L’8 luglio 2026, il Comitato europeo per la protezione dei dati ha adottato un pacchetto di linee guida destinato a incidere in modo significativo sulla governance dei dati personali. Più in particolare, si tratta di:
- due nuove bozze di linee guida, dedicate rispettivamente all’anonimizzazione e al web scraping utilizzato per l’addestramento dei modelli di intelligenza artificiale generativa, aperte alla consultazione pubblica sino al 30 ottobre 2026; e
- la versione finale delle linee guida sul trattamento di dati personali mediante tecnologie blockchain. Tale intervento si colloca nel percorso già avviato con il parere n. 28/2024 del 17 dicembre 2024 sui modelli di IA e sviluppa i principi affermati dalla Corte di giustizia dell’Unione europea nella causa EDPS c. SRB (C-413/23 P) del 4 settembre 2025.
Elemento comune ai tre documenti è che la conformità non possa essere fondata su qualificazioni astratte o su formule standard, ma richieda valutazioni concrete, riferite al contesto tecnico e organizzativo nel quale i dati sono raccolti, utilizzati, condivisi e conservati.
Entrando nel merito delle tre linee guida e soffermandoci soprattutto sul tema dell’anonimizzazione, l’EDPB chiarisce anzitutto che un’informazione può essere considerata realmente anonima soltanto quando non consenta di identificare, direttamente o indirettamente, una persona fisica mediante tutti i mezzi ragionevolmente utilizzabili nel caso concreto.
La valutazione non riguarda quindi soltanto le caratteristiche intrinseche del dataset, ma deve tenere conto delle conoscenze, delle risorse, degli strumenti e delle ulteriori informazioni concretamente disponibili al soggetto che detiene o riceve i dati. Per accertare l’effettiva anonimizzazione, il Comitato propone un test fondato su tre criteri cumulativi: (i) deve risultare impossibile isolare un singolo individuo all’interno del dataset, secondo il criterio del “singling out”; (ii) non deve essere possibile collegare informazioni diverse riferibili alla stessa persona, secondo il criterio della “linkability”; e (iii) non deve infine essere possibile dedurre, con ragionevole probabilità, ulteriori informazioni sull’interessato attraverso inferenze o combinazioni dei dati disponibili.
Ne consegue che la medesima informazione può assumere una qualificazione diversa a seconda del destinatario e del contesto di trattamento. La valutazione deve pertanto considerare il ruolo di ciascun soggetto coinvolto, la concreta disponibilità di informazioni aggiuntive e le misure tecniche e contrattuali che impediscono o limitano la re-identificazione.
Per i titolari ciò comporta la necessità di mappare i trattamenti nei quali vengono utilizzati dataset qualificati come anonimi, riesaminare le analisi già svolte, verificare periodicamente la tenuta delle tecniche impiegate rispetto ai tre criteri indicati dall’EDPB e prestare particolare attenzione alle comunicazioni a terzi, poiché il rischio di identificazione può variare in funzione del destinatario.
Per completezza, si richiamano brevemente anche i contenuti delle altre due linee guida.
Quelle relative al web scraping per l’IA generativa partono da una premessa altrettanto netta: la raccolta automatizzata su larga scala è soggetta al GDPR quando comporta l’acquisizione, la conservazione, l’organizzazione o il recupero di dati personali, anche se tali informazioni sono pubblicamente accessibili online e anche se gli interessati non sono consapevoli della raccolta.
Infine, sul fronte blockchain, le linee guida finali distinguono tra infrastrutture pubbliche, permissioned e private e richiamano la necessità di chiarire i ruoli e le responsabilità dei partecipanti, limitare al minimo le informazioni memorizzate, valutare l’utilizzo di soluzioni off-chain e verificare che l’architettura scelta consenta una gestione effettiva dei diritti degli interessati prima di procedere con la registrazione dei dati on-chain.
In termini operativi, il nuovo pacchetto dell’EDPB rende opportuno avviare una revisione coordinata delle valutazioni di anonimizzazione, dei test di legittimo interesse, delle informative, delle procedure di opposizione, dei controlli sulla qualità dei dati e delle soluzioni blockchain utilizzate, conservando evidenza delle verifiche svolte, delle misure adottate e delle ragioni poste a fondamento delle decisioni. Trattandosi di testi in evoluzione, le analisi dovranno essere monitorate e aggiornate, conservando evidenza delle scelte compiute.