TL;DR per il DPO
Il 13 febbraio 2026 il Conseil d'Etat (massima istanza amministrativa francese) ha confermato la decisione della CNIL secondo cui dati 're-identificabili con sforzo ordinario' restano dati personali e quindi soggetti al GDPR. Il caso riguardava dati sanitari pseudonimizzati. Per i DPO: la differenza tra anonimizzazione (GDPR non si applica) e pseudonimizzazione (GDPR si applica) e' diventata piu' netta.
Il caso
La CNIL aveva sanzionato due fornitori di servizi IT del settore sanitario per il trattamento di dati relativi alla salute raccolti da medici e farmacie. Le aziende sostenevano che i dati fossero stati anonimizzati prima dell'uso, e quindi non soggetti al GDPR.
La CNIL ha verificato che i dataset rimanevano de facto re-identificabili: combinando date di prescrizione, codici di trattamento, codici di farmacia e nomenclatura interna, era possibile ricostruire i percorsi di cura e individualizzare i pazienti. Per farlo bastavano strumenti ordinari (Excel) e le nomenclature fornite dalle stesse aziende.
Il Conseil d'Etat ha confermato l'analisi della CNIL e respinto il ricorso. Ha sottolineato che e' irrilevante se le aziende stesse abbiano effettivamente re-identificato i pazienti: cio' che conta e' la possibilita' ragionevole di re-identificazione.
La differenza pratica tra anonimizzazione e pseudonimizzazione
Distinzione critica
ANONIMIZZAZIONE = i dati non possono essere ricondotti a una persona identificabile, nemmeno con mezzi ragionevoli. Il GDPR non si applica. PSEUDONIMIZZAZIONE = i dati sono separati dagli identificatori diretti (nome, cognome, CF) ma la re-identificazione resta possibile usando informazioni aggiuntive (chiavi di mappatura, dati esterni). Il GDPR si applica.
La sentenza del Conseil d'Etat ha alzato l'asticella: per essere considerati anonimi, i dati devono essere protetti contro qualsiasi re-identificazione 'con mezzi ragionevoli'. Questa valutazione e' contestuale e tiene conto delle informazioni che il titolare detiene gia', di quelle disponibili a terzi, e degli strumenti tecnologici comunemente accessibili.
I 4 criteri della WP216 EDPB per verificare l'anonimizzazione
- Singling out: e' possibile isolare un individuo nel dataset? (es. un paziente con una rara combinazione di patologie)
- Linkability: e' possibile collegare due record relativi alla stessa persona? (es. visite multiple)
- Inference: e' possibile dedurre informazioni su una persona con elevata probabilita'? (es. dedurre il datore di lavoro da un pattern di accesso)
- Se almeno una di queste 3 e' possibile, i dati NON sono anonimi - sono pseudonimi
Cosa fare per i tuoi clienti che dichiarano 'noi anonimizziamo i dati'
- Verifica i metodi di anonimizzazione utilizzati: hash, salting, generalizzazione, k-anonimato, l-diversita', t-closeness
- Documenta il test dei 3 criteri WP216 sul dataset effettivo
- Considera l'ambiente: chi ha accesso al dataset? Quali altre informazioni potrebbero combinare? Lo scenario di attacco realistico
- Per i dati sanitari, considera che il quasi-identificatore (data di nascita, sesso, codice postale) basta a re-identificare il 87% della popolazione USA (Sweeney 2000)
- Quando in dubbio: tratta come dato pseudonimo, applica il GDPR
Confronto con la giurisprudenza UE
- Francia (Conseil d'Etat 13 febbraio 2026): re-identificabile con sforzo ordinario = dato personale
- Germania (BGH II ZR 23/21 del 2024): anonimizzazione effettiva richiede irreversibilita' assoluta
- Italia (Garante n. 195/2022): dati sanitari pseudonimi restano dati sensibili
- CJEU (Breyer C-582/14): la valutazione di re-identificazione e' relativa al titolare specifico
Implicazioni per progetti di IA e big data
Molti progetti di analisi dati, machine learning e training di modelli IA si basano su dataset 'anonimizzati'. La sentenza del Conseil d'Etat richiede una rivalutazione di questi progetti: se i dati restano re-identificabili, il training di un modello IA su questi dati e' soggetto al GDPR. Base giuridica, informativa, conservazione, sicurezza, diritti degli interessati - tutto si applica.
In DPO Workspace
Per i clienti che dichiarano 'dataset anonimizzati', e' utile creare un trattamento art. 30 separato per ogni dataset, con riferimento esplicito ai test di re-identificazione condotti e ai risultati. Questa documentazione e' la prima cosa che chiede un'autorita' in caso di ispezione.
Stai cercando un gestionale per il tuo lavoro di DPO?
DPO Workspace e' costruito da un DPO certificato. 30 giorni di prova gratuita.
Inizia gratis
