Glossario · Glossario · Concetti GDPR
Considerando 26 del GDPR: il confine tra dato personale e anonimo
Team Anonimatum
In breve
Il considerando 26 del GDPR indica come stabilire se una persona è identificabile: considerando tutti i mezzi di cui si può ragionevolmente prevedere l’utilizzo. Se non lo è, l’informazione è anonima e il GDPR non si applica.
Poche frasi del GDPR hanno un peso pratico paragonabile al considerando 26. Da esso dipende se un documento privato dei nomi resta soggetto al regolamento. I considerando non sono norme autonome, ma orientano l’interpretazione degli articoli e la Corte di giustizia vi ricorre di continuo.
Questa voce spiega cosa dice, come l’hanno applicato i giudici e cosa significa quando da proteggere non c’è una banca dati, ma un PDF, un contratto o un provvedimento.
Cosa dice il considerando 26
Il testo collega quattro idee:
- I principi di protezione dei dati si applicano a tutte le informazioni relative a una persona fisica identificata o identificabile.
- I dati pseudonimizzati che potrebbero essere attribuiti a una persona con informazioni aggiuntive riguardano una persona identificabile.
- Per stabilire se una persona è identificabile si considerano tutti i mezzi, come l’individuazione, di cui il titolare o un terzo può ragionevolmente avvalersi.
- I principi non si applicano alle informazioni anonime né ai dati resi anonimi, anche a fini statistici o di ricerca.
È lo specchio della definizione di dati personali dell’articolo 4: segna il punto in cui finisce il dato personale e comincia l’informazione anonima.
I fattori obiettivi: costi, tempo e tecnologia
Per valutare quali mezzi siano ragionevolmente utilizzabili, il considerando rinvia a fattori obiettivi, qui applicati a un documento fittizio.
| Fattore | Domanda pratica | Esempio fittizio |
|---|---|---|
| Costi | Quanto costerebbe identificare la persona? | Consultare un registro pubblico gratuito |
| Tempo | Quanto sforzo richiederebbe? | Una ricerca online di cinque minuti |
| Tecnologia disponibile | Quali strumenti esistono oggi? | Copiare il testo nascosto sotto un rettangolo nero |
| Sviluppi tecnologici | Cosa sarà possibile domani? | OCR o IA che leggono grafie e timbri |
| Chi potrebbe tentare | Il titolare o chiunque altro? | Un vicino che conosce i fatti narrati |
Cosa hanno detto i giudici: Breyer e SRB
Nella sentenza Breyer (C-582/14, 19 ottobre 2016) la Corte di giustizia ha stabilito che un indirizzo IP dinamico può essere un dato personale per il gestore di un sito web che dispone di mezzi giuridici per far identificare l’utente grazie alle informazioni aggiuntive in possesso del fornitore di accesso. Non serve che tutte le informazioni siano nelle mani di un unico soggetto.
Nella sentenza C-413/23 P (GEPD contro SRB, 4 settembre 2025) la Corte ha aggiunto che l’identificabilità si valuta dal punto di vista di ciascun soggetto. Dati pseudonimizzati possono non essere personali per un destinatario privo di mezzi ragionevoli di reidentificazione e restarlo per chi li ha pseudonimizzati. Le Linee guida 02/2026 dell’EDPB sull’anonimizzazione, in consultazione fino al 30 ottobre 2026, sviluppano questo ragionamento.
Cosa significa per i documenti
In un documento la domanda non è solo se compare il nome, ma se l’insieme rivela di chi si parla. Una delibera fittizia sulla «unica farmacista di un comune di 300 abitanti» identifica qualcuno anche senza nome. Vanno quindi trattati anche gli identificativi indiretti, come ruoli, date, luoghi, targhe e numeri di fascicolo, oltre ai metadati.
Conta anche il destinatario: una trasmissione interna non equivale a una pubblicazione online, dove chiunque può incrociare altre fonti. E l’oscuramento deve essere reale: se il testo resta sotto il rettangolo nero, lo si recupera con mezzi banali e non c’è anonimizzazione. Anonimatum rileva identificativi diretti e indiretti con un’IA proprietaria nell’UE, permette di rivederli e rimuove testo e metadati; vedi anonimizzare documenti secondo il GDPR.
Domande frequenti
Il considerando 26 è vincolante?
I considerando non creano obblighi autonomi, ma servono a interpretare gli articoli del GDPR e la Corte di giustizia vi si richiama regolarmente.
Il considerando 26 richiede rischio zero?
No. L’identificazione non deve essere ragionevolmente probabile tenuto conto di costi, tempo e tecnologia. Il rischio residuo di reidentificazione deve essere trascurabile.
Si applica alle persone decedute?
Il GDPR non si applica ai dati delle persone decedute (considerando 27), ma il Codice privacy disciplina l’esercizio di alcuni diritti relativi a tali dati da parte di chi ha un interesse proprio o agisce a tutela dell’interessato.
Basta togliere il nome?
Raramente. Contesto, identificativi indiretti e metadati spesso permettono ancora di risalire alla persona.
Rendi i tuoi documenti davvero anonimi
Guarda i piani e individua identificativi diretti e indiretti in PDF, Word ed Excel, con revisione umana prima della rimozione.