Anonimizzazione dei dati personali secondo il GDPR: requisiti, metodi ed esempi

Che cos’è l’anonimizzazione GDPR?

L’anonimizzazione GDPR consiste nel trasformare i dati personali in modo che le persone non siano più identificabili, tenendo conto dei mezzi ragionevolmente utilizzabili per identificarle. Il considerando 26 distingue questo risultato dal semplice occultamento di identificativi evidenti. Le informazioni veramente anonime non rientrano nel GDPR; sostituire solo i nomi non basta a dimostrare che questa soglia sia stata raggiunta. [1]

L’anonimizzazione descrive un risultato, non una funzione software specifica. Per un team che prepara documenti per un altro pubblico, il compito consiste nel conservare le informazioni utili valutando al contempo se i dettagli rimanenti indichino ancora una persona.

Questa distinzione conta nel lavoro quotidiano. Un fornitore di pagamenti può avere bisogno di un numero di conto per risolvere una transazione. Una collega che prepara una guida generale alla risoluzione dei problemi probabilmente no. Lo stesso documento di origine può richiedere un trattamento diverso per questi due scopi.

Cosa richiede il GDPR prima di condividere o riutilizzare i dati

L’articolo 5, paragrafo 1, lettera c), stabilisce la minimizzazione dei dati: i dati personali devono essere limitati a quanto richiesto dalla finalità del trattamento. L’articolo 25 collega questo principio al modo in cui sistemi e flussi di lavoro vengono progettati. L’anonimizzazione può sostenere questi obiettivi, ma il GDPR non richiede che ogni organizzazione anonimizzi ogni registro. [1][2][3]

In un flusso di lavoro documentale, inizi indicando la finalità e il destinatario. Scrivere «preparare un esempio di risoluzione dei problemi per l’assistenza di un fornitore» è più utile di scrivere «usare questi dati internamente». Permette a chi effettua la revisione di decidere se il nome di un cliente, una marca temporale precisa o un riferimento a una transazione contribuiscano all’attività.

L’atto stesso di anonimizzare dati personali è un trattamento, quindi gli obblighi si applicano finché maneggia le informazioni originali. Ha comunque bisogno di una base giuridica adeguata e di garanzie appropriate. Un risultato anonimo non rende retroattivamente lecita una raccolta che non lo era. [1]

Tratti separatamente la fonte e la copia proposta per la condivisione. Oscurare un estratto non rimuove gli identificativi dal ticket originale, dagli allegati o da esportazioni precedenti. Le sue disposizioni di conservazione e accesso devono coprire anche quei registri. [2]

Anonimizzazione, pseudonimizzazione e mascheramento: le differenze

L’anonimizzazione mira a eliminare l’identificabilità. La pseudonimizzazione riduce il collegamento con una persona, mentre informazioni aggiuntive possono ripristinare quel collegamento; è una garanzia, non lo stesso risultato. Il Comitato europeo per la protezione dei dati (CEPD) spiega questa distinzione perché i termini comportano implicazioni diverse per la protezione dei dati. [4]

Sostituire i nomi dei dipendenti con codici mantenendo una tabella di corrispondenza separata è, ad esempio, un processo di pseudonimizzazione. Può consentire analisi utili senza mostrare i nomi a ogni analista. Finché i registri restano attribuibili tramite informazioni aggiuntive, restano dati personali. [4]

Mascheramento e oscuramento descrivono operazioni. Il mascheramento può nascondere parte di un numero di conto visualizzato; l’oscuramento può rimuovere un nome o sostituirlo con un segnaposto. Nessuno dei due termini indica da solo se una persona resti identificabile. Una domanda di revisione utile è: cosa potrebbe dedurre qualcuno dal risultato e dalle altre informazioni a sua disposizione? [5]

Non basi una decisione sull’anonimato solo sull’eliminazione di una tabella di corrispondenza. Il registro originale o dettagli distintivi nel testo possono comunque offrire una via di ritorno verso una persona. Valuti il risultato nel suo contesto, incluse le informazioni a disposizione del pubblico destinatario. [5]

Dato personale relativo: che cosa chiarisce la sentenza della Corte di giustizia del 2025

Il 4 settembre 2025 la Corte di giustizia dell’UE, nella causa C-413/23 P, ha stabilito che i dati pseudonimizzati non sono automaticamente dati personali per ogni destinatario. Se un destinatario non può annullare la pseudonimizzazione e questa impedisce effettivamente l’attribuzione, i dati non sono personali dal suo punto di vista. Per il titolare, che dispone della corrispondenza, lo restano. [9]

Il caso riguardava il regolamento 2018/1725 applicabile alle istituzioni dell’UE; la dottrina ne trae indicazioni anche per il GDPR. In pratica, se una copia condivisa sia anonima per il destinatario dipende dai mezzi di identificazione di cui dispone realisticamente, compreso il contesto nel testo stesso. La Corte ha inoltre chiarito che i destinatari vanno indicati già al momento della raccolta, anche se il collegamento personale viene rimosso prima della trasmissione. [9]

Tecniche comuni di anonimizzazione e i loro limiti

La soppressione rimuove informazioni, come un campo di contatto o una frase superflua. La generalizzazione riduce la precisione, ad esempio sostituendo una posizione dettagliata con un’area più ampia. Entrambe richiedono di decidere quanto dettaglio serva all’attività. La CNIL raccomanda di considerare le informazioni utili, i valori rari e il livello di dettaglio appropriato nel progettare un processo di anonimizzazione. [3]

Il Parere 05/2014 del Gruppo di lavoro Articolo 29 raggruppa le tecniche in due famiglie: la randomizzazione, con aggiunta di rumore, permutazione e privacy differenziale, e la generalizzazione, con aggregazione, k-anonimato, l-diversità e t-vicinanza. Il parere osserva anche che eliminare gli identificativi diretti non basta a rendere anonimi i dati. Queste tecniche servono soprattutto per banche dati e statistiche, meno per singoli testi liberi come e-mail o ticket. [8]

L’aggregazione riporta informazioni su gruppi anziché su singoli registri. La randomizzazione modifica i valori, spesso per preservare pattern statistici utili riducendo la divulgazione. Questi metodi richiedono una progettazione attenta: un gruppo piccolo o una combinazione insolita di attributi può comunque rivelare informazioni su una persona. Il glossario dell’ICO spiega questi approcci nel contesto del GDPR britannico. [6]

In un estratto di assistenza clienti, rimuovere i dati di contatto può preservare l’intera vicenda del problema. In un report sul personale, un conteggio per reparto può essere più utile di racconti individuali per ciascun dipendente. Per un set di dati di ricerca pubblica possono servire metodi statistici specializzati e una valutazione di divulgazione separata.

Scelga la tecnica in base all’uso previsto. Un metodo adatto a un cruscotto non è automaticamente adatto al testo libero. Aggregare i reclami può mostrare la frequenza di un errore, ma non può preservare la formulazione esatta di cui un ingegnere ha bisogno per capire un messaggio di errore ambiguo.

DataAnonymiser si concentra sul rilevare dettagli identificativi e sostituirli con segnaposto nel testo. Non trasforma automaticamente i documenti in aggregati statistici e non applica ogni tecnica qui descritta. Generalizzare un racconto o produrre una sintesi a livello di gruppo è un passaggio editoriale o analitico distinto.

Esempio 1: oscurare un ticket di assistenza prima di un’escalation verso un fornitore

I seguenti esempi sono fittizi e illustrativi, non risultati misurati del prodotto né prova di anonimato legale. Ognuno parte da un’attività utile ed esamina poi le informazioni di cui quell’attività non ha bisogno.

Originale: «La contatti, per favore, Alex Morgan all’indirizzo alex.morgan@example.com. Il pagamento è fallito due volte dopo l’aggiornamento dei miei dati di fatturazione».

Versione oscurata illustrativa: «La contatti, per favore, [full_name] all’indirizzo [email]. Il pagamento è fallito due volte dopo l’aggiornamento dei miei dati di fatturazione».

Un ingegnere che indaga sulla sequenza può comunque capire il sintomo. I dati di contatto del cliente non aggiungono nulla a quell’indagine. Chi analizza il caso può anche rimuovere l’intera frase di contatto dalla copia destinata alla condivisione se il fornitore non deve rispondere direttamente al cliente.

Prima di inoltrarlo, controlli l’intero ticket. Un oggetto, una risposta citata, uno screenshot o un riferimento a una transazione possono contenere informazioni che l’estratto non mostra più. Se il fornitore ha bisogno di un riferimento per individuare la transazione, riconosca questa necessità e utilizzi il processo approvato per la condivisione di dati personali, invece di descrivere il pacchetto come anonimo.

Esempio 2: preparare uno scenario HR senza identificare una dipendente

Originale: «Maya, l’unica responsabile del turno notturno nella nostra filiale portuale, ha chiesto un cambio di orario al rientro dal congedo parentale».

Rimuovendo il nome resta: «[first_name], l’unica responsabile del turno notturno nella nostra filiale portuale, ha chiesto un cambio di orario al rientro dal congedo parentale».

Una collega che conosce quella filiale potrebbe comunque sapere esattamente a chi si riferisce la frase. La parola «unica» segnala un ruolo distintivo; il luogo e l’evento recente aggiungono contesto. Per questo verificare un documento significa leggere la storia, non solo controllare che ogni nome sia scomparso.

Per un’esercitazione di formazione dei responsabili, una persona addetta alla revisione potrebbe scrivere invece: «Un dipendente ha chiesto un cambio di orario dopo un periodo di congedo». Questa versione rimuove diversi dettagli conservando la discussione su come gestire la richiesta. È una riscrittura manuale distinta, non un’affermazione secondo cui l’app generalizza automaticamente lo scenario.

La persona responsabile della formazione dovrebbe decidere se le circostanze rimanenti risultino distintive per il pubblico. Quando l’episodio reale è già ampiamente noto, costruire uno scenario interamente fittizio può servire meglio l’obiettivo formativo che adattare il caso reale.

Esempio 3: ridurre i dati personali in un prompt di IA

Originale: «Prepara una risposta a Sam Rivera all’indirizzo sam.rivera@example.com per una fattura duplicata. Sam è il nostro primo cliente nel progetto pilota sull’isola, annunciato ieri nel comunicato stampa».

Sostituire il nome e l’e-mail rimuove i dati di contatto diretti. Resta però una descrizione che potrebbe collegare il cliente a un annuncio pubblico. Se l’attività consiste semplicemente nel preparare una risposta cortese sulla fatturazione, questo contesto è superfluo.

Un prompt preparato da una persona potrebbe dire: «Prepara una risposta cortese a un cliente che ha ricevuto una fattura duplicata. Spiega che stiamo verificando i registri di fatturazione e che lo ricontatteremo». Le istruzioni utili restano, mentre la storia distintiva del cliente viene omessa.

Riveda l’intero prompt, inclusi esempi e testo di conversazioni precedenti. Usi il servizio di IA approvato per le informazioni rimanenti. L’oscuramento non è un permesso automatico per divulgare un documento, e il luogo di trattamento dello strumento di oscuramento non determina ciò che accade dopo aver incollato il suo risultato in un altro servizio.

Come valutare il rischio di reidentificazione

La CNIL descrive tre controlli importanti: se una persona può essere individuata singolarmente, se i registri possono essere collegati e se si possono dedurre informazioni su qualcuno. Offrono a chi effettua la revisione un modo per guardare oltre nomi e indirizzi e-mail evidenti. [3]

Trasformi questi controlli in domande sul suo documento. Il testo descrive un ruolo unico? Una data di un evento potrebbe coincidere con un annuncio pubblico? Un piccolo gruppo fa un’affermazione rivelatrice su un membro non nominato? Gli esempi precedenti mostrano come una frase ordinaria possa portare più informazioni identificative di quante l’autrice intendesse.

Consideri sia le informazioni sia le persone che potrebbero accedervi. Le linee guida britanniche dell’ICO raccomandano di valutare metodi di identificazione realistici e distinguono la condivisione controllata dalla pubblicazione aperta. Le loro linee guida sono attualmente in revisione a seguito di modifiche legislative nel Regno Unito; le usi quindi come contesto pratico specifico del Regno Unito, insieme alle fonti UE applicabili. [5]

Un report di rischio del software può segnalare identificativi rilevati o un rilevamento incompleto. Non può stabilire tutto ciò che un destinatario già sa. Lo usi per orientare la revisione, poi registri le ipotesi alla base della decisione di condivisione e le riesamini quando cambiano il pubblico o le informazioni disponibili.

Un flusso di lavoro pratico per la minimizzazione dei dati secondo il GDPR

1. Definisca l’attività. Annoti perché serve l’informazione, chi la riceverà e se basterebbe un estratto più breve o un esempio fittizio. Decida quali parti devono restare accurate perché l’attività riesca.

2. Identifichi il dettaglio superfluo. Riveda gli identificativi diretti e il contesto distintivo. Controlli il materiale che intende condividere, incluse conversazioni citate e allegati, invece di presumere che il paragrafo principale rappresenti l’intero pacchetto.

3. Oscuri e verifichi. Passi il testo rilevante attraverso DataAnonymiser, riveda le sostituzioni e affronti gli avvisi di rischio residuo. Se il suo piano lo consente, aggiunga termini personalizzati per nomi sensibili o riferimenti interni specifici al lavoro.

4. Riveda la storia rimanente. Decida se serva un’ulteriore rimozione o generalizzazione manuale. Chieda a una persona che conosce il contesto aziendale di mettere alla prova la copia proposta per la condivisione, in particolare per questioni relative a dipendenti, salute o clienti.

5. Documenti e controlli la consegna. Registri finalità, destinatario, esito della revisione e dubbi irrisolti nel processo approvato dalla sua organizzazione. Non riproduca in quel documento dettagli personali superflui. Se l’anonimato è incerto, tratti il risultato come dato personale e ottenga la revisione appropriata prima della condivisione.

Dove si inserisce DataAnonymiser: trattamento sotto il suo controllo

DataAnonymiser fornisce un passaggio ripetibile tra il materiale di origine e il suo uso successivo. Rileva dettagli identificativi, li sostituisce con segnaposto e presenta il risultato con informazioni di revisione. L’obiettivo è conservare testo utile riducendo l’esposizione superflua.

Nell’edizione Individual, il contenuto viene trattato sul dispositivo. Enterprise utilizza un server che la sua organizzazione installa e gestisce all’interno della propria rete, attivato tramite una configurazione esplicita dell’amministratore. Nessuna delle due edizioni invia il contenuto dei documenti a un’infrastruttura gestita da DataAnonymiser per il trattamento.

Questo dà al suo team il controllo su dove avviene il passaggio di oscuramento. Non elimina la necessità di rivedere il risultato o di valutare la destinazione successiva. Chi copia un risultato in uno strumento esterno prende una decisione di condivisione distinta.

Inizi con un flusso di lavoro ricorrente, come le escalation verso i fornitori o il materiale di formazione interno. Concordi quali informazioni siano necessarie, assegni la responsabilità della revisione e provi esempi fittizi rappresentativi prima di introdurre documenti reali. Parli con noi di un rollout Enterprise adatto all’infrastruttura e al processo di revisione della sua organizzazione.