di un test non chiude l\u2019analisi<\/h2>\n\n\n\n
Due approcci metodologici<\/h2>\n\n\n\n
L\u2019approccio contestuale<\/h3>\n\n\n\n
L\u2019approccio semplificato<\/h3>\n\n\n\n
I mezzi ragionevolmente utilizzabili<\/h2>\n\n\n\n
\n
Tre avvertenze operative<\/h2>\n\n\n\n
La motivazione del reidentificatore non \u00e8 decisiva<\/h3>\n\n\n\n
Le misure contrattuali non bastano da sole<\/h3>\n\n\n\n
L\u2019anonimizzazione non \u00e8 necessariamente permanente<\/h3>\n\n\n\n
Il GDPR si applica al processo di anonimizzazione<\/h2>\n\n\n\n
\n
Considerazioni conclusive <\/h2>\n\n\n\n
Assegnista di ricerca e Cultore della Materia in \u00abInformatica giuridica\u00bb e \u00abComputer Law\u00bb\u00a0 presso l\u2019Universit\u00e0 degli Studi di Cagliari<\/em><\/p>\n","protected":false},"excerpt":{"rendered":"