Un documento anonimizzato è ancora soggetto al GDPR?

Se l’anonimizzazione è effettiva e la persona non è più identificabile con mezzi ragionevoli, no. I dati soltanto pseudonimizzati, per esempio nomi sostituiti da codici con una tabella di corrispondenza, restano dati personali.

Serve una DPIA per anonimizzare?

Non sempre. Dipende dal trattamento nel suo complesso: la pubblicazione di dati sensibili o il trattamento su larga scala di dati sanitari la richiedono spesso. L’articolo 35 e le indicazioni del Garante aiutano a decidere.

Bastano le iniziali al posto del nome?

Di solito no. Le iniziali, insieme a ruolo, data o comune, permettono spesso di riconoscere la persona, come ricordano anche le linee guida del Garante. Meglio oscurare o usare uno pseudonimo neutro e rileggere il contesto.

Chi deve rivedere l’anonimizzazione?

Una persona diversa da chi l’ha eseguita, almeno su un campione. Per pubblicazioni o dati sensibili è preferibile una revisione completa.

Checklist anonimizzazione GDPR dei documenti

Prima: finalità, base giuridica e rischi

L’anonimizzazione è a sua volta un trattamento di dati personali. Prima di aprire il primo file, mettete per iscritto perché la fate, chi riceverà il risultato e quale rischio di reidentificazione è accettabile in quel contesto. Consegnare una relazione a un revisore vincolato alla riservatezza è molto diverso dal pubblicarla nella sezione «Amministrazione trasparente».

Prima di iniziare

La finalità è scritta (pubblicazione, comunicazione a terzi, ricerca, formazione…).
La base giuridica del trattamento originario è individuata e la compatibilità dell’anonimizzazione verificata.
Si è valutato se il trattamento nel suo complesso richieda una valutazione d’impatto (DPIA) ai sensi dell’articolo 35, per esempio con categorie particolari su larga scala.
Si è deciso se basti la pseudonimizzazione (reversibile, i dati restano personali) o serva un’anonimizzazione irreversibile.
Esiste un elenco degli identificativi diretti e indiretti per questo tipo di documento.
È applicato il principio di minimizzazione dei dati: ciò che non serve alla finalità va tolto, anche se non è un nome.
Sono designati un responsabile dell’attività e un secondo revisore.

Identificativi indiretti spesso dimenticati

Ruoli unici («la dirigente dell’unico istituto comprensivo del paese»), legami di parentela, soprannomi.
Date esatte di nascita, ricovero, infortunio o licenziamento abbinate a un luogo.
Indirizzi, dati catastali, targhe, numeri di pratica o di polizza.
Importi molto specifici, come un risarcimento fuori dall’ordinario.
Firme autografe, timbri, codici QR e contrassegni che rimandano all’originale.
Testo in intestazioni, piè di pagina, commenti, revisioni e proprietà del file.

Durante: metodo, whitelist e coerenza

Regola pratica: trattare allo stesso modo ciò che è uguale. Se «Mario Rossi» (fittizio) compare a pagina 2 come «sig. Rossi» e a pagina 14 come «M. R.», tutte e tre le menzioni vanno oscurate o sostituite con lo stesso pseudonimo. Le linee guida del Garante del 2014 ricordano che le sole iniziali non bastano quando il contesto permette di risalire alla persona.

Durante il trattamento

La tecnica è scelta e motivata: soppressione (oscuramento irreversibile), generalizzazione (anno invece della data completa) o sostituzione coerente.
Una whitelist stabilisce i termini che restano visibili (nome dell’ente, funzionari che agiscono nel loro ruolo, norme citate).
Tutte le varianti di un nome ricevono lo stesso trattamento nel documento e nei documenti dello stesso fascicolo.
Categorie particolari (salute, origine etnica, orientamento sessuale, convinzioni, dati genetici o biometrici) e dati giudiziari sono controllati con particolare attenzione.
I documenti scansionati passano dall’OCR prima della ricerca; ciò che l’OCR non legge (scritte a mano, timbri) si oscura per zone.
Immagini, grafici e tabelle incorporate sono controllati oltre al testo.
L’oscuramento elimina il contenuto sottostante: niente rettangoli neri sovrapposti né testo bianco.

Dopo: verifica e responsabilizzazione

L’articolo 5, paragrafo 2, del GDPR impone al titolare di rispettare i principi e di essere in grado di dimostrarlo. In pratica, la versione finale si controlla con test semplici ma sistematici e le scelte dubbie si annotano con la loro motivazione.

Verifica finale

Test di ricerca: nomi, codici fiscali ed email dell’elenco vengono cercati nel file finale senza risultati.
Test di copia: si seleziona il testo sotto ogni oscuramento e lo si incolla in un editor; non deve comparire nulla.
Metadati rimossi: autore, titolo, cronologia, commenti, versioni precedenti (vedi come rimuovere i metadati da un PDF).
Il nome del file non contiene dati personali («Ricorso_Rossi_Mario.pdf» rivela ciò che il contenuto nasconde).
Un secondo revisore ha controllato un campione o l’intero documento, in base al rischio.
Il rischio residuo di reidentificazione è stato valutato rispetto alle informazioni già pubbliche.
Le decisioni sono registrate; l’originale è conservato con accesso limitato o cancellato secondo i tempi di conservazione.

Modello di registro delle decisioni

Stampate questa tabella o copiatela nel vostro foglio di controllo. Gli esempi sono fittizi; conta che ogni riga dica cosa è stato fatto, perché e chi l’ha verificato.

Registro delle decisioni di anonimizzazione (esempio fittizio)
Data	Documento o lotto	Dato o categoria	Decisione	Motivazione	Responsabile / revisore
03/11/2026	Determina n. 45/2026	Nome del ricorrente	Oscurare	Privato senza ruolo pubblico	A. M. / L. R.
03/11/2026	Determina n. 45/2026	Nome del dirigente firmatario	Mantenere	Agisce nell’esercizio delle funzioni	A. M. / L. R.
04/11/2026	Lotto referti	Data di ricovero	Generalizzare a mese e anno	Utile allo studio; la data esatta identifica	P. S. / L. R.
04/11/2026	Lotto referti	Diagnosi	Mantenere	Finalità di ricerca; resto anonimizzato	P. S. / RPD

Come Anonimatum aiuta a seguire la checklist

Anonimatum combina un’IA proprietaria eseguita su server nell’UE con pattern per codici fiscali, IBAN o telefoni, una whitelist e zone manuali, e mostra un’anteprima perché una persona possa rivedere prima di applicare l’oscuramento irreversibile. Applica inoltre l’OCR alle scansioni, rimuove i metadati, pseudonimizza in modo coerente e tiene un registro di audit per gruppo. Non sostituisce la revisione umana né il registro delle decisioni: li rende più rapidi. Scopritelo nell’anonimizzatore PDF.

Checklist per anonimizzare documenti in conformità al GDPR