Pseudonimizzazione dei documenti secondo il GDPR: guida pratica per PDF e Word

Uno studio legale deve inviare a un consulente tecnico trecento pagine di corrispondenza tra soci. Un ufficio del personale deve condividere con un consulente esterno gli atti di un'indagine interna. Un reparto ospedaliero vuole discutere dieci casi clinici in un audit. In tutti e tre i casi oscurare i nomi in nero renderebbe i documenti illeggibili: non si capirebbe più chi ha scritto a chi, chi ha detto cosa, quale paziente ha avuto quale decorso.

La pseudonimizzazione risolve questo problema: sostituisce le identità con pseudonimi coerenti e custodisce a parte le informazioni per tornare indietro. Non rende i documenti anonimi, ma riduce molto il rischio. Questa guida è operativa e riguarda i documenti, non le banche dati; per la teoria e il confronto tra le due tecniche vedi anonimizzare o pseudonimizzare e la guida su anonimizzazione e pseudonimizzazione.

Cosa chiede il GDPR, in breve

Secondo l'art. 4, n. 5, del GDPR la pseudonimizzazione ha due ingredienti: il dato trasformato, che da solo non permette più di attribuire l'informazione a una persona, e le informazioni aggiuntive che consentono di farlo, da conservare separatamente e proteggere con misure tecniche e organizzative. Se la tabella dei nomi viaggia nella stessa email del documento, quel secondo requisito manca. Il glossario sulla pseudonimizzazione approfondisce la definizione.

Per il considerando 26 i dati pseudonimizzati restano dati personali: valgono base giuridica, informativa, diritti e sicurezza. Il GDPR però cita la pseudonimizzazione come misura adeguata in più punti (artt. 25, 32 e 89), e il Codice privacy la richiama anche nelle regole sulla ricerca scientifica. In pratica è uno strumento di minimizzazione: chi riceve il documento vede solo ciò che gli serve.

Le Linee guida EDPB 01/2025

Nel gennaio 2025 il Comitato europeo per la protezione dei dati ha adottato le Linee guida 01/2025 sulla pseudonimizzazione, sottoposte a consultazione pubblica; la versione definitiva potrebbe cambiare in alcuni punti. Il concetto più utile per chi lavora sui documenti è il dominio di pseudonimizzazione: l'insieme dei soggetti, interni o esterni, nei cui confronti lo pseudonimo deve impedire l'attribuzione. Le linee guida insistono anche sulla protezione dei «segreti» di pseudonimizzazione, cioè tabelle e chiavi.

Prima di toccare il documento: tre decisioni

1. Rispetto a chi pseudonimizzi?

Definisci il dominio: il consulente esterno, il comitato di audit, un fornitore di IA, un gruppo di ricerca. Chiediti che cosa sa già quel destinatario. Un collega dello stesso reparto riconosce una persona da un dettaglio che a un consulente esterno non dice nulla.

2. Serve davvero poter tornare indietro?

Se nessuno dovrà mai ricollegare gli pseudonimi alle persone, forse la tecnica giusta è l'anonimizzazione. Se invece il documento rientrerà nel fascicolo o lo studio prevede un follow-up, la reversibilità è un requisito e la tabella va custodita con cura.

3. Chi custodisce la tabella, e dove?

Indica una persona o una funzione responsabile, un archivio separato e un periodo di conservazione. Una tabella senza custode finisce in una cartella condivisa accanto ai documenti, e a quel punto la pseudonimizzazione è solo apparente.

Le tecniche applicabili a PDF e Word

Un'avvertenza tutta italiana: il codice fiscale contiene lettere del cognome e del nome, data e luogo di nascita e sesso. Pseudonimizzare il nome e lasciare il codice fiscale non protegge nessuno. Lo stesso vale per un hash senza chiave del codice fiscale: chi conosce il formato può ricalcolarlo per le persone che sospetta.

Gli identificatori indiretti: dove la pseudonimizzazione fallisce

Sostituire nomi e codici è la parte facile. Il rischio vero sta in ciò che identifica senza essere un identificativo:

• Ruoli unici: «il direttore amministrativo», «l'unica infermiera del turno di notte».
• Date e luoghi esatti di un fatto noto, soprattutto in realtà piccole.
• Numeri di pratica, di protocollo o di ruolo generale, che rimandano a un fascicolo consultabile.
• Firme, timbri e fotografie nelle scansioni, che non sono testo.
• Metadati, commenti e revisioni di Word, oltre al nome del file.
• Citazioni incrociate: lo pseudonimo coerente in un documento ma diverso in quello allegato.

Casi d'uso frequenti in Italia

La tabella di corrispondenza: custodia e ciclo di vita

Verificare il risultato

Prima dell'invio fai leggere il documento a un collega estraneo al caso e chiedigli se riesce a capire di chi si parla. Cerca con Ctrl+F i nomi reali e le loro varianti («Ferri», «G. Ferri», l'indirizzo email), controlla le pagine scansionate e i metadati. Se una persona è riconoscibile dal contesto, intervieni anche su ruoli, date o luoghi, oppure oscura del tutto quel passaggio.

Come farlo con Anonimatum

Anonimatum rileva i dati personali con un'IA propria su server nell'Unione europea, senza API esterne di modelli linguistici, e li pseudonimizza con sostituzione realistica, tokenizzazione (NOME_1, EMAIL_001) o mascheramento parziale. Lo stesso originale riceve sempre lo stesso sostituto nel documento, e i profili «Giustizia», «Sanità» e «Ricerca» spostano le date mantenendo gli intervalli e conservano le proporzioni tra gli importi.

Ogni elaborazione genera una mappa delle corrispondenze esportabile in JSON o cifrata, che custodisci tu e che permette di ripristinare l'originale. Nell'anteprima controlli ogni sostituzione prima di applicarla; nello stesso processo puoi oscurare in modo irreversibile i dati che non servono, come IBAN o telefoni. Word ed Excel restano nel loro formato e i volumi si gestiscono in batch. Se il documento è destinato a un assistente di IA, vedi anche anonimizzare documenti per l'IA.