Anonimizzazione e pseudonimizzazione sono due tecniche diverse con effetti giuridici opposti sotto il GDPR (Regolamento UE 2016/679). La pseudonimizzazione, definita dall’art. 4, punto 5, è il trattamento dei dati in modo che non possano più essere attribuiti a un interessato specifico senza informazioni aggiuntive, conservate separatamente e protette: il dato pseudonimizzato resta un dato personale e rimane pienamente soggetto al Regolamento. L’anonimizzazione, invece, rende la persona non identificabile tenendo conto dei mezzi ragionevolmente utilizzabili: secondo il Considerando 26, ai dati resi anonimi «in modo tale che l’interessato non sia o non sia più identificabile» il GDPR non si applica. La differenza pratica è netta: la pseudonimizzazione è una misura di sicurezza che riduce il rischio ma non fa uscire i dati dal perimetro normativo; l’anonimizzazione, se realmente efficace, li fa uscire del tutto.
Il confine tra le due è più sottile di quanto sembri, perché l’anonimizzazione «vera» è tecnicamente difficile: il rischio di re-identificazione, combinando più fonti, è spesso più alto di quanto si creda. Questa guida spiega le differenze giuridiche, le tecniche principali, quando i dati escono davvero dal GDPR e come inquadrare entrambe nel disegno complessivo della sicurezza e dell’accountability.
La differenza giuridica: dato personale o no
Il discrimine è uno solo: dopo il trattamento, la persona è ancora identificabile? Se sì, il dato è personale e il GDPR si applica; se no, il dato è anonimo e il Regolamento non si applica più.
La pseudonimizzazione non taglia il legame con l’identità, lo separa. I dati identificativi diretti (nome, codice fiscale) vengono sostituiti da uno pseudonimo o da una chiave, ma esiste ancora un’informazione — conservata a parte — che consente di ricondurre lo pseudonimo alla persona. Finché quella chiave esiste, l’interessato è identificabile e il dato resta personale. Per questo l’art. 4, punto 5, colloca la pseudonimizzazione tra le misure di sicurezza, e l’art. 25 e l’art. 32 la citano espressamente come tecnica raccomandata.
L’anonimizzazione richiede che la persona non sia più identificabile con mezzi ragionevolmente utilizzabili. Una chiave accessibile che consente di ripristinare l’identità impedisce di considerare anonimi quei dati. Il Considerando 26 impone un test rigoroso: occorre considerare «tutti i mezzi… che potrebbero essere ragionevolmente utilizzati» per identificare la persona, tenendo conto dei costi, del tempo e dello stato della tecnologia. Un dato è anonimo solo se questo test è superato in modo robusto e duraturo.
Tabella di confronto
| Criterio | Pseudonimizzazione | Anonimizzazione |
|---|---|---|
| Reversibilità | Attribuzione possibile con l’informazione aggiuntiva | Persona non identificabile con mezzi ragionevolmente utilizzabili |
| Natura del dato | Resta dato personale | Non è più dato personale |
| Ambito GDPR | Pienamente applicabile | Non si applica (Considerando 26) |
| Funzione | Misura di sicurezza (art. 32) | Uscita dal perimetro normativo |
| Utilità del dato | Elevata: analisi puntuali possibili | Ridotta: solo aggregati e statistiche |
| Rischio di re-identificazione | Presente, mitigato dalla separazione | Da valutare rispetto a mezzi, costi, tempi e tecnologia ragionevolmente disponibili |
| Casi d’uso tipici | Ricerca clinica, test, minimizzazione | Statistiche pubbliche, open data, addestramento di modelli |
La tabella chiarisce il compromesso di fondo: più un dato è anonimo, meno è utile per analisi puntuali; più resta pseudonimo, più conserva valore analitico ma rimane soggetto al Regolamento. La scelta dipende dalla finalità.
Le tecniche principali
Anonimizzazione e pseudonimizzazione si realizzano con famiglie di tecniche diverse.
Mascheramento (masking). Sostituzione o oscuramento di parte dei dati (ad esempio le prime cifre di un codice). Utile per limitare l’esposizione, ma spesso reversibile se non combinato con altre misure.
Generalizzazione e k-anonimato. Riduzione della precisione dei dati (una data di nascita diventa un anno; un CAP diventa una provincia) fino a garantire che ogni record sia indistinguibile da almeno k-1 altri. Il k-anonimato è un modello di riferimento per l’anonimizzazione statistica, ma resta vulnerabile ad attacchi se gli attributi sensibili sono poco variabili (da cui i modelli evoluti come l-diversità e t-vicinanza).
Hashing. Trasformazione di un valore in una stringa a lunghezza fissa. È spesso presentato come anonimizzazione, ma un hash senza sale, applicato a un insieme finito di valori (numeri di telefono, e-mail), è vulnerabile ad attacchi di forza bruta e a tabelle precalcolate: nella maggior parte dei casi produce una pseudonimizzazione, non un’anonimizzazione.
Aggiunta di rumore e privacy differenziale. La privacy differenziale limita matematicamente quanto la presenza o l’assenza dei dati di una persona può modificare la distribuzione dei risultati; non richiede che l’influenza sia nulla. Le linee guida NIST SP 800-226 spiegano come la garanzia dipenda dai parametri, dall’unità protetta, dalle pubblicazioni ripetute e dall’implementazione. Aggiungere rumore senza un meccanismo e parametri adeguati non dimostra da solo né privacy differenziale né anonimizzazione ai sensi del GDPR.
Il riferimento europeo classico su queste tecniche è il Parere 05/2014 del Gruppo di lavoro Articolo 29 sulle tecniche di anonimizzazione, che valuta ciascun metodo rispetto a tre rischi: la possibilità di isolare un individuo (singling out), di collegare record (linkability) e di inferire informazioni (inference). È il quadro concettuale ancora utilizzato dal Garante e dall’EDPB per giudicare se un dato è davvero anonimo.
Per gli indirizzi IP nei log, il controllo deve includere timestamp, account e informazioni accessibili al destinatario. Un indirizzo condiviso o trasformato non prova da solo l’anonimato; l’analisi distingue anche identificabilità e attribuzione certa di un comportamento.
Il rischio di re-identificazione
L’errore più pericoloso è considerare anonimo un dato che non lo è. La letteratura ha dimostrato ripetutamente che dataset «anonimizzati» possono essere re-identificati incrociandoli con altre fonti: pochi attributi apparentemente innocui (età, sesso, CAP, data di un evento) bastano spesso a isolare una persona in un dataset di grandi dimensioni. Il test del Considerando 26 va quindi applicato in modo dinamico: un dato anonimo oggi può tornare identificabile domani, se emergono nuove fonti di raffronto o nuove capacità di calcolo.
La conseguenza operativa è duplice. Primo: quando l’anonimizzazione non è robusta, il trattamento resta soggetto al GDPR e va documentato come tale. Secondo: se un dataset ritenuto anonimo si rivela re-identificabile ed è oggetto di accesso non autorizzato, la questione può configurare una violazione di dati personali con i relativi obblighi di notifica al Garante entro 72 ore. Non si tratta di ipotesi teoriche: la valutazione della robustezza dell’anonimizzazione è essa stessa parte dell’analisi del rischio.
La cifratura dei dati e la gestione delle chiavi rispondono a una domanda diversa: chi può leggere le informazioni protette e in quali condizioni. Un archivio cifrato non diventa anonimo per il solo fatto che la chiave sia custodita separatamente.
Rapporto con privacy by design e DPIA
Entrambe le tecniche si inseriscono nel disegno complessivo della protezione dei dati. La pseudonimizzazione è una delle misure espressamente citate dall’art. 25 come strumento di privacy by design: separare gli identificativi dai dati di trattamento riduce il rischio fin dalla progettazione. Sia la pseudonimizzazione sia l’anonimizzazione sono, inoltre, misure tipiche per attuare la limitazione della conservazione: quando una finalità cessa, anonimizzare i dati residui può essere un’alternativa alla cancellazione, purché l’anonimizzazione sia effettiva.
Domande frequenti
I dati pseudonimizzati sono soggetti al GDPR?
Sì. La pseudonimizzazione, definita dall’art. 4, punto 5, non elimina la qualità di dato personale: esiste ancora un’informazione aggiuntiva, conservata separatamente, che consente di ricondurre lo pseudonimo alla persona. Finché quel legame è ricostruibile, l’interessato è identificabile e tutte le regole del Regolamento continuano ad applicarsi. La pseudonimizzazione è una misura di sicurezza che riduce il rischio, non un modo per uscire dagli obblighi.
Quando un dato è veramente anonimo?
Un dato è anonimo, ai sensi del Considerando 26, solo quando non è ragionevolmente possibile re-identificare la persona con tutti i mezzi che potrebbero essere utilizzati, considerando costi, tempo e stato della tecnologia. Il test va applicato in modo dinamico, considerando anche chiavi disponibili e possibilità di identificazione mediante altre fonti. Se la persona rimane identificabile con mezzi ragionevolmente utilizzabili, il dato resta personale: non occorre dimostrare l’assenza di ogni rischio teoricamente immaginabile.
L’hashing è una forma di anonimizzazione?
Di regola no. Un hash applicato a un insieme finito e prevedibile di valori — come numeri di telefono o indirizzi e-mail — è vulnerabile ad attacchi di forza bruta e a tabelle precalcolate, quindi resta reversibile in pratica. Nella maggior parte dei casi l’hashing produce una pseudonimizzazione, non un’anonimizzazione, e il dato rimane personale. Per avvicinarsi a un’anonimizzazione robusta occorrono tecniche più forti, come la generalizzazione con k-anonimato o la privacy differenziale.
Conclusione
Anonimizzazione e pseudonimizzazione non sono sinonimi né gradazioni della stessa cosa: producono conseguenze giuridiche opposte. La pseudonimizzazione, ex art. 4, punto 5, è una misura di sicurezza che lascia i dati dentro il GDPR; l’anonimizzazione, quando rende la persona non identificabile secondo il test dei mezzi ragionevolmente utilizzabili, li fa uscire dal perimetro del Regolamento ai sensi del Considerando 26. Le tecniche disponibili — mascheramento, generalizzazione con k-anonimato, hashing, aggiunta di rumore e privacy differenziale — offrono garanzie molto diverse, e il rischio di re-identificazione va valutato in modo dinamico, come insegna il Parere 05/2014 del Gruppo di lavoro Articolo 29. La regola pratica è prudenziale: nel dubbio, un dato va trattato come personale, perché dichiarare anonimo ciò che non lo è espone alla stessa responsabilità di qualsiasi altro trattamento illecito.
Approfondimenti collegati: