Quando un dato è anonimizzato? I nuovi criteri dell’EDPB

Lo European Data Protection Board (di seguito, EDPB) ha pubblicato le Linee Guida 2/2026 sull’anonimizzazione, aggiornandosi quindi rispetto all’Opinion del 2014. Questi orientamenti erano attesi da tanto, alla luce sia delle impostazioni date dalla giurisprudenza e dallo stesso EDPB sulla nozione di dato personale, nonché delle nuove sfide tecnologiche in termini di re-identificazione.

Vediamo nel dettaglio cosa queste Linee Guida apportano di nuovo.

Linee guida EDPB sull’anonimizzazione: definizione e confini

Come noto, il dato anonimo è un dato non riferibile in alcun modo ad una persona fisica. In questo caso non si ritiene applicabile la disciplina relativa alla protezione dei dati personali. In via ulteriore, il dato personale può subire un processo tramite il quale viene anonimizzato: si sgancia quindi ogni informazione dalla persona fisica a cui ci si riferiva in precedenza.

Il dato anonimizzato, pertanto, non è un dato anonimo, poiché non nasce in origine come dato personale; tuttavia, non costituisce neanche un’informazione riferibile ad una persona fisica, poiché appunto ha visto cancellare ogni collegamento con quest’ultima.

Il processo di anonimizzazione è un processo la cui buona riuscita è fondamentale per poter ritenere quel dato effettivamente anonimizzato, per cui non è possibile risalire all’identità dell’interessato. In questo senso, le misure tecniche che eseguono detto processo devono essere tali da garantire l’impossibilità di ristabilire un collegamento con il singolo individuo e devono essere valutate proprio alla luce del rischio di re-identificazione.

Nelle sue Linee Guida, lo EDPB ribadisce questo concetto, ossia, ai fini della definizione di anonimizzazione, la necessità di verificare se:

• le informazioni in questione possono riferirsi ad una persona fisica
• se la persona fisica può essere identificata, sia direttamente che indirettamente (letteralmente, “identificabile”).

Come le linee guida EDPB valutano il dato anonimizzato

In sintonia con la giurisprudenza della Corte di Giustizia, ad esempio C-582/14 Breyer v Bundesrepublik Deutschland w C-319/22 Gesamtverband Autoteile-Handel eV v Scania CV AB, il concetto di dato personale non è assoluto, bensì relativo.

Un dato non è personale di per sé, ma come precisa il GDPR all’art. 4, quando si riferisce ad una persona fisica identificata o identificabile. La possibilità di risalire ad una persona fisica, come poi chiarito di recente dalla Corte di Giustizia nella famosa sentenza del 4 settembre 2025 sul caso Deloitte, può valere per un soggetto, ma non per un altro.

In questo senso, lo EDPB specifica come sia importante esaminare la natura specifica e il contesto del trattamento, ad esempio chi ha accesso ai dati o ne detiene il controllo, se i dati vengono trasmessi da una parte all’altra, il rapporto tra tali parti e se un destinatario dei dati possa trattarli per conto di un’altra parte.

Per comprendere poi se, ferma in astratto la riferibilità ad una persona fisica, quest’ultima può essere effettivamente identificata, occorre valutare i mezzi a disposizione del soggetto che intende trattare le informazioni relative,

In linea con tale impostazione, si richiama appunto il Deloitte che, nonostante vertesse sulla pseudonimizzazione, faceva proprio un ragionamento in parte analogo, ossia: è possibile risalire all’identità dell’interessato tramite i mezzi e gli strumenti a propria disposizione?

Da qui, l’esigenza di effettuare una valutazione del rischio di re-identificazione, insieme all’implementazione di misure di sicurezza adeguate allo scopo: sul punto, lo EDPB fornisce un framework, che è il vero cuore del documento, al fine di stabilire se un dato si può o meno riferire ad una persona fisica e può essere considerato personale.

Il framework EDPB sul rischio di re-identificazione

La valutazione oggetto di tale framework ha inizio con l’individuazione di tre criteri fondamentali:

• No Record Isolation: tale criterio è soddisfatto se i dati non contengono una combinazione univoca di valori di attributi riferiti a un singolo individuo
• No linkage: tale criterio è soddisfatto se non è possibile collegare l’informazione ad un individuo, secondo una certa probabilità alle informazioni presenti in altri dataset
• Non inferenza: tale criterio è soddisfatto se dai dati forniti non è possibile trarre alcuna inferenza specifica e significativa, ossia non sia possibile dedurre la riferibilità ad una persona fisica. L’inferenza è specifica se le informazioni dedotte si riferiscono a un singolo individuo identificato o identificabile (ovvero si tratta di dati personali) mentre è sia specifica che significativa se il trattamento delle informazioni dedotte è anche suscettibile di incidere sui diritti e sugli interessi dell’interessato, si basa sui dati forniti e non potrebbe essere ottenuta dalla conoscenza generale o da dati relativi alla popolazione nel suo complesso

Tali criteri sono ben descritti a livello tecnico e sono sicuramente operativi, costituendo così una forte evoluzione rispetto all’Opinion 5/2014.

Infatti, ove tali criteri siano tutti soddisfatti, è ben possibile ritenere i dati anonimizzati, disapplicando quindi la normativa sulla protezione dei dati personali.

Approccio semplificato e valutazione contestuale

Lo EDPB chiarisce che il framework qui fornito, molto esaustivo e dettagliato, può essere utilizzando adottando due tipologie di approccio, con cui stabilire la connessione fra informazione e dato personale.

Ebbene, un primo approccio è di tipo semplificato, applicando in maniera squisitamente tecnica i criteri ed eliminando ogni analisi relativa ai soggetti coinvolti e al contesto. Esso è sicuramente cautelativo per chi ritiene utile applicare in ogni caso la disciplina sulla protezione dei dati personali, in maniera, per così dire, cautelativa, a tutela delle persone fisiche, eliminando ogni possibile rischio derivante dalla disapliccazione del GDPR.

L’altro approccio, invece, è di tipo contestuale ed è corrispondente all’impostazione della Corte di Giustizia, come già indicato sopra relativamente alle sentenze citate, in quanto considera soggettiva l’analisi relativa all’anonimizzazione e valuta il contesto.

Sul punto, sembra utile richiamare il concetto di mezzi che possono “ragionevolmente” ricondurre il dato ad una persona fisica, che, secondo lo EDPB, deve considerare:

• le caratteristiche dei dati, ad esempio se i dati sono aggregati, l’unicità dei record, nonché l’accuratezza e la precisione delle informazioni – e in che modo questi possano impattare sui diversi possibili mezzi di re-identificazione;
• il contesto in cui i dati vengono divulgati e/o trattati, ad esempio le tipologie di accesso
• eventuali informazioni aggiuntive che consentirebbero l’identificazione delle persone fisiche e la probabilità che tali informazioni possano essere ottenute
• i costi e il tempo che il soggetto dovrebbe impiegare per ottenere tali informazioni aggiuntive (nel caso in cui non siano già a sua disposizione)
• la tecnologia disponibile al momento del trattamento, nonché gli sviluppi tecnologici ragionevolmente prevedibili.

Non solo, quando si valutano tali mezzi, individuando quelli che ragionevolmente possano consentire la re-identificazione, è fondamentale, sempre secondo lo EDPB considerare il soggetto che effettua la re-identificazione, proprio al fine di stabilire la loro ricorribilità effettiva.

Sia la Corte di Giustizia, sia lo EDPB, sul punto ricordano che la possibilità in questione non deve essere insignificante: ciò significa che la valutazione andrà effettuata caso per caso, con la conseguenza, chiaramente, di sminuire e limitare la certezza del diritto, in applicazione del concetto di accountability, per cui sta in capo al Titolare valutare e decidere se ritenere il dato personale oppure anonimizzato, implementando le misure di sicurezza di sua scelta.

Il richiamo – ai fini della valutazione in oggetto – anche alla trasmissione dei dati, ai fini della sussistenza di un possibile “linkage” o collegamento che consenta la re-identificazione è in ogni caso un tassello ulteriore nella disamina qui in analisi, che fornisce strumenti pratici e utili per definire tutto il processo di anonimizzazione.

Anonimizzazione e GDPR: responsabilità, competenze e monitoraggio

L’anonimizzazione, lo si ricorda, costituisce un processo, all’esito del quale, un dato personale è divenuto anonimo, ossia più correttamente anonimizzato.

Ciò significa che il dato anonimizzato non vede come certa la disapplicazione del GDPR e pertanto, rende chiaro come la relativizzazione del concetto di dato personale sia insita nella sua stessa definizione, allorquando consente di valutare in concreto e soprattutto, caso per caso, la possibilità di risalire ad una persona fisica.

Ciò dimostra come tutta la regolamentazione del GDPR, anche alla luce delle possibili modifiche suggerite con il Digital Omnibus, hanno ormai chiarito che il percorso da intraprendere è quello tecnico e non solo giuridico nell’applicazione della normativa a protezione dei dati personali.

Il Titolare e ogni altro soggetto coinvolto nel trattamento di dati personali – e non, ossia anonimizzati – debbono avere competenze sia giuridiche che tecniche, nonché soprattutto debbono avere la consapevolezza che la propria responsabilità sta nel “come” vengono trattati e protetti i dati, individuando e implementando misure di sicurezza adeguate, mappando il flusso dei dati ed i soggetti a cui vengono comunicati o da cui provengono.

Armonia tra business e data protection

Non è dunque possibile portare avanti le proprie attività, quindi il proprio business, scevri da ogni considerazione sulle modalità di trattamento dei dati, avendo un quadro preciso e dettagliato di tutto il contesto, inclusi i soggetti terzi coinvolti, come da normativa sulla protezione dei dati personali, in uno con la conoscenza, assolutamente necessaria, delle regole di cui alla normativa sull’intelligenza artificiale e più in generale sulla sicurezza informatica.

Anche lo EDPB richiama infatti lo sviluppo continuo, a livello tecnologico, dei mezzi che consentono l’identificazione dell’interessato e pertanto la necessità di un monitoraggio continuo dei sistemi che effettuano l’anonimizzazione, in particolare di quelli basati sull’intelligenza artificiale. Sul punto si ricorda che ogni processo, ogni valutazione del rischio debbono essere costantemente monitorati e deve essere prevista una verifica altresì della loro efficacia, con un piano cadenzato nel tempo e ciò proprio alla luce dei principi di cui al GDPR e dell’accountability.

Sembra in conclusione, a parere di chi scrive, che sempre di più si stia chiarendo in termini pratici cosa significa proteggere i dati e come trasmetterli in maniera sicura, se del caso adottando processi, come quelli di anonimizzazione, che consentono di aderire al principio di minimizzazione e di limitazione della finalità, nonché di liceità del trattamento stesso, grazie all’esperienza c.d. “sul campo”.