La Corte di Giustizia dell’Unione Europea (la “CGUE”), con la sentenza C-413/23 P del 4 settembre 2025 (c.d. “sentenza Deloitte”), ha affermato importati principi in materia di pseudonimizzazione dei dati personali. La Corte, in particolare, ha affrontato il tema della possibile qualificazione come dati anonimi dei dati personali pseudonimizzati trasferiti a soggetti terzi ed ha altresì analizzato i limiti dell’obbligo informativo relativo ad un tale trattamento.
Nel caso di specie, nelle more di una procedura di risoluzione riferita ad un istituto di credito spagnolo,
il Comitato di Risoluzione Unico (il “CRU”) decideva di consultare direttamente azionisti e creditori interessati dalla procedura in merito alla necessità o meno di concedere agli stessi un indennizzo. A tal fine si prevedeva la raccolta dei dati personali identificativi dei soggetti che decidevano di partecipare, nonché della loro opinione rispetto alla questione in oggetto.
In un secondo momento, alcune delle opinioni espresse venivano trasmesse dal CRU sottoforma di dati pseudonimizzati ad una società di revisione e consulenza, incaricata di effettuare una valutazione avente ad oggetto gli effetti della procedura di risoluzione su azionisti e creditori.
Scoperto l’avvenuto trasferimento, taluni degli intervistati avanzavano reclamo avanti al Garante Europeo per la protezione dei dati (“EDPS”) lamentando di non essere stati previamente informati della possibilità di trasferimento dei propri dati personali in favore di soggetti terzi.
L’EDPS dava seguito ai reclami e adottava una decisione con cui accertava l’avvenuta violazione del diritto di informazione e sanciva la natura di “dato personale” delle informazioni trasmesse al soggetto terzo. Il CRU, dunque, presentava ricorso, avverso alla decisione dell’EDPS, avanti al Tribunale dell’Unione Europea, richiedendo l’annullamento della decisione. Il Tribunale adito, in accoglimento del ricorso presentato, annullava la decisione dell’EDPS.
La sentenza del Tribunale è giunta al vaglio della CGUE, la quale ha provveduto al suo annullamento sulla base di una serie di principi innovativi in materia di pseudonimizzazione.
La Corte, in particolare, ha riconosciuto la possibilità di escludere, talvolta, il carattere “personale” del dato pseudonimizzato laddove non riconducile, per il soggetto che tratta il dato stesso, alla persona fisica cui il dato pseudonimizzato si riferisce.
La norma, infatti, definisce la “pseudonimizzazione” come “il trattamento dei dati personali in modo tale che i dati personali non possano più essere attribuiti a un interessato specifico senza l’utilizzo di informazioni aggiuntive, a condizione che tali informazioni aggiuntive siano conservate separatamente e soggette a misure tecniche e organizzative intese a garantire che tali dati personali non siano attribuiti a una persona fisica identificata o identificabile”.
La nozione stessa di “pseudonimizzazione”, dunque, presuppone la persistenza di informazioni che consentono l’identificazione del soggetto interessato. La Corte ha però osservato che, a seconda delle circostanze, talvolta questa misura potrebbe comunque effettivamente impedire a taluni soggetti, terzi destinatari del dato, di identificare l’interessato, rendendo il dato “anonimo” agli occhi di questi.
La pseudonimizzazione, tuttavia, per sua natura non consente di per sé di qualificare i dati coinvolti come anonimi; pertanto, bisognerà valutare, caso per caso, se i dati pseudonimizzati non possano ritenersi “anonimi” per il soggetto che li riceve.
A tale finalità sarà necessario verificare che:
– il titolare del trattamento non trasmetta al terzo, oltre ai dati pseudonimizzati, anche ulteriori informazioni che rendano possibile l’identificazione;
– il terzo, sebbene privo di tali informazioni aggiuntive, non sia comunque in grado di superare la pseudonimizzazione mediante il trattamento dei dati in questione;
– il terzo non possa in alcun modo giungere all’identificazione ricorrendo ad altri mezzi di identificazione. In merito, ricorda la Corte, che “non ci si può avvalere ragionevolmente di un mezzo per identificare la persona interessata quando l’identificazione di tale persona è vietata dalla legge o praticamente irrealizzabile, per esempio a causa del fatto che ciò implicherebbe un dispendio sproporzionato di tempo, costi e manodopera”.
La Corte ha, dunque, statuito che, laddove sia possibile accertare che il terzo ricevente non sia in grado di identificare il soggetto interessato cui i dati pseudonimizzati fanno riferimento, tali informazioni potranno essere dal medesimo considerate come “anonime” e, pertanto, nelle more del loro trattamento, il terzo non dovrà curarsi di garantire le forme di tutela richieste per il trattamento di dati personali.
D’altro canto, come espressamente indicato dalla Corte, laddove tale eventualità non potesse escludersi, i dati trasmessi, seppur pseudonimizzati, dovranno considerarsi comunque come “personali”.
Stante quanto statuito, la Corte è stata altresì chiamata ad affrontare la questione relativa all’obbligo di informazione e, in particolare, la sua sussistenza in caso di trasferimento del dato pseudonimizzato divenuto “anonimo” per il terzo destinatario, in quanto incapace di identificare la persona fisica cui l’informazione si riferisce.
Il Tribunale, a tal proposito, aveva ritenuto che, al fine di verificare se il titolare del trattamento fosse tenuto, o meno, ad informare l’interessato circa il futuro trasferimento di un dato pseudonimizzato ad un soggetto terzo, fosse necessario accertare se il dato trasmesso mantenesse, o meno, la qualifica di “personale” all’esito del trasferimento. A detta del Tribunale, dunque, la trasmissione di un dato pseudonimizzato, se anonimo per il ricevente, non avrebbe richiesto la preventiva informazione del soggetto interessato.
In relazione a quanto in oggetto, tuttavia, la Corte ha ricordato come l’obbligo di fornire all’interessato l’informazione relativa agli eventuali destinatari dei propri dati abbia, in particolare, lo scopo di garantire che tali dati non siano raccolti dal titolare del trattamento contro la volontà dell’interessato, o addirittura trasferiti a terzi contro la sua volontà.
Pertanto, ad opinione della Corte, l’obbligo di informazione, inserendosi nel rapporto giuridico esistente tra l’interessato e il titolare del trattamento, ha ad oggetto le informazioni relative a tale persona quali trasmesse a detto titolare, e quindi prima di qualsiasi eventuale trasferimento a un terzo.
Pertanto, si deve ritenere che, ai fini dell’applicazione dell’obbligo di informazione, l’identificabilità dell’interessato debba essere valutata al momento della raccolta dei dati e dal punto di vista del titolare del trattamento, a monte del trasferimento, e non con rispetto al terzo ricevente.
Per tutti i motivi evidenziati, la Corte ha annullato la sentenza impugnata e ha rinviato la causa al Tribunale affinché decida nel merito.