Il concetto di dato anonimo è sempre stato una pietra angolare della privacy: una volta reso anonimo, il dato usciva dall’ambito di applicazione del GDPR, libero da vincoli. Le nuove linee guida dell’European Data Protection Board (EDPB) mandano in frantumi questa certezza, introducendo una visione relativa che costringe le imprese a ripensare governance, condivisione e progetti di intelligenza artificiale.
La fine dell’anonimizzazione assoluta
Finora si pensava che un dato, dopo un processo di anonimizzazione, fosse irreversibilmente non riconducibile a un individuo. L’EDPB afferma invece che l’anonimizzazione non è uno stato oggettivo: uno stesso dataset può essere anonimo per il titolare A ma non per il titolare B. Tutto dipende dai mezzi che ciascun soggetto può ragionevolmente impiegare per re-identificare le persone. Se un’organizzazione possiede altre informazioni che, incrociate, permettono di risalire all’identità, il dato non è più anonimo per lei, anche se lo è per altri.
Responsabilità e accountability: cosa cambia per le imprese
Questa svolta alza l’asticella dell’accountability. I titolari del trattamento dovranno dimostrare, caso per caso, che il dato è effettivamente anonimo per tutti i soggetti coinvolti – dipendenti, partner, fornitori di servizi cloud o destinatari di dataset. Non basterà più applicare tecniche standard: sarà necessario un esame continuo dei rischi di re-identificazione, considerando cosa ciascun attore potrebbe ragionevolmente fare con i dati a disposizione. In pratica, ogni cessione o condivisione andrà accompagnata da una valutazione specifica del contesto.
Impatto sull’intelligenza artificiale e sulla condivisione dei dati
I progetti di AI spesso si alimentano di dati anonimizzati, specialmente in ambito sanitario, finanziario o di ricerca. La relatività dell’anonimizzazione introduce un rischio concreto: un dataset fornito da un ospedale potrebbe essere anonimo per una startup, ma non per il laboratorio che ha già dati clinici correlati. Ciò significa che molti trattamenti finora considerati fuori dal GDPR potrebbero ricadere sotto la disciplina, con obblighi di informativa, consenso e DPIA. La condivisione dei dati, pilastro dell’economia digitale, diventa più onerosa ma anche più sicura se affrontata con la giusta consapevolezza.
Cosa significa per chi legge
Per professionisti della privacy, DPO e manager tech, l’adeguamento a queste linee guida è una priorità immediata. Ecco tre azioni pratiche:
- Rivedere i processi di anonimizzazione: aggiungere un’analisi contestuale, mappando chi avrà accesso ai dati e quali risorse potrebbe usare per incrociarli.
- Aggiornare le DPIA: integrare la nuova prospettiva relativa nel documento di valutazione d’impatto, documentando le valutazioni per ogni scenario di utilizzo.
- Formare i team: comunicare a sviluppatori e data scientist che l’anonimizzazione non è più un interruttore on/off, ma un concetto granulare che richiede presidio continuo.