La sentenza della Corte di Giustizia UE (C-413/23 P, SRB v EDPS del 4 settembre 2025) – nota come sentenza Deloitte – ha suscitato ampio dibattito per la sua interpretazione innovativa del concetto di pseudonimizzazione.
Tuttavia, un aspetto altrettanto rilevante ma meno discusso merita particolare attenzione: l’obbligo del titolare di informare gli interessati su tutti i destinatari dei dati, anche quando questi ultimi riceverebbero solo dati efficacemente pseudonimizzati e, di conseguenza, dal loro punto di vista anonimi.
Indice degli argomenti
Il caso SRB e l’interpretazione innovativa della pseudonimizzazione
Sebbene la sentenza si possa considerare dirompente, la Corte ha in realtà esplicitato quanto suggerito dal considerando 16 del Regolamento 2018/1725 (o, analogamente, dal considerando 26 del GDPR): i dati personali sottoposti a pseudonimizzazione efficace possono, in determinate circostanze, non costituire dati personali per il destinatario che li riceve, pur rimanendo tali per il titolare che detiene le informazioni aggiuntive necessarie all’identificazione. Tuttavia, ed è questo forse l’aspetto che rischia di passare in secondo piano, questa distinzione non esime il titolare dai suoi obblighi informativi.
L’obbligo informativo prevale sulla natura dei dati per il destinatario
Nel caso in esame, il Comitato di risoluzione unico (SRB) aveva trasmesso a Deloitte commenti pseudonimizzati di azionisti e creditori di Banco Popular, sostenendo di non dover informare gli interessati di questo trasferimento proprio perché i dati, efficacemente pseudonimizzati, non costituivano dati personali per Deloitte. La Corte ha fermamente respinto questo argomento, stabilendo un principio fondamentale: l’obbligo informativo non dipende dalla natura che i dati assumeranno per il destinatario finale.
Il ragionamento della Corte è limpido: l’obbligo informativo previsto dall’articolo 15(1)(d) del Regolamento 2018/1725 (equivalente all’art. 13 GDPR) deve essere valutato al momento della raccolta dei dati e dal punto di vista del titolare del trattamento. Come sottolineato nei paragrafi 108-111 della sentenza, l’informazione sui potenziali destinatari costituisce un elemento essenziale per consentire all’interessato di decidere consapevolmente se fornire o meno i propri dati, indipendentemente dalle tecniche di protezione che verranno applicate successivamente.
Obbligo informativo e trasparenza nei confronti degli interessati
La Corte chiarisce che il titolare non può utilizzare la pseudonimizzazione, per quanto efficace, come giustificazione per omettere informazioni sui destinatari. Anche accettando che i dati pseudonimizzati possano essere anonimi per Deloitte – aspetto innovativo della sentenza – questo non modifica gli obblighi del SRB al momento della raccolta. L’interessato ha il diritto di conoscere l’intero percorso dei propri dati, compresi tutti i soggetti che li riceveranno, a prescindere dalla forma in cui verranno trasmessi.
Questo approccio tutela un principio cardine del GDPR: la trasparenza preventiva (come sintesi dei princìpi di trasparenza e di privacy by design). L’interessato deve poter valutare ex ante tutti gli aspetti del trattamento, inclusa l’identità di ogni destinatario. Solo così può esercitare un controllo informato e, eventualmente, decidere di non fornire i propri dati se non condivide le scelte del titolare sulla loro condivisione, anche se tecnicamente protetta.
Implicazioni pratiche: l’informativa completa è irrinunciabile
Per le organizzazioni, il messaggio è inequivocabile: l’informativa deve sempre elencare tutti i destinatari previsti, anche quando si pianifica di trasmettere loro dati resi anonimi attraverso robuste tecniche di pseudonimizzazione. Non è possibile “nascondere” destinatari sostenendo che riceveranno solo dati anonimi dal loro punto di vista.
La sentenza stabilisce anche che questa informazione è essenziale per permettere all’interessato di difendere successivamente i propri diritti. Infatti, come evidenziato al paragrafo 109, anche se i dati fossero anonimi per il destinatario, l’interessato potrebbe comunque avere necessità di interagire con quest’ultimo per questioni correlate al trattamento originario.
Il bilanciamento tra innovazione e diritti fondamentali
La decisione della Corte da un lato apre possibilità innovative riconoscendo che la pseudonimizzazione ben implementata può effettivamente rendere i dati anonimi per specifici destinatari, facilitando condivisioni sicure di informazioni per finalità legittime come la ricerca o l’analisi statistica. Dall’altro, ribadisce che questa evoluzione tecnologica non può compromettere il diritto fondamentale alla trasparenza.
Il principio stabilito è chiaro: la tecnologia può modificare la natura dei dati durante il loro ciclo di vita, ma non può modificare retroattivamente gli obblighi informativi del titolare. L’interessato ha sempre il diritto di sapere chi riceverà informazioni che lo riguardano, anche se queste informazioni saranno rese anonime prima del trasferimento.
Conclusioni
Mentre il dibattito sulla pseudonimizzazione come strumento per rendere i dati anonimi per specifici destinatari continuerà a evolversi, la sentenza stabilisce un punto fermo: la trasparenza verso l’interessato non è negoziabile. I titolari devono fornire un’informativa completa che includa tutti i destinatari previsti, indipendentemente dalle misure di protezione che intendono applicare. Solo così si garantisce quel controllo informato sui propri dati che costituisce il cuore della normativa europea sulla protezione dei dati personali.
