Comprendere quando determinati dati si classifichino come “dati personali”, tracciando la linea di confine tra tali dati e quelli anonimi, è un’operazione di grande importanza.
La normativa sulla protezione dei dati personali, infatti, si applica esclusivamente al trattamento di “dati personali”, con la conseguenza che le attività basate su dati anonimi o anonimizzati non risultano soggette al complesso degli adempimenti di legge in materia di data protection.
In merito, è da lungo tempo oggetto di dibattito tra gli studiosi della materia la c.d. impostazione relativa, secondo la quale la natura di “dati personali” di determinate informazioni può variare a seconda del soggetto che le tratta. Le informazioni costituenti “dati personali” per un certo attore, cioè, non sono necessariamente tali per ogni altro.
Da ultimo, la Corte di giustizia UE, con la sentenza del 4 settembre 2025 (causa C‑413/23 P), destinata ad avere un rilevantissimo impatto per tutte le attività che prevedono la circolazione dei dati tra più soggetti diversi, ha mostrato di aderire a questa concezione, fornendo dei chiarimenti di significativa importanza sulla nozione di “dati personali”, sulle modalità per anonimizzare tali dati e sul rapporto tra pseudonimizzazione e anonimizzazione.
Secondo la Corte, i dati non sono “personali” in quanto tali: per classificare determinati dati come personali occorre piuttosto effettuare un’apposita valutazione, verificando se sussista una ragionevole probabilità di utilizzo dei mezzi per identificare le persone coinvolte da parte del titolare considerato o dei terzi. In presenza di un rischio di identificazione insignificante, da valutarsi considerando attentamente le caratteristiche del singolo caso e del contesto di riferimento, le informazioni non costituiscono dati personali.
Le conseguenze di questo approccio sono dirompenti: grazie alla virtuosa adozione dei più opportuni accorgimenti di natura legale (ad esempio, contrattuale) e tecnico-informatica, è ben possibile che determinate informazioni, pur qualificandosi come “dati personali” per un certo soggetto, non siano invece tali per un altro.
Di rilevante impatto sono anche le ripercussioni sul versante della pseudonimizzazione.
Quest’ultima, di base, è una misura che agevola chi tratta i dati personali nel rispettare gli obblighi di legge, ma non si atteggia come modalità per realizzare l’anonimizzazione. Ebbene, secondo le indicazioni della Corte, invece, la pseudonimizzazione può garantire questo risultato dal punto di vista di chi riceva soltanto dati pseudonimizzati.
In breve, è stato chiarito che i criteri descritti poc’anzi si applicano anche ai dati sottoposti a pseudonimizzazione: nonostante questi ultimi costituiscano senz’altro dati personali per il titolare che ha svolto tale trattamento (il quale, infatti, è per definizione in possesso delle informazioni aggiuntive che consentono la re-identificazione), i medesimi dati, una volta comunicati a un terzo, potrebbero risultare anonimi per quest’ultimo. Questa circostanza si verifica quando chi riceve i dati pseudonimizzati non abbia alcun accesso alle suddette informazioni aggiuntive, né comunque disponga di altri eventuali mezzi che consentirebbero la re-identificazione degli interessati.
La decisione della Corte è coerente con le istanze di promozione della circolazione dei dati emergenti dalle più recenti normative UE (come il Data Governance Act, Reg. UE 2022/868, e il Data Act, Reg. UE 2023/2854) e agevola fortemente la valorizzazione dei dati mediante la condivisione (data sharing) e il riutilizzo.
La sentenza impedisce qualsiasi automatismo sulla possibilità di qualificare come “anonimi” determinati dati e fa emergere, piuttosto, l’importanza strategica della pianificazione delle attività coinvolgenti il trattamento di dati personali.
Solo con una valutazione approfondita delle caratteristiche del trattamento previsto nel singolo caso, infatti, è possibile individuare le misure legali, organizzative e tecniche necessarie per ottenere dati anonimi, in quanto tali non soggetti al GDPR, così massimizzando le possibilità di valorizzazione dei dati offerte dal nuovo framework normativo dell’Unione nel rispetto dei diritti delle persone coinvolte.
Articoli Correlati