Per il GDPR un dato è anonimo solo se nessuno può più risalire alla persona con mezzi ragionevoli. Se esiste da qualche parte una chiave o una tabella di corrispondenza, il dato è pseudonimizzato e resta personale. È il caso di quasi tutti gli strumenti 'di anonimizzazione', compreso il nostro.
Le fonti, in ordine
La regola sta nel GDPR. L'articolo 4, punto 5, definisce la pseudonimizzazione: i dati non sono più attribuibili a una persona senza informazioni aggiuntive, conservate a parte. Il considerando 26 aggiunge che i dati pseudonimizzati riguardano una persona identificabile, mentre i dati anonimi restano fuori dal regolamento. Il Codice Privacy non cambia queste definizioni.
Il parere 05/2014 del Gruppo di lavoro Articolo 29 riguarda le tecniche di anonimizzazione. Le linee guida 01/2025 del Comitato europeo per la protezione dei dati, di cui il Garante fa parte, riguardano la pseudonimizzazione. Non sono legge, ma mostrano come le autorità leggono la legge. La guida dell'ICO britannico applica invece il regime del Regno Unito.
Il test dei mezzi ragionevoli
Secondo il Gruppo 29, la reidentificazione non deve essere possibile, per chiunque, con i mezzi che si possono ragionevolmente prevedere. «Ragionevolmente» esclude un servizio segreto con risorse illimitate. «Chiunque» comprende il destinatario, il fornitore, un collega, chi riceve il file per errore. Il parere propone tre domande.
- Si può isolare una persona? Una riga come «avvocata, 52 anni, Ordine di Trento» la identifica anche senza nome.
- Si possono collegare due documenti alla stessa persona? Se lo stesso valore sostitutivo compare in due file, chi li ha entrambi li collega.
- Si può dedurre qualcosa su una persona? Se tutto un reparto ha chiesto la stessa prestazione sanitaria, il dato riguarda ciascuno.
Basta un sì perché l'anonimato sia difficile da sostenere. Il codice fiscale, per esempio, si calcola da nome, data e luogo di nascita. Con un'anagrafica si ricalcolano i codici e le loro impronte crittografiche, e ogni riga torna al suo posto.
Tutto dipende dalla chiave
Un dato è pseudonimizzato se esiste, presso chiunque, una chiave o una tabella che riporta all'originale. L'aspetto del documento non conta. La tabella può stare sul computer di chi ha elaborato il file, presso il fornitore, in un backup.
Custodirla bene migliora la sicurezza, ma lo status del dato resta quello. Le linee guida EDPB del 2025 lo dicono: i dati pseudonimizzati restano personali e il regolamento si applica per intero. Il caso del destinatario che non può ottenere la chiave è ancora in discussione davanti ai giudici europei.
Perché la parola viene usata male
«Anonimizzato» fa più presa sul piano commerciale, perché promette di uscire dal GDPR. Eppure quasi tutti gli strumenti funzionano proprio perché conservano la corrispondenza. Chi compila il registro dei trattamenti riprende spesso la parola dal materiale del fornitore.
Un titolare del trattamento che si crede fuori dal regolamento non aggiorna l'informativa e non fissa un termine per la tabella. Quando il Garante chiede conto, rispondere «era anonimo» rivela una valutazione mai fatta.
Il nostro metodo
La funzione Codifica di promptShield è pseudonimizzazione. Sostituisce nomi, codici fiscali o IBAN con un codice reversibile e conserva la corrispondenza nel Registro codici. Il funzionamento è nella guida all'oscuramento reversibile.
Il Registro codici è un file SQLite locale, non cifrato per scelta: sulla stessa macchina ci sono già gli originali. La Decodifica avviene in locale, senza servizi in rete. I codici valgono per cartella, quindi i documenti di una cartella restano collegabili. Solo un codice fissato a mano vale per tutta la Libreria.
L'esportazione del registro è un file JSON in chiaro con l'intera corrispondenza. Inviarla con un documento codificato equivale a inviare l'originale.
Rimuovi elimina il contenuto, anche nei metadati, nei campi modulo e nelle miniature. È la scelta che più si avvicina all'anonimato, se non esiste un'esportazione della mappa. Serve anche che il resto del documento non basti a riconoscere la persona.
La rilevazione lavora per strati e propaga i risultati fra le pagine, ma un dato sfuggito resta nel documento. La Revisione fa quindi parte del metodo. L'app desktop lavora offline. L'app gratuita nel browser invia un segnale anonimo all'avvio, ma il documento resta sul computer.
Che cosa offre la pseudonimizzazione
Il GDPR la cita negli articoli 25, 32 e 89 e nell'articolo 6, paragrafo 4. Un documento codificato espone molto meno di uno in chiaro, e questo pesa in caso di violazione. Il trattamento va però registrato con base giuridica e finalità, e la tabella va custodita a parte con un termine di conservazione.
Domande frequenti
Anonimizzare elimina i miei obblighi?
Per i dati davvero anonimi il regolamento non si applica più. Anonimizzare è però a sua volta un trattamento, con base giuridica e finalità. Se una chiave o una tabella esiste ancora, gli obblighi restano tutti.
Un dato pseudonimizzato si può condividere liberamente?
No, perché resta un dato personale. Servono una base giuridica, un'informativa e, se il destinatario è responsabile del trattamento, un contratto ex articolo 28.
Conviene anonimizzare o pseudonimizzare?
Dipende dal fatto che il documento debba tornare indietro. Se la risposta di un modello di IA va ricondotta ai nomi reali, serve un metodo reversibile. Se il documento esce per non tornare, la rimozione definitiva senza mappa può portare all'anonimato.
Basta cifrare la tabella per parlare di anonimizzazione?
No: la chiave di decifratura è un'informazione aggiuntiva che riporta agli originali. La cifratura protegge la mappa e lascia invariato lo status dei dati.
Che cosa scrivere nel registro dei trattamenti
Prima di scrivere «abbiamo anonimizzato», bastano due domande. Esiste una chiave o una tabella che riporta all'originale? Il documento permette di isolare, collegare o dedurre qualcosa su una persona? Se una risposta è sì, la parola corretta è «pseudonimizzato».
Con Codifica la prima risposta è sempre sì, e il registro deve dirlo. Per i fascicoli coperti da segreto professionale, il passo successivo è trattarli senza passare dal cloud.