M

Questo sito fa uso di cookie tecnici per migliorare l’esperienza di navigazione degli utenti e per raccogliere informazioni sull’utilizzo del sito stesso. Per maggiori informazioni si veda la Cookie Policy.

Dati anonimi, tecniche di anonimizzazione e GDPR.

Il rilievo dei dati anonimi acquista sempre maggior preponderanza, atteso l’impiego degli stessi in molteplici settori, primo fra tutti quello della ricerca sanitaria. L’interesse per i dati anonimi è dovuto principalmente al fatto che questi sono sottratti alla disciplina del GDPR – ai sensi del Considerando 26 GDPR – e dunque possono circolare in modo più agevole e snello.

Ma quando un dato può considerarsi anonimo?

Per rispondere a tale quesito, si analizzano in breve le relative fonti normative, cercando di fare quanta più chiarezza possibile.

  1. GDPR

Il considerando 26 GDPR definisce i dati anonimi come:

  • quelli che nascono come tali, in quanto non si riferiscono a una persona fisica identificata o identificabile;
  • il dato personale che attraverso tecniche di anonimizzazione idonee a impedire o non consentire l’identificazione dell’interessato viene reso anonimo.

In sostanza, il dato anonimo è quello che impedisce l’identificazione della persona fisica a cui sono riferibili e può validamente superare la c.d.  prova di identificazione, secondo la quale per stabilire l’identificabilità di una persona è opportuno considerare tutti i mezzi possibilmente impiegabili e tenere conto della probabilità dell’attività di identificazione.

Tralasciando il dato anonimo che nasce quale tale, la maggior parte dei casi concreti invero riguarda dati personali che vengono poi resi anonimi attraverso tecniche ad hoc.

Ma quando una tecnica di anonimizzazione può essere ritenuta idonea ad impedire l’identificazione dell’Interessato?

  1. Parere 05/2014 WP29 sulle tecniche di anonimizzaizone

Per rispondere al quesito di cui sopra, si deve tenere in considerazione il Parere 05/2014 sulle tecniche di anonimizzazione adottato il 10.04.2014. dal Gruppo di lavoro art. 29 (WP29).

Il parere in questione:

  • conferma che “Una volta che un insieme di dati viene reso effettivamente anonimo e le persone non sono più identificabili, le norme dell’Unione in materia di protezione dei dati non sono più applicabili.”
  • Individua quattro caratteristiche chiave affinché un dato possa considerarsi anonimo:
    • l’anonimizzazione può essere il risultato del trattamento di dati personali allo scopo di impedire irreversibilmente l’identificazione della persona interessata;
    • possono essere previste diverse tecniche di anonimizzazione, non esiste alcuna norma prescrittiva nella legislazione dell’Unione;
    • deve essere attribuita importanza agli elementi contestuali: è opportuno prendere in considerazione “l’insieme” dei mezzi che “possono essere ragionevolmente” utilizzati per l’identificazione da parte del responsabile del trattamento o di altri, prestando particolare attenzione a ciò che ultimamente, allo stato attuale della tecnologia, è diventato “ragionevolmente utilizzabile” (dato l’incremento della potenza di calcolo e degli strumenti disponibili).
    • l’anonimizzazione presenta un fattore di rischio intrinseco: occorre tenerne conto nel valutare la validità di qualsiasi tecnica di anonimizzazione – compresi gli impieghi possibili dei dati “resi anonimi” mediante tale tecnica – e vanno soppesate la gravità e la probabilità di tale rischio.
  • Stabilisce che l’anonimizzazione deve essere conforme ai vincoli giuridici richiamati dalla Corte di giustizia europea nella sua decisione in merito alla causa C-553/07 (College van Burgemeester en wethouders van Rotterdam/M.E.E. Rijkeboer), in relazione alla necessità di conservare i dati in forma identificabile in modo da consentire, ad esempio, l’esercizio dei diritti di accesso da parte delle persone interessate.
  • individua le due tipologie principali di tecniche di anonimizzazione impiegate, ossia la randomizzazione e la generalizzazione dei dati, la cui efficienza deve essere valutata con un’analisi del rapporto tra garanzie ed errori comuni. Va da sé che maggiore è livello di garanzie, minori sono i rischi di concretizzarsi degli errori comuni, maggiore sarà la possibilità riconoscere l’adeguatezza della tecnica di anonimizzazione impiegata.
  1. Pronuncia della Corte di Giustizie dell’Unione Europea del 26 aprile 2023 Caso T_557/20

Dal parere del WP29 emerge chiaramente che l’idoneità della tecnica di anonimizzazione a impedire o non consentire l’identificazione dell’interessato deve necessariamente tener presente la realtà dei fatti in cui il trattamento dei dati personali è immersa. Infatti, un dato reso anonimo attraverso opportune tecniche, se pur con livelli altissimi di garanzie, potrà comunque essere sempre passibile di riconducibilità all’interessato originario, sia per via del rischio intrinseco connaturato a tali dati, sia perché tale possibilità deve sempre essere garantita ove sussistano legittime finalità.

Quindi, cosa si deve effettivamente intendere per impedimento a risalire all’identità dell’Interessato?

Sul punto, si è pronunciata la CGUE, nel caso R_557/20, precisando che:

  • per stabilire se un’informazione costituisce un dato personale è necessario considerare se il destinatario del dato (non terzi) è in grado di identificare il soggetto cui quell’informazione si riferisce.
  • È necessario verificare se il soggetto che riceve i dati dispone di mezzi legali e realizzabili in pratica che gli consentano di accedere alle informazioni aggiuntive necessarie per la reidentificazione degli interessati.
  • I dati personali sono da qualificare come anonimi se il ricevente non è in grado di risalire all’identità dell’interessato.

In conclusione, dunque, un dato può essere considerato anonimo ove, grazie alla tecnica di anonimizzazione impiegata e alle misure adottate, al ricevente sia preclusa la possibilità di risalire all’identità dell’interessato attraverso mezzi legali e realizzabili in pratica.

  1. Dati anonimi e attività di ricerca sanitaria: le Linee Guida EDPB del 2 febbraio 2021.

Per quanto riguarda l’attività di ricerca scientifica e sanitaria, le linee guida in parola sottopongono anche in questo la verifica dell’effettiva anonimizzazione alla prova di identificazione di cui al Considerando 26 GDPR.

Ciò significa che, anche e soprattutto nel campo della ricerca sanitaria, devono trovare applicazione tutti i criteri qui analizzati e dunque per superare la prova di identificazione bisognerà chiedersi: Il soggetto ricevente può identificare l’interessato tramite i dati inviati, elaborati attraverso una data tecnica di anonimizzazione, con mezzi legali e realizzabili in pratica?

La risposta a tale quesito deve essere elaborata case by case attraverso un esame approfondito dell’adeguatezza delle tecniche di anonimizzazione impiegate, delle misure di sicurezza predisposte e della possibilità di verificarsi del rischio di identificazione dell’interessato da parte del ricevente, possibilmente tramite una valutazione d’impatto (PIA).

Considerate le importanti ripercussioni connesse ad una valutazione errata circa l’anonimizzazione dei dati o meno, si suggerisce di rivolgersi a professioni esperti che possano accompagnarvi in ogni step della vostra attività di rielaborazione di dati personali.

Data di pubblicazione
2.10.2023
Argomento trattato
Data Protection . Compliance

Iscrizione Newsletter

Share