Nuove linee guida pubblicate dall’EDPB.
Il Comitato europeo per la protezione dei dati (EDPB) ha adottato il 7 luglio 2026 le nuove Linee guida 02/2026 sull’anonimizzazione, attualmente in versione 1.0 e sottoposte a consultazione pubblica. Il documento aggiorna il precedente Parere n. 05/2014 del Gruppo Articolo 29, alla luce dell’evoluzione della giurisprudenza della Corte di giustizia dell’Unione europea, dello sviluppo dell’intelligenza artificiale, degli spazi europei dei dati e delle nuove tecniche di reidentificazione.
Le linee guida rappresentano oggi il principale riferimento europeo per comprendere quando un dataset possa essere realmente considerato anonimo e, quindi, escluso dall’ambito di applicazione del GDPR.
Il documento affronta il tema dell’anonimizzazione con un approccio sia giuridico sia tecnico, chiarendo che un dato può essere considerato anonimo solo quando non consente più di identificare, direttamente o indirettamente, una persona fisica tenendo conto dei mezzi ragionevolmente utilizzabili per la reidentificazione.
Le linee guida introducono un quadro di valutazione fondato su due possibili approcci:
- un approccio contestuale, che considera le capacità effettive dei diversi soggetti che potrebbero tentare l’identificazione;
- un approccio semplificato, più prudenziale, che offre maggiori garanzie ma può portare a qualificare come personali dati che, in alcuni contesti, sarebbero già anonimi.
Il cuore del documento è costituito dai tre criteri fondamentali dell’anonimizzazione:
- impossibilità di isolare un singolo record;
- impossibilità di collegare informazioni provenienti da fonti diverse;
- impossibilità di dedurre informazioni riferibili a un individuo mediante inferenze.
L’EDPB dedica inoltre ampio spazio alla valutazione del rischio di reidentificazione, sottolineando che occorre considerare non solo le caratteristiche del dataset, ma anche il contesto di utilizzo, le informazioni aggiuntive disponibili, l’evoluzione tecnologica, l’intelligenza artificiale e le concrete possibilità di combinare dati provenienti da fonti differenti.
Infine, le linee guida ricordano che il processo di anonimizzazione costituisce esso stesso un trattamento di dati personali e deve quindi rispettare il GDPR fino al momento in cui l’anonimizzazione sia effettivamente raggiunta. Viene inoltre raccomandata una periodica rivalutazione del rischio di reidentificazione, poiché l’evoluzione tecnologica può rendere identificabili dati che in passato erano considerati anonimi.
