trattamentio dati

Pseudonimizzazione dei dati: le linee guida EDPB e il caso Deloitte



Indirizzo copiato

L’EDPB fornisce nuovi orientamenti sulla pseudonimizzazione, bilanciando protezione della privacy e uso secondario dei dati, mentre affronta le interpretazioni della sentenza Deloitte sulla natura dei dati

Pubblicato il 6 feb 2025

Anna Cataleta

Senior Partner di P4I e Senior Advisor presso l’Osservatorio Cybersecurity & Data Protection (MIP)

Aurelia Losavio

Privacy IT Legal Consultant at P4I



pseudonimizzazione dei dati

Il tema della pseudonimizzazione è un tema scottante, da sempre al centro di svariati dibattiti tra gli operatori del diritto, data la sua importanza fondamentale nell’ambito del trattamento dei dati personali.

È lo stesso GDPR a dare una definizione di pseudonimizzazione (art. 4 punto 5 GDPR), ossia “il trattamento dei dati personali in modo tale che i dati personali non possano più essere attribuiti a un interessato specifico senza l’utilizzo di informazioni aggiuntive, a condizione che tali informazioni aggiuntive siano conservate separatamente e soggette a misure tecniche e organizzative intese a garantire che tali dati personali non siano attribuiti a una persona fisica identificata o identificabile”.

Tale definizione del GDPR è ripresa all’interno dei recentissimi Orientamenti 1/2025 dell’EDPB sulla pseudonimizzazione adottati il 16 gennaio scorso, i quali aggiungono che “[…] Attribuire i dati a una persona identificabile significa collegare i dati ad altre informazioni con riferimento alle quali la persona fisica potrebbe essere identificata. Tale collegamento può essere stabilito sulla base di uno o più identificatori o attributi identificativi”.

Orientamenti 1/2025 EDPB e uso secondario dei dati

Le tecniche di pseudonimizzazione sono importanti per una serie di motivi: primo tra tutti perché riducono i rischi per la riservatezza (purché, ovviamente, la pseudonimizzazione sia effettuata in modo efficace) come evidenziato dall’EDPB negli Orientamenti 1/2025, i quali presentano una panoramica dei benefici della pseudonimizzazione. Infatti, in primo luogo, la pseudonimizzazione impedisce la divulgazione degli identificatori diretti degli interessati ad alcuni o a tutti i legittimi destinatari dei dati pseudonimizzati. In secondo luogo, in caso di divulgazione o accesso non autorizzato a dati effettivamente pseudonimizzati, la pseudonimizzazione può ridurre la gravità del rischio di riservatezza che ne deriva e il rischio di conseguenze negative di tale divulgazione o accesso per gli interessati, a condizione che alle persone a cui vengono divulgati i dati sia impedito l’accesso a ulteriori dati.

WHITEPAPER

Norma ISO 31700 e privacy by design: cosa devono sapere aziende e consulenti

Contract Management
Privacy/Compliance

Pseudonimizzazione e uso secondario dei dati

Inoltre, il tema della pseudonimizzazione può essere declinato anche con riferimento all’uso secondario dei dati. Si parla di uso secondario dei dati per indicare quella pratica di impiegare informazioni raccolte per uno scopo iniziale in contesti e applicazioni differenti rispetto a quelli originariamente previsti. Questa pratica abbraccia un’ampia gamma di attività, tra cui analisi di mercato avanzate, personalizzazione di servizi, sviluppo di modelli predittivi e monetizzazione dei dati stessi.

Tuttavia, bisogna considerare che l’uso secondario dei dati è da ritenersi ammissibile se lo scopo per cui sono stati originariamente raccolti i dati è compatibile con l’ulteriore finalità di trattamento. Sul tema, il Considerando 50 GDPR specifica espressamente che “il trattamento dei dati personali per finalità diverse da quelle per le quali i dati personali sono stati inizialmente raccolti dovrebbe essere consentito solo se compatibile con le finalità per le quali i dati personali sono stati inizialmente raccolti”. Si rende quindi necessario effettuare un test di compatibilità (da parte del titolare del trattamento) delle finalità originarie e secondarie, tenendo conto di una serie di fattori.

Tali fattori, evidenziati dalla Corte di Giustizia nella sentenza C-77/21, sono ogni nesso tra le finalità per cui i dati personali sono stati raccolti e le finalità dell’ulteriore trattamento previsto; il contesto in cui i dati personali sono stati raccolti, in particolare relativamente alla relazione tra l’interessato e il titolare del trattamento; la natura dei dati personali; le possibili conseguenze dell’ulteriore trattamento previsto per gli interessati; l’esistenza di garanzie adeguate che possono comprendere la cifratura o la pseudonimizzazione[1].

In proposito, l’EDPB stesso, con gli Orientamenti 1/2025, evidenzia come la pseudonimizzazione possa contribuire a garantire la compatibilità con la finalità originaria (art. 6 par. 4 GDPR)[2]. Infatti, il Board evidenzia che la pseudonimizzazione può ridurre i rischi di function creep, ossia il rischio che i dati personali vengano ulteriormente trattati in modo incompatibile con le finalità per cui sono stati raccolti. Questo perché gli autorizzati del trattamento o le persone che agiscono sotto l’autorità del titolare del trattamento o del responsabile del trattamento, che hanno accesso ai dati pseudonimizzati, non sono in grado di utilizzare tali dati per finalità il cui adempimento richiede l’attribuzione agli interessati. In particolare, ciò riguarda le finalità che richiedono un’interazione diretta con gli interessati.

La pseudonimizzazione nella sentenza Deloitte

Il tema della pseudonimizzazione è ampiamente affrontato anche all’interno della sentenza del 26 aprile 2023 nella causa T557/20 (c.d. Sentenza Deloitte) della Corte di Giustizia dell’Ue (CGUE). Nello specifico, la Corte afferma che i dati pseudonimizzati non devono sempre considerarsi dati personali; dunque, ciò significa escludere l’applicabilità della normativa privacy in tutta una serie di casi, aprendo nuovi inattesi spazi per lo sfruttamento di informazioni che non sono più riconducibili ad individui identificati o identificabili[3].

Pertanto, la sentenza Deloitte fa emergere una nozione di “dato pseudonimizzato” relativa, potendo essa variare a seconda del soggetto dalla cui prospettiva si guarda l’accesso a quelle informazioni.

In particolare, la Corte ha stabilito che il solo fatto che un soggetto disponga delle informazioni necessarie per risalire all’identità degli interessati non significa che le stesse conclusioni debbano raggiungersi in relazione ad altri soggetti che hanno ricevuto i dati dal primo. In altre parole, i dati che per il mittente sono anonimi potrebbero non esserlo (quindi sarebbero dati personali) per il destinatario. Dunque, per stabilire se un’informazione sia pseudonimizzata o anonima, si deve effettuare una valutazione delle circostanze concrete, volta a verificare se il soggetto che tratta i dati sia in grado di risalire all’identità degli individui a cui questi dati si riferiscono. In caso di risposta negativa, le informazioni devono considerarsi dati anonimi e, come tali, non soggetti all’applicazione della normativa privacy[4].

In questo contesto, si inserisce l’EDPB con le sue nuove linee guida 1/2025, il quale evidenzia come i dati pseudonimizzati, che potrebbero essere attribuiti a una persona fisica mediante l’uso di informazioni aggiuntive, rimangono informazioni relative a una persona fisica identificabile e sono pertanto ancora dati personali. Inoltre, il Board aggiunge che se i dati possono essere ricollegati a una persona fisica dal titolare del trattamento o da qualcun altro, rimangono dati personali[5].

I prossimi step

L’interpretazione della Corte di Giustizia dell’Unione europea dei concetti di pseudonimizzazione e anonimizzazione con la sentenza Deloitte hanno aperto diversi interrogativi: poter considerare dati che sono pseudonimizzati per il titolare del trattamento, anonimi (dunque non personali) per un altro soggetto, significherebbe non dover applicare il GDPR ai trattamenti effettuati dal responsabile, pur se su incarico del titolare del trattamento? Ciò sicuramente faciliterebbe l’utilizzabilità dei dati e renderebbe meno gravosa l’attività delle parti[6].

È per questo motivo che l’European Data Protection Board è intervenuto con gli Orientamenti 1/2025 sul concetto di pseudonomizzazione e ha in programma di emettere chiarimenti anche in tema di anonimizzazione, in modo da chiarire, una volta per tutte, questa annosa questione e dare, così, degli indirizzi interpretativi definitivi.

Note


[1] Ibidem

[2] EDPB, L’EDPB adotta orientamenti sulla pseudonimizzazione e apre la strada a una migliore cooperazione con le autorità garanti della concorrenza,17 gennaio 2025, disponibile al seguente link:https://www.edpb.europa.eu/news/news/2025/edpb-adopts-pseudonymisation-guidelines-and-paves-way-improve-cooperation_it

[3] C. CRISCUOLI, I dati pseudonimizzati non sono sempre dati personali: l’importante chiarimento del Tribunale dell’Unione Europea, in Diritto al Digitale, 26 maggio 2023 disponibile al seguente link: https://dirittoaldigitale.com/2023/05/26/dati-personali-tribunale/

[4] Ibidem

[5] EDPB, L’EDPB adotta orientamenti sulla pseudonimizzazione e apre la strada a una migliore cooperazione con le autorità garanti della concorrenza, 17 gennaio 2025 disponibile al seguente link: https://www.edpb.europa.eu/news/news/2025/edpb-adopts-pseudonymisation-guidelines-and-paves-way-improve-cooperation_it

[6] C. CAPUTO, G. FERORELLI, “Pseudonimizzazione” o “anonimizzazione”? Sui dati, questo è il dilemma (e non solo), in Agenda Digitale, 12 maggio 2023, disponibile al seguente link: https://www.agendadigitale.eu/sicurezza/privacy/pseudonimizzazione-o-anonimizzazione-sui-dati-questo-e-il-dilemma-e-non-solo/

WHITEPAPER

Risk management: l’importanza di quantificare correttamente il rischio (non solo quello informatico)

Disaster recovery
Contract Management

EU Stories - La coesione innova l'Italia

Tutti
Video & Podcast
Analisi
Social
Iniziative
Podcast
Centro Servizi Territoriali: uno strumento per accompagnare gli enti nell’attuazione della politica di coesione. Il podcast “CapCoe. La coesione riparte dalle persone”
Podcast
EU Stories, il podcast | Politiche di coesione e comunicazione: una sinergia per il futuro
Opinioni
La comunicazione dei fondi europei da obbligo ad opportunità
eBook
L'analisi della S3 in Italia
Norme UE
European Accessibility Act: passi avanti verso un’Europa inclusiva
Agevolazioni
A febbraio l’apertura dello sportello Mini Contratti di Sviluppo
Quadri regolamentari
Nuovi Orientamenti sull’uso delle opzioni semplificate di costo
Coesione
Nuovo Bauhaus Europeo (NEB): i premi che celebrano innovazione e creatività
Dossier
Pubblicato il long form PO FESR 14-20 della Regione Sicilia
Iniziative
400 milioni per sostenere lo sviluppo delle tecnologie critiche nel Mezzogiorno
Formazione
“Gian Maria Volonté”: dalle aule al mondo del lavoro, focus sui tirocini della Scuola d’Arte Cinematografica
TRANSIZIONE ENERGETICA
Il ruolo del finanziamento BEI per lo sviluppo del fotovoltaico in Sicilia
Formazione
“Gian Maria Volonté”: dalla nascita ai progetti futuri, focus sulla Scuola d’Arte Cinematografica. Intervista al coordinatore Antonio Medici
MedTech
Dalla specializzazione intelligente di BionIT Labs una innovazione bionica per la disabilità
Finanza sostenibile
BEI e E-Distribuzione: investimenti per la sostenibilità energetica
Professioni
Servono competenze adeguate per gestire al meglio i fondi europei
Master
Come formare nuove professionalità per governare e gestire al meglio i fondi europei?
Programmazione UE
Assunzioni per le politiche di coesione: prossimi passi e aspettative dal concorso nazionale. Il podcast “CapCoe. La coesione riparte dalle persone”
innovazione sociale
Rigenerazione urbana: il quartiere diventa un hub dell’innovazione. La best practice di San Giovanni a Teduccio
Programmazione europ
Fondi Europei: la spinta dietro ai Tecnopoli dell’Emilia-Romagna. L’esempio del Tecnopolo di Modena
Interventi
Riccardo Monaco e le politiche di coesione per il Sud
Iniziative
Implementare correttamente i costi standard, l'esperienza AdG
Finanziamenti
Decarbonizzazione, 4,8 miliardi di euro per progetti cleantech
Formazione
Le politiche di Coesione UE, un corso gratuito online per professionisti e giornalisti
Interviste
L’ecosistema della ricerca e dell’innovazione dell’Emilia-Romagna
Interviste
La ricerca e l'innovazione in Campania: l'ecosistema digitale
Iniziative
Settimana europea delle regioni e città: un passo avanti verso la coesione
Iniziative
Al via il progetto COINS
Eventi
Un nuovo sguardo sulla politica di coesione dell'UE
Iniziative
EuroPCom 2024: innovazione e strategia nella comunicazione pubblica europea
Iniziative
Parte la campagna di comunicazione COINS
Interviste
Marco De Giorgi (PCM): “Come comunicare le politiche di coesione”
Analisi
La politica di coesione europea: motore della transizione digitale in Italia
Politiche UE
Il dibattito sul futuro della Politica di Coesione
Mobilità Sostenibile
L’impatto dei fondi di coesione sul territorio: un’esperienza di monitoraggio civico
Iniziative
Digital transformation, l’Emilia-Romagna rilancia sulle comunità tematiche
Politiche ue
Fondi Coesione 2021-27: la “capacitazione amministrativa” aiuta a spenderli bene
Finanziamenti
Da BEI e Banca Sella 200 milioni di euro per sostenere l’innovazione di PMI e Mid-cap italiane
Analisi
Politiche di coesione Ue, il bilancio: cosa ci dice la relazione 2024
Politiche UE
Innovazione locale con i fondi di coesione: progetti di successo in Italia
Podcast
Centro Servizi Territoriali: uno strumento per accompagnare gli enti nell’attuazione della politica di coesione. Il podcast “CapCoe. La coesione riparte dalle persone”
Podcast
EU Stories, il podcast | Politiche di coesione e comunicazione: una sinergia per il futuro
Opinioni
La comunicazione dei fondi europei da obbligo ad opportunità
eBook
L'analisi della S3 in Italia
Norme UE
European Accessibility Act: passi avanti verso un’Europa inclusiva
Agevolazioni
A febbraio l’apertura dello sportello Mini Contratti di Sviluppo
Quadri regolamentari
Nuovi Orientamenti sull’uso delle opzioni semplificate di costo
Coesione
Nuovo Bauhaus Europeo (NEB): i premi che celebrano innovazione e creatività
Dossier
Pubblicato il long form PO FESR 14-20 della Regione Sicilia
Iniziative
400 milioni per sostenere lo sviluppo delle tecnologie critiche nel Mezzogiorno
Formazione
“Gian Maria Volonté”: dalle aule al mondo del lavoro, focus sui tirocini della Scuola d’Arte Cinematografica
TRANSIZIONE ENERGETICA
Il ruolo del finanziamento BEI per lo sviluppo del fotovoltaico in Sicilia
Formazione
“Gian Maria Volonté”: dalla nascita ai progetti futuri, focus sulla Scuola d’Arte Cinematografica. Intervista al coordinatore Antonio Medici
MedTech
Dalla specializzazione intelligente di BionIT Labs una innovazione bionica per la disabilità
Finanza sostenibile
BEI e E-Distribuzione: investimenti per la sostenibilità energetica
Professioni
Servono competenze adeguate per gestire al meglio i fondi europei
Master
Come formare nuove professionalità per governare e gestire al meglio i fondi europei?
Programmazione UE
Assunzioni per le politiche di coesione: prossimi passi e aspettative dal concorso nazionale. Il podcast “CapCoe. La coesione riparte dalle persone”
innovazione sociale
Rigenerazione urbana: il quartiere diventa un hub dell’innovazione. La best practice di San Giovanni a Teduccio
Programmazione europ
Fondi Europei: la spinta dietro ai Tecnopoli dell’Emilia-Romagna. L’esempio del Tecnopolo di Modena
Interventi
Riccardo Monaco e le politiche di coesione per il Sud
Iniziative
Implementare correttamente i costi standard, l'esperienza AdG
Finanziamenti
Decarbonizzazione, 4,8 miliardi di euro per progetti cleantech
Formazione
Le politiche di Coesione UE, un corso gratuito online per professionisti e giornalisti
Interviste
L’ecosistema della ricerca e dell’innovazione dell’Emilia-Romagna
Interviste
La ricerca e l'innovazione in Campania: l'ecosistema digitale
Iniziative
Settimana europea delle regioni e città: un passo avanti verso la coesione
Iniziative
Al via il progetto COINS
Eventi
Un nuovo sguardo sulla politica di coesione dell'UE
Iniziative
EuroPCom 2024: innovazione e strategia nella comunicazione pubblica europea
Iniziative
Parte la campagna di comunicazione COINS
Interviste
Marco De Giorgi (PCM): “Come comunicare le politiche di coesione”
Analisi
La politica di coesione europea: motore della transizione digitale in Italia
Politiche UE
Il dibattito sul futuro della Politica di Coesione
Mobilità Sostenibile
L’impatto dei fondi di coesione sul territorio: un’esperienza di monitoraggio civico
Iniziative
Digital transformation, l’Emilia-Romagna rilancia sulle comunità tematiche
Politiche ue
Fondi Coesione 2021-27: la “capacitazione amministrativa” aiuta a spenderli bene
Finanziamenti
Da BEI e Banca Sella 200 milioni di euro per sostenere l’innovazione di PMI e Mid-cap italiane
Analisi
Politiche di coesione Ue, il bilancio: cosa ci dice la relazione 2024
Politiche UE
Innovazione locale con i fondi di coesione: progetti di successo in Italia

Articoli correlati

Articolo 1 di 4