Come fare la DPIA di un progetto di anonimizzazione dei documenti

Anonimizzare documenti sembra una misura di tutela più che un rischio. Eppure l'anonimizzazione è a sua volta un trattamento di dati personali: qualcuno — o uno strumento — deve leggere per intero sentenze, cartelle cliniche, fascicoli amministrativi o cedolini per decidere cosa oscurare, spesso con l'intelligenza artificiale e su larga scala. Se il risultato viene pubblicato o condiviso, un errore espone i dati in modo definitivo. Per questo molti progetti di anonimizzazione richiedono una valutazione d'impatto sulla protezione dei dati (DPIA). Vediamo quando è obbligatoria e come svolgerla, passo dopo passo.

Il vostro progetto richiede una DPIA?

L'articolo 35 del GDPR impone la DPIA quando un trattamento può presentare un rischio elevato per i diritti e le libertà delle persone, in particolare se prevede l'uso di nuove tecnologie. Le linee guida WP248 rev.01, fatte proprie dal Comitato europeo per la protezione dei dati, indicano nove criteri: se ne ricorrono due o più, di norma la DPIA è necessaria. In un progetto di anonimizzazione ne ricorrono spesso diversi:

• Dati sensibili o di natura estremamente personale: salute, dati giudiziari, minori, vittime, situazione economica.
• Trattamento su larga scala: interi archivi, migliaia di provvedimenti, fondi documentali storici.
• Uso innovativo della tecnologia: rilevamento automatico dei dati personali con IA.
• Interessati vulnerabili: pazienti, minori, parti di un procedimento, dipendenti.
• Combinazione di insiemi di dati: quando il documento anonimizzato viene pubblicato e può essere incrociato con altre fonti.

Il Garante privacy ha adottato l'elenco delle tipologie di trattamento soggette a DPIA ai sensi dell'art. 35, par. 4, e raccoglie indicazioni e strumenti nella pagina sulla valutazione d'impatto (DPIA). Anche se concludete che la DPIA non è obbligatoria, documentate la verifica preliminare: il principio di responsabilizzazione (art. 5, par. 2) richiede di poter motivare la scelta. Per una definizione rapida, vedete il glossario alla voce valutazione d'impatto.

Fase 1: descrivere il trattamento e il perimetro

L'art. 35, par. 7, stabilisce il contenuto minimo: descrizione sistematica del trattamento e delle finalità, valutazione di necessità e proporzionalità, valutazione dei rischi e misure previste. Per un progetto di anonimizzazione la descrizione deve rispondere con precisione a queste domande:

• Quali documenti: tipologie (sentenze, referti, contratti), formati (PDF nativi, scansioni, Word, email con allegati) e volume stimato.
• Per quale scopo: pubblicazione per trasparenza o accesso civico (d.lgs. 33/2013), condivisione con ricercatori, trasmissione a terzi, riutilizzo per addestrare modelli, conservazione.
• Quale risultato: anonimizzazione irreversibile o pseudonimizzazione reversibile. Non sono equivalenti: il dato pseudonimizzato resta personale.
• Chi interviene: team di revisione, fornitore dello strumento (responsabile del trattamento), destinatari del risultato.
• Dove e per quanto: ubicazione dei server, conservazione degli originali, delle versioni anonimizzate e delle tabelle di corrispondenza.

Nella parte su necessità e proporzionalità spiegate perché non basta pubblicare meno e perché il livello di anonimizzazione scelto è adeguato alla finalità. Raccogliete il parere del responsabile della protezione dei dati (RPD/DPO), obbligatorio ai sensi dell'art. 35, par. 2, quando è designato.

Fase 2: individuare i rischi propri dell'anonimizzazione

I rischi generici (accessi non autorizzati, violazioni) restano, ma un progetto di anonimizzazione ha rischi specifici che la DPIA deve nominare. La tabella è indicativa; probabilità e gravità dipendono dal contesto:

Non dimenticate il rischio opposto: un oscuramento eccessivo può svuotare di significato un provvedimento pubblicato o un dataset di ricerca. Non è un rischio per la privacy, ma compromette la finalità, e la DPIA deve motivare l'equilibrio. Sul rischio di reidentificazione conviene essere concreti: con quali fonti pubbliche il documento potrebbe essere incrociato e chi avrebbe interesse a farlo.

Fase 3: misure e rischio residuo

Per ciascun rischio descrivete le misure tecniche e organizzative e valutate il rischio che rimane. Le misure che di solito fanno la differenza:

La nostra checklist di anonimizzazione conforme al GDPR aiuta a non tralasciare nessun controllo. Se il rischio residuo è accettabile, la DPIA si chiude con l'approvazione del titolare e un piano di monitoraggio.

Fase 4: serve la consultazione preventiva del Garante?

L'art. 36 impone di consultare l'autorità di controllo prima di iniziare il trattamento se la DPIA indica un rischio elevato che le misure non riescono ad attenuare. Il Garante ha fino a otto settimane per rispondere, prorogabili di sei per i trattamenti complessi. In pratica, un progetto di anonimizzazione ben impostato dovrebbe arrivarci di rado: un rischio residuo elevato segnala che occorre rafforzare le misure (più revisione, meno dati pubblicati, maggiore generalizzazione). Se la consultazione resta necessaria, trasmettete la DPIA completa e le informazioni previste dall'art. 36, par. 3.

Il contributo di Anonimatum alla DPIA

La scelta dello strumento fa parte della DPIA. Anonimatum facilita la documentazione di diverse misure: l'IA proprietaria opera su server nell'Unione europea senza inviare il testo ad API esterne di modelli linguistici; combina rilevamento con IA e con pattern; prevede anteprima e revisione umana prima dell'applicazione; l'oscuramento elimina il contenuto e i metadati possono essere rimossi; le tabelle di pseudonimizzazione sono conservate cifrate; il pannello di gruppo include un registro di audit. Politeia Soft è certificata ENS (lo schema di sicurezza spagnolo) di livello medio, con Anonimatum nel perimetro; dettagli nella pagina sicurezza. Confrontate i piani e iniziate online.