Glossario · Glossario · Rischi
Reidentificazione: quando i dati «anonimi» tornano a indicare qualcuno
Team Anonimatum
In breve
La reidentificazione consiste nell’attribuire di nuovo a una persona specifica dati ritenuti anonimi o pseudonimizzati, di solito incrociandoli con altre fonti tramite quasi-identificatori o dettagli di contesto.
Si parla di reidentificazione quando qualcuno riesce a capire a chi appartengono dati pubblicati o condivisi come anonimi. Il nome non serve: una combinazione di caratteristiche (età, comune, professione, una data) può indicare una sola persona ed essere incrociata con un’altra fonte.
È il rischio che stabilisce se i dati sono davvero anonimizzati. Secondo il considerando 26 del GDPR, le informazioni anonime escono dall’ambito del Regolamento, ma occorre considerare tutti i mezzi di cui si può ragionevolmente prevedere l’utilizzo per identificare una persona: costi, tempo necessario e tecnologie disponibili.
Quasi-identificatori e attacchi di collegamento
Un attacco di collegamento (linkage attack) unisce un file «anonimizzato» a un altro nominativo che condivide alcuni campi. Se entrambi contengono data di nascita, sesso e CAP, basta abbinare le righe coincidenti. Questi campi innocui da soli ma identificativi insieme sono i quasi-identificatori, e sono il motivo per cui esistono tecniche come il k-anonimato.
Due studi pubblicati mostrano la portata del problema:
- Sweeney (2000), sui dati del censimento statunitense del 1990, ha stimato che circa l’87 % della popolazione degli Stati Uniti fosse probabilmente unica in base a soli tre attributi: codice ZIP a cinque cifre, sesso e data di nascita completa.
- Rocher, Hendrickx e de Montjoye (2019), su Nature Communications, hanno sviluppato un modello statistico secondo cui il 99,98 % degli statunitensi verrebbe reidentificato correttamente in qualsiasi dataset con 15 attributi demografici, anche se pubblicato solo come campione.
La lezione pratica non è che anonimizzare sia impossibile, ma che togliere il nome quasi mai basta.
Individuazione, correlabilità, deduzione
Il Gruppo di lavoro Articolo 29, nel parere 05/2014, ha indicato tre criteri per valutare qualsiasi tecnica di anonimizzazione, tuttora riferimento per le autorità europee, Garante compreso:
- Individuazione: è possibile isolare il record di una persona? L’unico fascicolo di una donna di 61 anni in un piccolo paese è individuato anche senza nome.
- Correlabilità: è possibile collegare almeno due record relativi alla stessa persona, nello stesso dataset o in dataset diversi? Un codice pseudonimo stabile tra più pubblicazioni lo consente.
- Deduzione: è possibile ricavare con probabilità significativa il valore di un attributo da altri? Se tutti i dipendenti di un ufficio hanno ricevuto la stessa sanzione, quella di ciascuno è nota.
Cosa tradisce una persona nei documenti
In sentenze, relazioni, verbali o e-mail il rischio non sta nelle colonne, ma nel racconto e nel file stesso. Le sviste più comuni:
| Indizio | Esempio fittizio | Cosa fare |
|---|---|---|
| Contesto e incarichi unici | «la dirigente dell’unica scuola del paese» | Generalizzare: «la dirigenza di un istituto scolastico» |
| Fatti rari | Scontro con un’autopompa dei vigili del fuoco il 3 marzo | Eliminare o approssimare la data e il dettaglio singolare |
| Firme e timbri | Firma scansionata e timbro con numero di iscrizione all’albo | Oscurare firma, timbro e QR code di verifica |
| Metadati | Autore del PDF e titolo interno con il nome del paziente | Rimuovere i metadati prima della condivisione |
| Falso oscuramento | Rettangolo nero sopra testo ancora copiabile | Usare un oscuramento che cancella il testo sottostante |
I metadati meritano un’attenzione particolare: autore, organizzazione, cronologia delle revisioni, commenti e nomi dei file viaggiano con il documento anche se nessuno li vede a schermo. Lo stesso vale per i livelli di testo OCR nascosti nei PDF scansionati.
Ridurre il rischio di reidentificazione
- Chiarire chi potrebbe tentare la reidentificazione (un vicino, un giornalista, un datore di lavoro) e di quali informazioni aggiuntive disporrebbe.
- Eliminare prima gli identificativi diretti, poi rileggere il contesto: incarichi, date, luoghi e fatti singolari.
- Verificare che l’oscuramento sia irreversibile e che sotto le barre nere non resti testo.
- Ripulire metadati, commenti e revisioni tracciate.
- Se si pubblicano regolarmente documenti dello stesso tipo, evitare codici o pseudonimi stabili che colleghino le pubblicazioni.
Con Anonimatum potete anonimizzare un PDF, un Word o un’e-mail con allegati: IA e pattern rilevano nomi, date, indirizzi, importi, firme e timbri digitali e QR code; rivedete ogni proposta e applicate un oscuramento irreversibile. Potete anche rimuovere i metadati del PDF. La revisione del contesto richiede comunque giudizio umano.
Domande frequenti
Reidentificazione e deanonimizzazione sono la stessa cosa?
Nella pratica sì: entrambi i termini indicano il ricollegamento di dati presunti anonimi a una persona identificata o identificabile.
I dati pseudonimizzati si possono reidentificare?
Sì, per definizione: chi detiene la tabella di corrispondenza può risalire alla persona, e i dati possono essere incrociati con altre fonti. Per questo il GDPR li considera ancora dati personali.
Basta oscurare nomi e codice fiscale in una sentenza?
Di solito no. Professioni, rapporti di parentela, luoghi e date possono indicare la persona. Va riletto l’intero testo e vanno controllati i metadati del file.
Il rischio cambia nel tempo?
Sì. Compaiono nuove fonti pubbliche e le tecniche di incrocio migliorano. È buona pratica rivalutare periodicamente i dataset pubblicati.
Scoprite cosa tradisce le persone nei vostri documenti
Guardate i piani e iniziate: rilevamento con IA, revisione di ogni occorrenza, oscuramento irreversibile e pulizia dei metadati.