Sostituire i nomi con segnaposto è un buon primo passo. Ai sensi del GDPR, questo non rende di per sé anonimi i dati. Questo articolo illustra cosa dice il regolamento, cosa ha stabilito la Corte di giustizia dell’Unione europea nel settembre 2025 e cosa fare di conseguenza.
La risposta breve
Sì, in generale. Il GDPR stabilisce che i dati personali sottoposti a pseudonimizzazione, che potrebbero essere attribuiti a una persona utilizzando informazioni aggiuntive, sono informazioni relative a una persona identificabile. Se possiedi la chiave che collega «Person_1» a un nome reale, il testo che hai sostituito è ancora un dato personale per te e il relativo trattamento rientra nell’ambito del GDPR.
La risposta più precisa è che dipende da chi detiene i dati e da quali mezzi potrebbe ragionevolmente usare per identificare la persona. È qui che diventa rilevante la decisione del 2025.
Cosa dice il GDPR
L’articolo 4, paragrafo 5, definisce la pseudonimizzazione come:
«il trattamento dei dati personali in modo tale che i dati personali non possano più essere attribuiti a un interessato specifico senza l’utilizzo di informazioni aggiuntive, a condizione che tali informazioni aggiuntive siano conservate separatamente e siano soggette a misure tecniche e organizzative intese a garantire che i dati personali non siano attribuiti a una persona fisica identificata o identificabile»
Il considerando 26 afferma che i dati personali sottoposti a pseudonimizzazione che potrebbero essere attribuiti a una persona fisica utilizzando informazioni aggiuntive dovrebbero essere considerati informazioni relative a una persona fisica identificabile. Per stabilire se una persona sia identificabile, si dovrebbe tenere conto di tutti i mezzi ragionevolmente utilizzabili, come l’individuazione, da parte del titolare del trattamento o di un’altra persona, considerando anche i costi e il tempo necessari e la tecnologia disponibile.
Dal testo emergono due aspetti pratici. La chiave deve essere conservata separatamente, con misure tecniche e organizzative adeguate. Inoltre, l’«identificabilità» si valuta in base a mezzi realistici, non in base alla possibilità teorica di identificare qualcuno.
Cosa ha aggiunto la Corte di giustizia nel 2025
Il 4 settembre 2025 la Corte di giustizia dell’UE ha deciso la causa EDPS contro SRB (causa C-413/23 P). Riguardava commenti che un’autorità bancaria aveva trasmesso a una società di consulenza dopo aver sostituito le identità degli autori con codici. La causa è stata decisa ai sensi del regolamento 2018/1725, che si applica alle istituzioni dell’UE, ma le relative definizioni di dati personali e pseudonimizzazione rispecchiano quelle del GDPR.
La Corte ha stabilito che i dati pseudonimizzati non devono essere considerati dati personali «in tutti i casi e per ogni persona». Il fatto che i dati siano personali per un determinato destinatario dipende dalle circostanze, compreso il fatto che quel destinatario disponga di mezzi che è ragionevolmente probabile possano essere utilizzati per reidentificare le persone coinvolte. La parte che ha effettuato la pseudonimizzazione e detiene le informazioni aggiuntive si trova in una posizione diversa da quella di un destinatario che non ha modo di collegare i codici a qualcuno.
Si tratta di uno sviluppo giuridico che gli specialisti stanno ancora esaminando. Non interpretarlo come un’autorizzazione a inviare ovunque dati pseudonimizzati dei clienti. La Corte afferma che la questione va valutata dal punto di vista del destinatario, non che la questione scompaia.
Cosa significa per un chatbot IA
- Sei comunque il titolare del trattamento dei dati originali e della chiave. Gli obblighi che ti spettano in base al GDPR si applicano a ciò che fai con il documento, compresa la sostituzione dei dati.
- Stabilire se il fornitore dell’IA riceva dati personali è una valutazione che dipende dai fatti specifici. Il contesto può identificare una persona anche senza un nome: una professione rara, una cittadina piccola, un evento insolito. Se qualcuno potrebbe realisticamente capire a chi si riferisce il testo, trattalo come un dato personale.
- Non basare la tua posizione in materia di conformità sull’idea che i segnaposto rendano anonimo il testo. Agisci supponendo che i dati possano essere ancora personali e considera i segnaposto una delle diverse misure di protezione.
Vale comunque la pena pseudonimizzare, e il GDPR lo conferma. L’articolo 32, paragrafo 1, lettera a), include la pseudonimizzazione tra le misure di sicurezza che il titolare del trattamento può adottare. I considerando 28 e 78 affermano che può ridurre i rischi per gli interessati e favorisce la protezione dei dati fin dalla progettazione e per impostazione predefinita. Il regolamento la considera una misura di protezione, non una via d’uscita dal suo ambito di applicazione.
Cosa fare in pratica
- Per prima cosa, riduci al minimo i dati. Invia solo il passaggio necessario per l’attività. Vedi come usare gli strumenti di IA con i documenti dei clienti.
- Sostituisci tutti gli identificativi, non soltanto i nomi. Anche i numeri di conto, gli identificativi e le date di nascita identificano le persone. La checklist li elenca.
- Tieni la chiave dalla tua parte, separata dal testo che invii, ed eliminala quando la pratica è conclusa.
- Controlla le condizioni del fornitore e il tuo piano. Un piano aziendale con un accordo sul trattamento dei dati si colloca in una posizione diversa rispetto a un account personale gratuito. Vedi cosa indicano le impostazioni dei dati.
- Chiedi consiglio per i casi ad alto rischio: dati sanitari, dati di minori, categorie particolari di dati o qualsiasi informazione la cui violazione avrebbe conseguenze gravi.
Nel linguaggio comune questi termini sono spesso usati in modo impreciso. Anonimizzazione, pseudonimizzazione e oscuramento li mette a confronto.
Domande frequenti
I dati pseudonimizzati sono la stessa cosa dei dati anonimi?
No. Il considerando 26 afferma che i principi di protezione dei dati non si applicano alle informazioni anonime, ossia alle informazioni che non si riferiscono a una persona identificabile, né ai dati resi anonimi in modo che la persona non sia più identificabile. I dati pseudonimizzati che possono essere ricollegati alla persona appartengono a una categoria diversa.
Il GDPR vieta di usare strumenti di IA con dati personali?
No. Richiede una base giuridica, la minimizzazione, la sicurezza e, se ti avvali di un fornitore, un contratto adeguato. L’uso di segnaposto contribuisce alla minimizzazione.
Si applica anche al di fuori dell’UE?
Il Regno Unito ha una propria versione e molti paesi hanno norme simili. Il GDPR può applicarsi anche alle imprese fuori dall’UE che offrono servizi a persone che si trovano nell’UE.
ClientSafe conserva sul tuo PC la tabella che collega i segnaposto ai nomi reali. Il testo che copi per uno strumento di IA contiene soltanto i segnaposto. Controlla prima ciò che è stato rilevato, perché nessuno strumento riesce a trovare tutto.
Informazioni di carattere generale, non consulenza legale. Rivolgiti a un consulente qualificato in materia di protezione dei dati per valutare la tua situazione.