Anonimizzare un file Excel senza che i dati si possano ricostruire

Identificativi diretti e quasi-identificativi

Nei dati tabellari conviene distinguere due tipi di colonne. Gli identificativi diretti (nome, codice fiscale, email, telefono, IBAN) indicano una persona da soli e vanno quasi sempre eliminati o sostituiti. I quasi-identificativi (data di nascita, CAP, mansione, sesso, data di assunzione) sembrano innocui presi singolarmente, ma insieme possono isolare una riga: in un piccolo comune, «responsabile di servizio, nata nel 1971, CAP 0XXXX» può essere una sola persona. Vale la pena notare che il codice fiscale stesso contiene data di nascita, sesso e comune: anche un codice parzialmente coperto può rivelare molto.

C’è poi una terza categoria spesso dimenticata: le colonne di testo libero come Note, Motivo o Commenti, dove si trova di tutto, dal nome di un familiare a una diagnosi. Quelle celle non si possono trattare come un dato unico; vanno lette e i dati personali al loro interno rilevati.

Decidi cosa fare con ogni colonna

La domanda è la stessa per ogni colonna: il destinatario ne ha bisogno? Se no, si elimina. Se gli serve per collegare i dati ma non per sapere chi è chi, si pseudonimizza. Se gli serve così com’è e non identifica nessuno, si lascia. Il principio di minimizzazione dei dati risolve la maggior parte dei dubbi prima ancora di parlare di tecniche.

Quello che non si vede in un foglio di calcolo

• Fogli nascosti e molto nascosti. Un foglio nascosto non compare nelle schede ma i suoi dati restano nel file; i fogli impostati come «molto nascosti» via VBA non compaiono nemmeno in Scopri.
• Righe e colonne nascoste o filtrate. Nascondere la colonna del codice fiscale o filtrare righe non cancella nulla.
• Formule. Una cella può mostrare un totale e puntare a un foglio nascosto pieno di nomi, o a una cartella di lavoro esterna il cui percorso rivela nomi di cartelle o utenti.
• Cache delle tabelle pivot. Una tabella pivot conserva una copia dei dati di origine; anche se elimini il foglio di origine, un doppio clic su un valore può ricostruire le righe di dettaglio.
• Commenti, note e proprietà della cartella, con autori, date e percorsi.
• Grafici e nomi definiti che puntano a intervalli con dati personali.

Controlla documento di Excel individua fogli, righe e colonne nascosti, commenti e proprietà, ma non decide al posto tuo cosa fare con ogni colonna visibile. Per le tabelle pivot, la scelta più sicura è incollarle come valori o eliminarle prima di condividere; per le formule che dipendono da dati che stai togliendo, valuta di incollare i risultati come valori.

Togliere i nomi non basta: il rischio di reidentificazione

Nei dati tabellari il rischio non sta in una cella ma nella combinazione di colonne. Il k-anonimato misura proprio questo: un insieme di dati è k-anonimo se ogni combinazione di quasi-identificativi si ripete in almeno k righe. Il parere del Gruppo di lavoro Articolo 29 sulle tecniche di anonimizzazione lo presenta come un modo per gestire il rischio, non come una garanzia assoluta: se tutte le k righe condividono lo stesso dato sensibile, quel dato resta rivelato.

In pratica: generalizza (anno invece della data, provincia invece del CAP), raggruppa le categorie con pochi casi, sopprimi le righe uniche quando non aggiungono nulla e valuta il rischio prima di pubblicare, per esempio un dataset in open data o un allegato per l’accesso civico. Uno strumento può oscurare o sostituire colonne; stabilire se il risultato è anonimo dipende dal contesto e dal destinatario.

Pseudonimizzare con coerenza

Se il destinatario deve seguire la stessa persona tra righe, fogli o file (i cedolini di gennaio e febbraio, per esempio), la sostituzione deve essere coerente: lo stesso codice fiscale diventa sempre lo stesso sostituto. Se quella colonna fa da chiave tra il foglio Personale e il foglio Paghe, entrambi devono ricevere lo stesso valore, altrimenti i collegamenti si rompono. I dati pseudonimizzati restano dati personali e la tabella di corrispondenza va conservata a parte e protetta. Approfondisci con la pseudonimizzazione dei documenti.

Come farlo con Anonimatum

Dalla versione 1.9.0 Anonimatum tratta i fogli di calcolo colonna per colonna in .xlsx, .xls, .ods e .csv: suggerisce il tipo di dato di ogni colonna e scegli se lasciare, oscurare, sostituire, pseudonimizzare o rilevare nel testo (utile per le colonne di note). Il risultato esce nello stesso formato, con fogli, formattazione e formule. Ogni 50 righe consumano 1 pagina di quota: un registro di 2.000 righe vale 40 pagine.

Per la coerenza tra file, la mappa condivisa di un fascicolo assegna allo stesso dato lo stesso sostituto in tutti i suoi documenti. Se lavori con le buste paga, la pagina su come anonimizzare buste paga in PDF ed Excel raccoglie i casi tipici.