Tecniche di anonimizzazione dei dati spiegate con esempi

Le principali tecniche di anonimizzazione dei dati sono mascheramento, generalizzazione, aggregazione, aggiunta di rumore, scambio, tokenizzazione, pseudonimizzazione e hashing, oltre a due metodi per misurare il risultato: k-anonimato e privacy differenziale. Nessuna è sufficiente da sola. Secondo le autorità di regolamentazione europee, ogni tecnica lascia un certo rischio di reidentificazione e il risultato è anonimo solo quando nessuno può ragionevolmente risalire alla persona a cui si riferisce un record.

Il criterio con cui si valuta ogni tecnica

Ai sensi del GDPR e del GDPR del Regno Unito, le informazioni anonime sono escluse dalla normativa sulla protezione dei dati, mentre i dati personali vi rientrano. Il considerando 26 traccia il confine: si considerano tutti i mezzi «ragionevolmente suscettibili di essere utilizzati», come l’individuazione di singoli individui, per identificare qualcuno direttamente o indirettamente. Lo stesso considerando afferma che i dati pseudonimizzati che possono essere attribuiti a una persona usando informazioni aggiuntive sono comunque informazioni relative a una persona identificabile.

Le autorità di regolamentazione europee per la protezione dei dati dell’epoca, il Gruppo di lavoro Articolo 29, hanno tradotto questo criterio in tre domande nel loro parere 05/2014 sulle tecniche di anonimizzazione (WP216). È ancora possibile individuare una singola persona? Collegare due record relativi alla stessa persona? Dedurre qualcosa su una persona? Il parere conclude che, in determinate situazioni, ciascuna delle tecniche esaminate non supera almeno una di queste verifiche, motivo per cui si combinano più tecniche. Le linee guida dell’autorità di regolamentazione del Regno Unito sull’anonimizzazione e la pseudonimizzazione, pubblicate il 28 marzo 2025, adottano lo stesso approccio basato sul rischio.

Se prima vuoi capire la differenza tra anonimizzazione, pseudonimizzazione e oscuramento, inizia da quale ti serve per l’IA. Questo articolo tratta le singole tecniche.

Il record di esempio

Tutti gli esempi qui sotto partono dallo stesso record inventato tratto da un file delle risorse umane:

Anna Kowalski, born 12.03.1989 (37), 14 Elm Street, Leeds,
anna.kowalski@example.com, staff nurse, 12 days of sick leave

Tecniche che rimuovono o sfocano i valori

Mascheramento e soppressione

Il mascheramento nasconde parte di un valore; la soppressione elimina il valore, la colonna o l’intero record.

A***** K*******, born **.**.1989, [address removed], staff nurse

Protegge dall’identificazione diretta. Compromette tutto ciò che richiede il valore rimosso e il risultato non è reversibile. Ciò che resta può comunque ricondurre ad Anna: non è difficile individuare un’infermiera nata nel 1989 in un reparto piccolo. Il solo mascheramento raramente rende anonimi i dati.

Generalizzazione

La generalizzazione sostituisce un valore preciso con uno più ampio.

age 37 → 30-39; 14 Elm Street, Leeds → Leeds; staff nurse → healthcare worker

Protegge dall’individuazione di singoli individui facendo apparire simili molte persone. Riduce la precisione: non si può più sapere chi è più anziano. Non è reversibile. L’anonimato del risultato dipende dal numero di persone che condividono ciascuna combinazione di dati, che è ciò che misura il k-anonimato (vedi sotto).

Aggregazione

L’aggregazione pubblica totali o medie invece delle singole righe.

Ward 4, 2025: 23 nurses, average sick leave 9.4 days

Protegge le persone, purché ogni gruppo sia numeroso. Rende impossibile rispondere a qualsiasi domanda su una singola persona. Se un gruppo comprende una o due persone, la media rivela il dato individuale; perciò le celle di piccole dimensioni vengono di solito soppresse.

Rumore (perturbazione)

L’aggiunta di rumore modifica leggermente i valori in modo casuale.

age 37 → 39; sick leave 12 days → 10 days

Mantiene le statistiche approssimativamente corrette, rendendo però inaffidabile ciascun valore. Compromette la precisione delle cifre. WP216 avverte che, se il rumore non supera l’informazione, non costituisce un metodo di anonimizzazione autonomo: un dato anomalo, come l’unica persona ad avere 90 giorni di congedo, resta riconoscibile.

Scambio (permutazione)

Lo scambio permuta i valori tra record: ciascuna colonna mantiene i propri totali, ma le righe non corrispondono più a una sola persona.

Anna's 12 days of leave ↔ another nurse's 3 days

Protegge dal collegamento di un valore a una persona. Compromette le relazioni tra le colonne e WP216 mostra che non funziona quando i valori scambiati sono collegati ad altre colonne: uno stipendio da dirigente assegnato a una qualifica junior risalta.

Tecniche che sostituiscono gli identificatori

Tokenizzazione

La tokenizzazione sostituisce un identificatore con un token casuale e conserva il collegamento in una tabella separata e protetta.

anna.kowalski@example.com → TKN-8F3K2Q

L’ICO osserva che un token casuale non ha alcuna relazione matematica con il valore originale, quindi il solo token non rivela nulla. Chi possiede la tabella può invertirne il processo, ed è per questo che per quella persona il risultato è ancora un dato personale.

Pseudonimizzazione con segnaposto coerenti

A ogni persona, azienda o indirizzo viene assegnato un segnaposto leggibile e a ogni valore identico viene assegnato sempre lo stesso segnaposto.

Person_1, born [Date_1], [Address_1], staff nurse.
Person_1 asked Person_2 to approve the leave.

Nasconde gli identificatori diretti e mantiene leggibile chi ha fatto cosa, un aspetto importante per i testi. La logica del documento resta intatta. Il processo è reversibile usando la mappatura e, ai sensi del considerando 26, i dati restano personali. Il nostro articolo sul fatto che i dati pseudonimizzati siano ancora dati personali.

spiega in dettaglio la questione di chi detiene la chiave.

Hashing

anna.kowalski@example.com → 3f9a…c71e (SHA-256)

Sembra irreversibile, ma spesso non lo è per i nomi e gli indirizzi e-mail. Chiunque disponga di un elenco di valori probabili può calcolare l’hash di ciascuno e confrontarli: i nomi del personale o gli indirizzi aziendali possibili sono solo un certo numero. WP216 lo sottolinea a proposito degli intervalli di valori noti, e l’ICO Sembra irreversibile, ma spesso non lo è per nomi e indirizzi e-mail. Chiunque disponga di un elenco di valori probabili può applicare l’hash a ciascuno e confrontarli: i nomi del personale o gli indirizzi delle aziende possibili sono limitati. WP216 sottolinea questo aspetto per gli intervalli di valori noti e l’ICO sconsiglia l’hashing senza salt, pepper o chiave e l’uso di algoritmi obsoleti come MD5 e SHA-1, perché sono vulnerabili agli attacchi di forza bruta.

k-anonimato e privacy differenziale

Questi non sono modi per modificare un valore. Sono modi per verificare o garantire il livello di protezione di un intero set di dati.

Questi non sono metodi per modificare un valore. Servono a verificare o garantire il livello di protezione di un intero insieme di dati. significa che ogni combinazione di attributi identificativi (fascia d’età, città, professione) è condivisa da almeno k record. Con k = 5, Anna si confonde tra almeno cinque persone che le somigliano. Non impedisce di dedurre informazioni: se tutti e cinque gli operatori sanitari di età compresa tra 30 e 39 anni a Leeds avessero più di dieci giorni di ferie, sapresti che anche Anna ne ha più di dieci. significa che ogni combinazione di attributi identificativi (fascia d’età, città, mansione) è condivisa da almeno k record. Con k = 5, Anna è confusa tra almeno cinque persone che le somigliano. Non impedisce le inferenze: se tutti i cinque operatori sanitari di Leeds tra i 30 e i 39 anni hanno avuto più di dieci giorni di congedo, si viene a sapere che anche Anna li ha avuti. La l-diversità

aggiunge la regola secondo cui ogni gruppo deve contenere almeno l valori diversi dell’attributo sensibile. opera sulle risposte, anziché sulle righe. A ogni statistica pubblicata viene aggiunto del rumore, calibrato in modo che la risposta cambi appena, indipendentemente dal fatto che i dati includano o meno una determinata persona. Il livello di protezione è definito da un parametro: una protezione più forte comporta dati meno accurati. Lo US Census Bureau opera sulle risposte, non sulle righe. A ogni statistica pubblicata viene aggiunto rumore calibrato affinché la risposta cambi appena, indipendentemente dalla presenza o meno di una singola persona nei dati. Il livello di protezione è determinato da un parametro; una protezione più forte comporta dati meno precisi. L’Ufficio del censimento degli Stati Uniti l’ha usata per i prodotti statistici del censimento del 2020

ad eccezione dei totali per Stato usati per ripartire i seggi. È adatta alle statistiche, ma non serve a rendere leggibile un documento. Per le tabelle, gli strumenti effettuano queste misurazioni al posto tuo., uno strumento desktop gratuito e open source e una libreria Java (licenza Apache 2.0, versione 3.9.2 a ottobre 2026), applica generalizzazione, soppressione e microaggregazione ai dati strutturati e verifica i risultati rispetto a k-anonimato, l-diversità, t-closeness e privacy differenziale. Stima inoltre il rischio residuo di reidentificazione. È progettato per set di dati come file CSV, fogli Excel e tabelle di database, non per contratti o lettere.

Tutte le tecniche a confronto

La maggior parte delle righe dice «dipende» perché il fatto che un dataset sia anonimo si determina considerando l’intero dataset nel suo contesto, non una singola tecnica. Se intendi pubblicare o condividere qualcosa come anonimo, chiedi al tuo DPO o a un avvocato esperto di protezione dei dati.

Quali tecniche sono adatte ai documenti forniti all’IA

Un dataset statistico e un documento destinato a un chatbot IA richiedono cose opposte. Le statistiche hanno bisogno di molte righe e dell’assenza di singole persone; aggregazione, generalizzazione, k-anonimato e privacy differenziale sono pensati per questo. Un contratto, una conversazione via email o una lettera di reclamo riguardano persone specifiche e l’IA deve poterle seguire.

Per i documenti, tre tecniche fanno la maggior parte del lavoro:

• Pseudonimizzazione con segnaposto coerenti per nomi, aziende, indirizzi, email e numeri identificativi. Person_1 resta Person_1 in tutto il testo, così l’IA può capire chi ha scritto cosa e chi deve cosa a chi. Barre nere o un unico «[REDACTED]» cancellano queste informazioni; vedi perché i segnaposto funzionano meglio.
• Generalizzazione delle date e dei luoghi che non servono con precisione per la domanda: «marzo 2025» invece di un giorno specifico, «una città nel nord dell’Inghilterra» invece di una via.
• Soppressione di tutto ciò che non serve affatto alla domanda, per esempio un dettaglio sulla salute in un documento per cui chiedi soltanto informazioni sui termini di preavviso.

Rumore, permutazione e privacy differenziale non hanno posto in questo contesto: modificare i fatti di un documento rende sbagliata la risposta dell’IA. L’hashing trasforma i nomi in stringhe che nessuno, IA compresa, può leggere nel loro contesto.

Il risultato è pseudonimizzato, quindi le norme sulla protezione dei dati continuano ad applicarsi a te. Ciò che cambia è quello che esce dal tuo PC. Se stai scegliendo un software per questo scopo, la nostra checklist su cosa cercare in uno strumento di pseudonimizzazione spiega dove vanno i dati e come si ripristinano i nomi.

Domande frequenti

Qual è la tecnica di anonimizzazione dei dati più efficace?

Non ce n’è una sola. Il WP216 ha rilevato che ogni tecnica esaminata non supera almeno uno dei tre test in alcune situazioni. Per i dataset statistici, la generalizzazione e la soppressione valutate con il k-anonimato, oppure la privacy differenziale, offrono i risultati più solidi. Per i documenti che un’IA deve leggere, la scelta pratica è la pseudonimizzazione con generalizzazione di date e luoghi, ma non si tratta di anonimizzazione.

È sufficiente applicare l’hashing a un indirizzo email per renderlo anonimo?

No. Gli indirizzi email seguono schemi prevedibili, quindi un aggressore può applicare l’hashing a un elenco di indirizzi probabili e confrontarne i risultati. Un hash con chiave o un token casuale sono più sicuri, ma entrambi costituiscono comunque pseudonimizzazione, non anonimizzazione.

Quali sono gli strumenti di anonimizzazione dei dati per le tabelle?

ARX è un esempio gratuito e open source: carichi un file CSV, Excel o una tabella di database, imposti regole di generalizzazione e soppressione, scegli un modello di privacy come il k-anonimato e il programma calcola il rischio residuo. Gli strumenti di questo tipo lavorano su colonne e righe, non su testi in prosa.

I dati anonimizzati rientrano nell’ambito del GDPR?

Secondo il considerando 26, i dati realmente anonimi non vi rientrano. I dati pseudonimizzati sì. La difficoltà sta nel dimostrare che nessuno può ragionevolmente reidentificare i dati; per questo le autorità di controllo considerano l’anonimizzazione una valutazione del rischio e non un singolo passaggio.

ClientSafe pseudonimizza i documenti sul tuo PC: sostituisce nomi, aziende, indirizzi, numeri di telefono, indirizzi email, numeri di conto e identificativi, nonché date di nascita, con segnaposto come Person_1, e mantiene lo stesso segnaposto per lo stesso nome in tutti i documenti di una pratica. Il rilevamento non è perfetto, quindi controlla l’elenco prima di copiarlo.