La qualificazione dei dati pseudonimizzati e l’estensione dell’obbligo di trasparenza informativa da parte delle istituzioni UE

La sentenza della Corte di Giustizia dell’Unione europea affronta un tema delicatissimo per chi opera nella compliance e nella consulenza legale in materia di privacy: la qualificazione dei dati pseudonimizzati e l’estensione dell’obbligo di trasparenza informativa da parte delle istituzioni UE. Il cuore della decisione riguarda l’art. 15(1)(d) Reg. 2018/1725: l’obbligo di informare i soggetti interessati sui destinatari o categorie di destinatari dei dati personali, al momento della raccolta, indipendentemente dal fatto che i dati, una volta trasmessi, potessero risultare anonimi o meno per il destinatario. Questa è una regola di trasparenza sostanziale: l’interessato deve sapere, ex ante, chi potrà trattare i suoi dati, così da poter prestare un consenso informato o esercitare le proprie prerogative di autodeterminazione. Quanto precede tenuto conto che un dato pseudonimizzato resta personale per il titolare che detiene la chiave di ricomposizione, mentre per un destinatario terzo può assumere natura diversa a seconda delle misure organizzative e tecniche adottate. Tuttavia, ai fini dell’obbligo di informazione, conta la prospettiva del titolare, non quella del terzo che dovrà valutare se vi è o meno la concreta possibilità che un soggetto (il titolare, o un terzo con mezzi ragionevoli) possa risalire all’identità.

Dal punto di vista pratico, la pronuncia impone grande cautela nell’uso di tecniche di pseudonimizzazione nelle procedure amministrative e nelle valutazioni di impatto, in quanto non è sufficiente isolare i dati identificativi e utilizzare codici sostitutivi: occorre valutare se, per il titolare, i dati restino comunque collegabili agli interessati. In tal caso, tutti gli obblighi di protezione e di trasparenza rimangono pienamente operativi. Per le istituzioni europee e le grandi organizzazioni, ciò significa rivedere le informative privacy nei processi complessi (es. consultazioni pubbliche, gare, procedure di indennizzo) e assicurarsi che siano sempre indicate tutte le possibili categorie di destinatari, anche partner tecnici e consulenti. La sentenza rappresenta un richiamo forte all’approccio sostanziale in materia di dati personali: pseudonimizzazione non equivale ad anonimizzazione, e la trasparenza è un prerequisito di legittimità. Per giuristi, DPO e consulenti occorre mappare con precisione i flussi di dati, valutare realisticamente i rischi di identificazione e garantire informative complete, senza confidare in soluzioni tecniche che possano “declassare” la natura dei dati. Una decisione che, pur calata in un contesto istituzionale specifico, ha effetti diretti anche per la prassi aziendale e la consulenza legale quotidiana.

Il tutto, considerando che, come indica il termine stesso, pseudonimizzare un dato è un procedimento che impedisce di identificare direttamente la persona cui si riferisce il dato, in quanto tali dati non possono essere attribuiti a un individuo specifico senza l'uso di ulteriori informazioni. Come indicato nella definizione di pseudonimizzazione inserita nel GDPR (articolo 4, comma 5), essa rappresenta il "trattamento dei dati personali tale che i dati personali non possano più essere attribuiti a un interessato specifico senza l'utilizzo di informazioni aggiuntive, a condizione che tali informazioni aggiuntive siano conservate separatamente e soggette a misure tecniche e organizzative intese a garantire che tali dati personali non siano attribuiti a una persona fisica identificata o identificabile". Inoltre, il Considerando 26 del GDPR ricorda come "i dati personali sottoposti a pseudonimizzazione, i quali potrebbero essere attribuiti a una persona fisica mediante l'utilizzo di ulteriori informazioni, dovrebbero essere considerati informazioni su una persona fisica identificabile”.