Le nuove linee guida dell’EDPB sull’anonimizzazione segnano un cambio di prospettiva rispetto al parere 5/2014, passando da una visione statica del dato anonimo a un approccio dinamico e relativo, in cui la stessa informazione può essere anonima per alcune entità ma non per altre.
L’anonimizzazione è confermata come trattamento soggetto ai principi del GDPR e richiede ai titolari una base giuridica chiara, informative trasparenti e una valutazione concreta dei mezzi ragionevolmente disponibili (anche illeciti) per la re-identificazione, alla luce dello stato dell’arte.
Pur confermando i tre criteri di No Record Isolation, No Linkage e No Inference, le linee guida li inseriscono in un’analisi più ampia di contesto e capacità degli attori coinvolti, facendo dell’anonimizzazione un banco di prova operativo dell’accountability, in particolare nei progetti di addestramento di sistemi di intelligenza artificiale e nelle attività di web scraping.
Indice degli argomenti
Perché le nuove linee guida EDPB sull’anonimizzazione contano oggi
Che le si consideri un’inevitabile conseguenza della sentenza Deloitte o una presa d’atto degli sviluppi tecnologici e dell’evoluzione normativa dal 2014, le nuove linee guida del Comitato europeo della protezione dei dati personali (EDPB) sull’anonimizzazione sono un documento fondamentale nel panorama digitale odierno, che meritano un’attenta lettura e analisi.
Il documento è stato adottato nell’ultima plenaria del Comitato e presentato assieme ad altre due linee guida, una in versione bozza sul web scraping e l’altra definitiva sulle blockchain.
Sebbene il documento sull’anonimizzazione sia aperto in fase di pubblica consultazione, e quindi non definitivo in attesa di commenti e feedback degli stakeholder, è opportuno fare qualche riflessione sulle indicazioni lì contenute.
Dal parere 5/2014 al nuovo approccio dinamico al dato anonimo
Le linee guida in questione non sono un semplice aggiornamento del parere 5/2014 sulle tecniche di anonimizzazione, pubblicato dall’allora Gruppo di lavoro articolo 29.
Il parere del 2014 era particolarmente focalizzato sulle tecniche di anonimizzazione, si caratterizzava per un approccio statico e assoluto al concetto di dato anonimo e non teneva conto dei passi da gigante compiuti nel campo del machine learning (in particolare dei Large Language Model) e dell’incremento esponenziale della quantità di dati in circolazione.
Il punto di discontinuità principale delle recenti linee guida rispetto alle più datate sta nel radicale cambio di prospettiva con cui si guarda al dato anonimo, introducendo un approccio dinamico e relativo che accompagna tutto il documento a partire dal presupposto del ragionamento: semplificando al massimo, un dato può contemporaneamente essere anonimo per un’entità ma non per un’altra.
Anonimizzazione come trattamento: basi giuridiche, trasparenza e perimetro GDPR
Vale la pena ricordare che l’anonimizzazione è a tutti gli effetti un trattamento di dati personali ai sensi dell’articolo 4 del GDPR. In quanto tale, soggiace ai principi del Regolamento, primo fra tutti quello di liceità sancito dall’articolo 6: l’anonimizzazione deve poggiare su una idonea condizione di liceità.
Inoltre, per il principio di trasparenza, il titolare del trattamento deve stabilire chiaramente nelle informative che i dati saranno resi anonimi, con conseguente uscita dall’ambito di applicazione del GDPR.
Dati anonimi di cui il GDPR stesso non fornisce definizione ma dedica un passaggio del Considerando 26, secondo cui “i principi di protezione dei dati non dovrebbero […] applicarsi a informazioni anonime, vale a dire informazioni che non si riferiscono a una persona fisica identificata o identificabile o a dati personali resi sufficientemente anonimi da impedire o da non consentire più l’identificazione dell’interessato”.
Le linee guida suggeriscono due domande da porsi per concludere se dei dati sono anonimi o meno: se l’informazione si riferisce a una persona fisica e se quella persona fisica è identificata o identificabile. Fin qui, nulla di rilevante.
Il cambio di prospettiva, filo rosso dell’intero documento, sta nel passaggio successivo, quando il Comitato afferma che le risposte alle due domande possono variare da un’entità all’altra e che, pertanto, un dato può essere anonimo per delle entità ma non per delle altre.
Dati anonimi “per chi”? Prospettive diverse e mezzi ragionevolmente probabili
È quindi una questione di prospettive e punti di vista, e un’anonimizzazione che sia considerabile tale deve avere come risultato quello di rendere i dati anonimi per tutte le entità rilevanti coinvolte, una valutazione che non può che spettare al titolare del trattamento.
Affinché dei dati siano anonimi per un’entità, occorre che questa non sia in grado di re-identificare la persona fisica cui le informazioni erano collegate, neppure ottenendo altre informazioni o applicando tecniche avanzate, attraverso mezzi che è ragionevolmente probabile che l’entità possa utilizzare.
Il Comitato invita a intendere tale espressione in modo ampio e sottolinea che il fatto che un mezzo sia illecito non ne esclude la ragionevole probabilità di utilizzo. Al punto che, secondo il Comitato, il fatto che un mezzo sia illecito non rende il suo utilizzo non ragionevolmente probabile: anche di questo dovrà tener conto il titolare, quando valuterà l’ampia gamma di mezzi disponibili allo stato dell’arte.
No Record Isolation, No Linkage, No Inference: criteri e limiti operativi
Ma il rapporto con le vecchie linee guida non è di sola rottura: c’è continuità nell’utilizzo dei tre criteri dell’individuabilità, correlabilità e deduzione, presentati dall’EDPB in forma negativa, cioè come caratteristiche che non devono presentarsi perché un dato possa dirsi anonimo (No Record Isolation, No Linkage and No Inference, nella dicitura della versione inglese).
Più nel dettaglio e cumulativamente: non deve essere possibile l’individuazione (single-out) della persona fisica; non deve essere possibile alla persona fisica incrociando dati anche provenienti da dataset diversi; nessuna inferenza significativa deve poter essere tratta dal dato anonimo che permetta di ricollegare alla persona fisica.
Quest’ultimo criterio è certamente il più problematico fra i tre, perché molto ampia è la portata del termine inferenza: c’è un minimo di processi o passaggi logici che l’inferenza deve comprendere per rispettare il criterio?
Non c’è risposta a questo e altri dubbi, ma è invece certo che la valutazione del triplice criterio da sola non basta, perché il titolare dovrà considerare lo stato dell’arte e il contesto, perché le capacità, le abilità e le risorse delle entità coinvolte possono variare, anche nel tempo.
Anonimizzazione come prova di accountability tra digitale e AI
Non c’è dubbio che la profondità di analisi del titolare nel processo di anonimizzazione e la solidità concettuale e tecnica della sua valutazione sono misura diretta della sua accountability, oltre che della sua credibilità e autorevolezza, aspetti questi essenziali per le aziende che operano nel digitale.
Questo è uno degli scenari in cui emerge con particolare chiarezza che l’accountability non è solo responsabilità, ma capacità di dimostrare in modo documentato e verificabile di aver preso scelte ragionate, lecite e rispettose del GDPR e dei diritti degli individui.
Ancor più vero e pregnante se si pensa alla funzione che l’anonimizzazione assolve nel settore dell’addestramento e nell’utilizzo dei sistemi di intelligenza artificiale e, in particolare, dei grandi modelli linguistici: il trattamento in questione, infatti, secondo lo stesso Comitato nella bozza di linee guida sul web scraping, è una delle misure di mitigazione contro i rischi identificati dai titolari nell’ambito del web scraping stesso.
Cosa fare ora? Prossimi passi per i titolari
L’anonimizzazione è una questione di governance dei dati, non solo di tecnica e informatica. Le linee guida, al netto degli aggiustamenti che potrebbero seguire alla pubblica consultazione, impongono un cambio di prospettiva che ha ricadute teoriche e pratiche.
Un primo passo fondamentale che i titolari del trattamento dovrebbero compiere è mappare i dati anonimi creati e di cui sono in possesso e chiedersi dove compaiono (analytics, reportistica, modelli e sistemi integrati con l’IA, ricerca ecc.), da quali fonti provengono, quali trasformazioni hanno subito e quali soggetti possono accedervi; solo partendo da questa ricognizione è possibile verificare se, alla luce dei criteri EDPB e del cambio di prospettiva sul “anonimo per chi”, quella qualificazione è ancora sostenibile.
Diversi sono gli esempi proposti dal Comitato nel documento: possono essere un utile punto di riferimento, da adattare alle singole realtà aziendali.
Su questa base, si possono poi aggiornare valutazioni e documenti, dai registri dei trattamenti alle DPIA, passando per informative e policy interne.
Di tutti i passaggi logici, tecnici e giuridici e delle scelte che hanno condotto a una certa conclusione andrebbe tenuta traccia, in ottica di accountability e a beneficio della “memoria storica” dell’azienda; particolare attenzione andrà riservata, fra le tante, alla disamina dei mezzi potenzialmente disponibili per risalire alle persone fisiche cui i dati anonimi erano collegati.
Contestualmente il titolare dovrebbe predisporre un meccanismo che assicuri l’applicazione delle nuove indicazioni ai trattamenti di anonimizzazione futuri, ragionando in primis sulle modalità di raccolta dei dati; l’obiettivo è quindi costruire un modo diverso di produrre, usare e verificare l’anonimità dei dati nei progetti che verranno, così che ogni futuro dataset possa essere valutato alla luce delle domande chiave “anonimo per chi?” e “fino a quando?”.
L’anonimizzazione deve essere vista ancor più di prima come un processo tracciabile, che parte da una fotografia aggiornata dei dati in gioco e si traduce in scelte documentate, revisioni periodiche e controlli mirati. Allo stesso tempo, i criteri di No Record Isolation, No Linkage e No Inference non sono uno slogan, ma una guida operativa per il titolare.
Partecipa alla community