Per anni la risposta prudente nella protezione dei dati europea è stata che i dati pseudonimizzati restano dati personali finché qualcuno, in qualsiasi luogo, detiene la chiave. Le linee guida in bozza dell'EDPB sulla pseudonimizzazione di gennaio 2025 lo affermano ancora, anche quando dati e chiave sono in mani diverse. Due testi più recenti hanno reso la risposta più precisa. Il 4 settembre 2025 la Corte di giustizia ha deciso la causa EDPS/SRB (C-413/23 P), e il 7 luglio 2026 il Comitato europeo per la protezione dei dati ha adottato la bozza delle linee guida 02/2026 sull'anonimizzazione, aperta alle osservazioni fino al 30 ottobre 2026 alle 23:59 CET. Letti insieme, spiegano quando lo stesso file può essere un dato personale per voi e anonimo per un altro soggetto, e perché questo serve poco quando l'altro soggetto è un fornitore di servizi che lavora per voi.
Di seguito trovate che cosa dicono i due testi, con i riferimenti ai paragrafi, e poi la domanda pratica per studi legali, commercialisti, uffici HR e chiunque incolli documenti in uno strumento di AI: pseudonimizzare in modo reversibile oppure oscurare in modo definitivo?
I fatti principali in sintesi
| Elemento | Fatto verificato | Fonte |
|---|---|---|
| Documento EDPB | Linee guida 02/2026 sull'anonimizzazione, versione 1.0 | PDF EDPB, copertina |
| Adozione | 7 luglio 2026, «per la consultazione pubblica» | cronologia delle versioni, p. 1 |
| Consultazione | dall'8 luglio al 30 ottobre 2026, ore 23:59 CET (115 giorni) | pagina di consultazione EDPB |
| Lunghezza | 103 paragrafi, 25 esempi pratici, un allegato con diagramma di flusso | PDF EDPB |
| Sostituisce | Parere 05/2014 del Gruppo di lavoro Articolo 29 | par. 2 |
| Testo collegato | Linee guida 01/2025 sulla pseudonimizzazione, adottate il 16 gennaio 2025, consultazione chiusa il 14 marzo 2025, versione definitiva non ancora pubblicata | pagina di consultazione EDPB |
| Sentenza | Corte di giustizia UE, Prima Sezione, C-413/23 P, EDPS/SRB, 4 settembre 2025 | intestazione della sentenza |
| Dati del caso | 23.822 osservazioni di 2.855 persone; 1.104 osservazioni inviate a Deloitte con un codice casuale di 33 cifre | punti 23-26 |
| Normativa | Digital Omnibus, COM(2025) 837: il mandato del Consiglio del 21 ottobre 2026 elimina la nuova formulazione dell'art. 4, punto 1; il Parlamento non ha ancora votato | doc. Consiglio 14756/26; Osservatorio legislativo del PE |
Una precisazione è necessaria, perché diversi commenti descrivono il testo del 2026 come una guida su «pseudonimizzazione e anonimizzazione». Titolo e contenuto riguardano soltanto l'anonimizzazione. La parola «pseudonimizzazione» non compare nel documento; gli pseudonimi sono discussi in un solo esempio e in un paragrafo sui dati palesemente non anonimi. La pseudonimizzazione ha una bozza propria, le linee guida 01/2025, che il testo del 2026 non cita.
Che cosa ha deciso la Corte nella causa SRB
Dopo la risoluzione di Banco Popular nel 2017, il Comitato di risoluzione unico ha invitato azionisti e creditori interessati a presentare osservazioni sulla sua decisione preliminare. Ha ricevuto 23.822 osservazioni da 2.855 partecipanti, ne ha scartate 20.101 identiche e ne ha tenute 3.730 individuali. Di queste, 1.104 riguardavano la valutazione e sono state inviate a Deloitte il 17 giugno 2019 (punti 24-26). Ogni osservazione portava un identificativo casuale di 33 cifre, e solo il Comitato poteva collegare quel codice ai documenti d'identità raccolti in fase di registrazione (punti 23 e 28). Alcuni partecipanti si sono lamentati che l'informativa privacy non indicava Deloitte tra i destinatari.
La Corte ha fissato quattro principi che valgono oltre il caso concreto.
Le opinioni sono dati personali di chi le esprime. Un parere personale è «necessariamente strettamente legato a tale persona» (punto 58), quindi non occorre analizzarne separatamente finalità o effetto.
I dati pseudonimizzati non sono automaticamente personali per tutti. La pseudonimizzazione è una misura di riduzione del rischio e non fa parte della definizione di dato personale (punto 72). Poiché la chiave esiste, i dati pseudonimizzati non possono essere considerati anonimi «in ogni caso» (punto 73). È però altrettanto sbagliato considerarli personali «in ogni caso e per ogni persona» (punto 86). Per un destinatario i dati possono essere non personali se valgono due condizioni: il destinatario non può rimuovere le misure tecniche e organizzative, e tali misure impediscono davvero l'attribuzione, anche incrociando altre informazioni in suo possesso (punto 77).
I trasferimenti successivi riportano i dati nell'ambito del GDPR. Se non si può escludere che un destinatario successivo disponga di mezzi per reidentificare, i dati sono personali per quel trasferimento e per il trattamento di quel destinatario (punto 85).
La trasparenza si valuta dal lato del titolare, al momento della raccolta. Il Comitato di risoluzione doveva indicare Deloitte nell'informativa quando ha raccolto le osservazioni, «indipendentemente dal fatto che tali dati fossero o meno dati personali» dal punto di vista di Deloitte (punti 111 e 112). Su questa base la Corte ha respinto il motivo principale del Comitato, ha annullato la sentenza del Tribunale del 2023 e ha rinviato la causa solo per un motivo distinto sulla buona amministrazione (punti 118-122).
La sentenza interpreta il regolamento 2018/1725 sulle istituzioni dell'UE, la cui definizione di dato personale la Corte legge allo stesso modo dell'articolo 4, punto 1, del GDPR (punto 52).
Che cosa aggiunge la bozza dell'EDPB
L'EDPB trasforma il ragionamento della causa SRB in un test generale. Un'informazione è anonima se non si riferisce a una persona oppure se la persona non è identificabile, e «queste risposte possono variare da un soggetto all'altro» (par. 6). La domanda guida di ogni valutazione è «per chi i dati devono essere anonimi?» (par. 12). Diversi paragrafi restringono poi lo spazio che questo approccio relativo lascia.
I responsabili ereditano la prospettiva del titolare. Se un soggetto tratta dati per conto di un titolare per il quale i dati sono personali, i dati sono personali anche per quel soggetto, che è un responsabile del trattamento ai sensi del GDPR (par. 15). L'EDPB lo illustra con un rivenditore che invia estratti a un'agenzia di analisi che agisce per suo conto: dati personali per entrambi (esempio 3). Solo un destinatario che decide da sé finalità e mezzi, come un istituto di ricerca indipendente, viene valutato dalla propria prospettiva (esempio 4).
Basta una probabilità trascurabile. Non si pretende che l'identificazione sia impossibile, ma la sua probabilità «dovrebbe essere trascurabile nella realtà» (par. 22), e i mezzi si escludono solo quando sono impossibili, sproporzionati per tempo, costi e lavoro, oppure vietati dalla legge (par. 26).
I contratti non sono legge. Un divieto contrattuale di reidentificazione non è un divieto giuridico e può solo integrare le misure tecniche (par. 34). Anche la mancanza di motivazione a reidentificare non è un argomento affidabile (par. 31).
La reidentificazione costa sempre meno. La maggior parte delle tecniche documentate gira su hardware comune, e l'EDPB si aspetta che l'AI agentica «riduca ulteriormente tempi e costi» della reidentificazione (par. 92). Anche i modelli di AI possono essere sollecitati a rivelare informazioni su persone (par. 82).
Tre criteri. I dati superano la prova se non è possibile isolare un record, collegarlo ad altri dati o trarre inferenze; se tutti e tre i criteri sono soddisfatti, i dati «possono essere considerati anonimi con sicurezza» (par. 52). Il test si può svolgere in modo contestuale, soggetto per soggetto, oppure in modo semplificato che ignora le differenze tra i soggetti ed è più prudente (par. 45-47).
Parole e registri. I titolari non dovrebbero definire i dati «anonimi», «deidentificati» o «depersonalizzati» quando le persone restano identificabili (par. 40), e dovrebbero documentare il processo di anonimizzazione e i relativi test e conservare tale documentazione (par. 41). Le valutazioni fatte sotto il parere del 2014 non vanno rifatte (nota 3).
Come si combinano le bozze del 2025 e del 2026
Le due bozze dell'EDPB sono state scritte prima e dopo la sentenza, e si vede. Le linee guida 01/2025 affermano che i dati pseudonimizzati restano personali anche quando i dati e le informazioni aggiuntive «non sono nelle mani della stessa persona» (par. 22). La Corte ha poi stabilito che i dati pseudonimizzati non sono personali «in ogni caso e per ogni persona». La bozza del 2026 segue la Corte e cita la sentenza SRB in dieci note, ma non menziona il testo del 2025, che a sua volta non è stato finalizzato. Finché le linee guida sulla pseudonimizzazione non saranno aggiornate, le organizzazioni leggeranno il testo 01/2025 per la meccanica della pseudonimizzazione (domini di pseudonimizzazione, segreti, tabelle di corrispondenza) e il testo 02/2026 con la sentenza SRB per stabilire per chi i dati sono personali.
Il terreno comune è più ampio di quanto la tensione lasci pensare. I due testi concordano che il titolare che detiene la chiave tratta sempre dati personali (sintesi delle linee guida 01/2025; 02/2026, par. 37), che una tabella di mappatura o di corrispondenza è essa stessa un dato personale da proteggere (01/2025, par. 93), e che la pseudonimizzazione è utile come garanzia ai sensi degli articoli 25 e 32 del GDPR anche quando non fa uscire i dati dall'ambito di applicazione.
Il Digital Omnibus: il legislatore affronta la questione
L'approccio relativo è ora all'esame anche del legislatore dell'UE. Il 19 novembre 2025 la Commissione ha proposto il Digital Omnibus, COM(2025) 837 (procedura 2025/0360 (COD)), che aggiungerebbe tre frasi alla definizione di dato personale dell'articolo 4, punto 1, del GDPR. Quella centrale dice che un'informazione «non è personale per un determinato soggetto se tale soggetto non può identificare la persona fisica», tenendo conto dei mezzi che lo stesso soggetto può ragionevolmente utilizzare. L'ultima aggiunge che l'informazione non diventa personale per quel soggetto solo perché un potenziale destinatario successivo potrebbe identificare la persona (articolo 3, punto 1, della proposta). La Commissione presenta la modifica come una codificazione della giurisprudenza sulla pseudonimizzazione (relazione illustrativa, pp. 10 e 11), e un nuovo articolo 41 bis le consentirebbe di stabilire con atto di esecuzione quando i dati pseudonimizzati smettono di essere personali per determinati soggetti.
L'EDPB e il GEPD hanno respinto entrambe le idee nel parere congiunto 2/2026 del 10 febbraio 2026. A loro avviso il testo sceglie «un singolo elemento da un singolo caso» (par. 15), e la sua ultima frase va oltre la sentenza SRB, in cui la Corte ha confermato che i dati messi a disposizione di un destinatario in grado di identificare diventano personali per quel destinatario e, indirettamente, per chi li ha messi a disposizione (par. 16, che richiama i punti 84 e 85 della sentenza). Hanno esortato i colegislatori a non adottare la modifica (par. 21), hanno chiesto di eliminare l'articolo 41 bis (par. 25) e hanno detto che le questioni aperte spettano alle linee guida dell'EDPB (par. 19). Una delle questioni elencate, cioè se un destinatario che non può identificare nessuno ma lavora per conto di un titolare sia un responsabile del trattamento (nota 29), è quella a cui le linee guida 02/2026 hanno poi risposto al par. 15.
Il Consiglio segue una strada diversa da quella della Commissione. Il suo mandato negoziale, concordato dal Coreper il 21 ottobre 2026 (documento del Consiglio 14756/26), stralcia le nuove frasi dell'articolo 4, punto 1, e sostituisce l'articolo 41 bis con un nuovo articolo 25 bis sulla pseudonimizzazione. I dati pseudonimizzati non sono personali per un terzo che non può identificare la persona (articolo 25 bis, par. 2); se quel terzo li trasmette a chi può farlo, sia il trasferimento sia il trattamento successivo riguardano dati personali (25 bis, par. 3); e per un responsabile che agisce per il titolare sono sempre dati personali (25 bis, par. 4). Al posto degli atti di esecuzione, l'EDPB emetterebbe un parere sulla pseudonimizzazione e sull'anonimizzazione (25 bis, par. 6). Nel Parlamento europeo le commissioni congiunte ITRE e LIBE hanno un progetto di relazione, ma al 27 ottobre 2026 non avevano votato: i triloghi non sono iniziati e nulla di tutto questo è ancora legge.
| Testo | Data e stato | Che cosa dice sui dati pseudonimizzati |
|---|---|---|
| Corte di giustizia UE, EDPS/SRB, C-413/23 P | Sentenza, 4 settembre 2025 | Non sono personali «in ogni caso e per ogni persona» (punto 86) |
| EDPB, linee guida 01/2025 | Bozza del 16 gennaio 2025, non definitiva | Personali anche se dati e chiave sono in mani diverse (par. 22) |
| EDPB, linee guida 02/2026 | Bozza del 7 luglio 2026, osservazioni fino al 30 ottobre 2026 | Test relativo, ma sempre personali per un responsabile (par. 15) |
| Commissione, Digital Omnibus, COM(2025) 837 | Proposta, 19 novembre 2025 | Formulazione relativa nell'art. 4, punto 1; atti di esecuzione ai sensi dell'art. 41 bis |
| EDPB-GEPD, parere congiunto 2/2026 | 10 febbraio 2026 | Non adottare la nuova definizione; eliminare l'art. 41 bis (par. 21, 25) |
| Mandato del Consiglio, doc. 14756/26 | Coreper, 21 ottobre 2026 | Art. 4, punto 1 invariato; nuovo art. 25 bis, personali per i responsabili (25 bis, par. 4) |
| Parlamento europeo, ITRE e LIBE | Progetto di relazione, nessun voto in commissione al 27 ottobre 2026 | Nessuna posizione adottata |
Messi a confronto, i testi convergono più di quanto il dibattito lasci intendere. La Corte ha accettato che l'identificabilità dipenda da chi detiene i dati (SRB, punto 86). L'EDPB ne ha ricavato un test che mantiene i fornitori di servizi dentro il GDPR (02/2026, par. 15). Il testo del Consiglio scriverebbe gli stessi limiti nel regolamento. L'unica formulazione che avrebbe trattato in modo più lasco i trasferimenti successivi, la terza frase della Commissione, non ha il sostegno né delle autorità di controllo né del Consiglio. Per chi deve decidere oggi come preparare un documento per uno strumento di AI o per un terzo, il riferimento restano la sentenza SRB e le due bozze dell'EDPB.
Pseudonimizzazione reversibile o anonimizzazione definitiva
Quasi tutto il lavoro sui documenti rientra in uno di due schemi, e la sentenza SRB non cambia quale dei due si adatti a un compito.
La pseudonimizzazione reversibile sostituisce nomi, identificativi e altri dettagli con segnaposto coerenti, mentre il titolare conserva una tabella di corrispondenza. È la scelta giusta quando servono di nuovo i valori reali: redigere una risposta, analizzare un contratto, riassumere un fascicolo con un assistente AI, o passare una carta di lavoro a un collega che dovrà poi sapere chi è chi. Per voi il documento resta un dato personale. Lo resta anche per un fornitore che lo tratta per vostro conto (par. 15), quindi serve comunque un accordo sul trattamento dei dati. Con la pseudonimizzazione si ottengono minimizzazione e sicurezza: il fornitore vede molto meno, e una fuga o un uso improprio dal suo lato espone segnaposto invece di identità.
L'anonimizzazione definitiva o l'oscuramento elimina l'informazione senza lasciare alcuna chiave, metadati del documento compresi. È la scelta giusta quando il documento esce dal vostro controllo verso un destinatario indipendente: pubblicazione, comunicazione a una controparte o a un tribunale, risposta a una richiesta di accesso che deve proteggere terzi, dataset di ricerca o di addestramento. Qui contano soprattutto la sentenza SRB e il testo 02/2026, perché vale la prospettiva del destinatario, e i tre criteri indicano che cosa verificare: se un singolo record si distingue ancora, se può essere collegato ad altre fonti, se si può dedurre qualcosa di specifico.
| Situazione | Chi lo riceve | Scelta tipica | Dato personale per il destinatario? |
|---|---|---|---|
| Redazione o analisi con un servizio di AI che agisce per voi | Responsabile del trattamento | Pseudonimizzazione reversibile | Sì (par. 15); serve un accordo sul trattamento dei dati |
| Carta di lavoro condivisa nello studio | Il vostro personale | Pseudonimizzazione reversibile | Sì, ma l'esposizione si riduce |
| Atto depositato in tribunale, pubblicazione, comunicazione a una controparte | Terzo indipendente | Oscuramento definitivo | Solo se la reidentificazione è ragionevolmente probabile (par. 21, 22) |
| Dataset per un ricercatore indipendente | Terzo indipendente | Anonimizzazione verificata sui tre criteri | Valutato dalla prospettiva del destinatario (esempio 4) |
Che cosa significa in pratica
Studi legali. Atti e allegati destinati a un tribunale o a una controparte richiedono un oscuramento definitivo, e il test è se la controparte, un giornalista o chiunque altro leggerà il fascicolo possa ancora identificare la persona (il par. 30 cita tra i soggetti da considerare giornalisti investigativi, colleghi e vicini di casa). I dettagli in testo libero sono il solito punto debole: una qualifica, una data e una città possono individuare qualcuno anche senza nome, ed è esattamente il problema dell'isolamento del record. Per la redazione interna con strumenti di AI, la pseudonimizzazione reversibile tiene i nomi dei clienti fuori dai sistemi del fornitore senza perdere la possibilità di ripristinarli.
Commercialisti e consulenti fiscali. Libri contabili ed esportazioni delle paghe sono dati strutturati, quindi i tre criteri si applicano quasi alla lettera: una colonna con un codice fiscale o un IBAN è un identificativo, e la combinazione di retribuzione, data di assunzione e reparto può isolare un record. Pseudonimizzare a livello di colonna conserva l'aritmetica e toglie gli identificativi. Quando i file vanno a un revisore esterno che agisce per voi, ricordate che il revisore è un responsabile del trattamento e i dati restano personali.
HR. Indagini sul clima e verifiche interne sono una fonte ricorrente di falso anonimato. L'EDPB porta l'esempio di un sondaggio di team in cui i punteggi aggregati rivelano comunque che cosa pensava ogni membro (esempio 17), e la sentenza SRB conferma che le opinioni sono dati personali del loro autore. Se i risultati vengono condivisi con i responsabili, contano più le soglie minime di aggregazione e la soppressione dei gruppi piccoli che la rimozione dei nomi.
Chiunque invii documenti a strumenti di AI. Un fornitore di AI che tratta i vostri prompt su vostra istruzione è, secondo la lettura dell'EDPB, un responsabile per il quale i dati restano personali. La pseudonimizzazione non elimina questo rapporto, ma cambia ciò che viene esposto. Due dettagli meritano attenzione: se la tabella di corrispondenza esce mai dal vostro controllo, e se il fornitore conserva gli input o li usa per l'addestramento. L'avvertimento dell'EDPB sui prompt che spingono i modelli di AI a estrarre informazioni su persone (par. 82) ricorda che ciò che entra può uscire.
Strumenti come Redactic applicano entrambi gli schemi sullo stesso file: segnaposto reversibili per il lavoro con l'AI, con i valori reali ripristinati solo nel browser dell'utente, e oscuramento definitivo con rimozione dei metadati per i documenti che escono dall'organizzazione, più un certificato di oscuramento con gli hash dei documenti per ogni operazione, utile per la tenuta dei registri descritta al par. 41.
Per usare l'AI senza consegnare nomi e identificativi, Redactic può preparare i documenti per l'AI: i valori rilevati diventano segnaposto e i nomi reali tornano nel browser quando arriva la risposta.
Domande frequenti
I dati pseudonimizzati sono ancora dati personali dopo la sentenza SRB?
Per il titolare che custodisce la chiave, sempre. Per un destinatario dipende: i dati possono non essere personali per un destinatario indipendente che non può annullare la pseudonimizzazione né reidentificare incrociando altre informazioni (SRB, punti 77 e 86), ma restano personali per qualsiasi responsabile che tratta per conto del titolare (02/2026, par. 15).
Le linee guida 02/2026 riguardano la pseudonimizzazione?
No, riguardano l'anonimizzazione. La pseudonimizzazione è trattata nelle linee guida 01/2025, adottate per la consultazione il 16 gennaio 2025 e non ancora definitive.
Quando si chiude la consultazione dell'EDPB e come si risponde?
Il 30 ottobre 2026 alle 23:59 CET, con il modulo della pagina di consultazione dell'EDPB. Le risposte vengono pubblicate sul sito dell'EDPB.
Un contratto che vieta la reidentificazione rende i dati anonimi per il destinatario?
Da solo no. Secondo l'EDPB un divieto contrattuale non equivale a un divieto di legge e può solo integrare le misure tecniche (par. 34).
Il Digital Omnibus cambierà la definizione di dato personale del GDPR?
Per ora no, e probabilmente non nella forma proposta all'inizio. La proposta della Commissione COM(2025) 837 aggiungerebbe un criterio relativo all'articolo 4, punto 1, del GDPR. L'EDPB e il GEPD hanno chiesto ai colegislatori di non adottarlo (parere congiunto 2/2026, par. 21), e il mandato negoziale del Consiglio del 21 ottobre 2026 lo elimina a favore di un nuovo articolo 25 bis, secondo cui i dati pseudonimizzati restano personali per i responsabili del trattamento e per i trasferimenti successivi a chiunque sia in grado di identificare la persona. Il Parlamento europeo non ha ancora adottato la propria posizione, quindi i triloghi non sono iniziati. Fino all'adozione di un testo, il riferimento sono la sentenza SRB e le linee guida dell'EDPB.
Devo ripetere le valutazioni di anonimizzazione fatte sotto il parere del 2014?
No, secondo la nota 3, anche se si raccomanda una rivalutazione periodica perché la reidentificazione diventa più facile con il tempo (par. 35).
Se lavorate con documenti di clienti, dipendenti o pazienti e volete provare entrambi gli approcci sui vostri file, potete iniziare da redactic.eu. Rilevamento e oscuramento girano su un'infrastruttura controllata da Redactic in Europa, e le attività opzionali di AI sono un passaggio separato che lavora sul testo preparato.
Come citare questo articolo
Redactic. «Pseudonimizzati o anonimi? EDPB 02/2026 e sentenza SRB». redactic.eu, ottobre 2026. https://redactic.eu/it/blog/pseudonimizzazione-anonimizzazione-edpb-02-2026-srb/
Fonti primarie: EDPB, linee guida 02/2026 sull'anonimizzazione (v1.0, 7 luglio 2026); EDPB, linee guida 01/2025 sulla pseudonimizzazione (16 gennaio 2025); Corte di giustizia UE, C-413/23 P, EDPS/SRB, 4 settembre 2025; Commissione europea, Digital Omnibus, COM(2025) 837 definitivo, 19 novembre 2025; EDPB-GEPD, parere congiunto 2/2026, 10 febbraio 2026; Consiglio dell'UE, doc. 14756/26 (mandato negoziale), 22 ottobre 2026.
Guide correlate
- Oscuramento dei dati personali: guida GDPR e AI 2026
- Shadow AI in HR: usare l'AI senza violare il GDPR (2026)
- Studi legali: oscurare contratti e atti giudiziari (2026)
- Commercialisti e GDPR: oscurare paghe e dati fiscali (2026)
Scopri come Redactic lo mette in pratica: Redactic, oscuramento dei documenti · Pagine di fiducia e DPA.