L’anonimizzazione dei dati personali è lo strumento con cui è possibile conciliare l’utilizzazione del patrimonio informativo delle imprese con le esigenze di tutela della riservatezza. La progressiva digitalizzazione dei processi aziendali determina, inevitabilmente, la produzione e la conservazione di una quantità crescente di documenti contenenti dati anagrafici, informazioni economiche, o ulteriori elementi idonei a rendere identificabile una persona fisica.
Come noto, il rapporto tra protezione dei dati personali e intelligenza artificiale assume una particolare delicatezza. La recente vicenda OpenAI ne costituisce conferma significativa: il provvedimento n. 755/2024 del Garante privacy è stato temporaneamente rimosso dal sito dell’Autorità a seguito della sentenza del Tribunale di Roma n. 4153/2026, pubblicata il 18 marzo 2026, che ha accolto l’opposizione proposta avverso il provvedimento.
In quest’articolo vogliamo offrire le coordinate normative dell’anonimizzazione nel GDPR, chiarendone presupposti, effetti, differenze rispetto alla pseudonimizzazione e possibili applicazioni nella gestione documentale, anche grazie a sistemi di intelligenza artificiale.
L’anonimizzazione nel GDPR: dal dato personale al dato anonimo
L’anonimizzazione indica il processo mediante il quale un’informazione, originariamente riconducibile a una persona fisica identificata o identificabile, viene trasformata in un dato non più riferibile, direttamente o indirettamente, a un interessato.
La nozione assume rilievo sistematico alla luce dell’art. 4, n. 1, del Regolamento (UE) 2016/679, che definisce dato personale “qualsiasi informazione riguardante una persona fisica identificata o identificabile”. Ne deriva che, quando l’informazione cessa di essere collegabile a un soggetto identificato o identificabile, essa perde la propria qualificazione giuridica di dato personale.
Il riferimento centrale è contenuto nel considerando 26 del GDPR, secondo cui i principi di protezione dei dati “non dovrebbero applicarsi a informazioni anonime” né ai “dati personali resi sufficientemente anonimi da impedire o da non consentire più l’identificazione dell’interessato”.
L’anonimizzazione, pertanto, non coincide con una mera operazione materiale di cancellazione o mascheramento di alcuni elementi del documento, ma con il conseguimento di un risultato giuridicamente rilevante: l’impossibilità, secondo un criterio ragionevole e contestuale, di identificare nuovamente la persona fisica cui le informazioni si riferivano. La valutazione deve tenere conto dei mezzi ragionevolmente utilizzabili, anche alla luce dei costi, dei tempi, delle tecnologie disponibili e dell’evoluzione tecnica.
Anonimizzazione e pseudonimizzazione: le differenze
L’anonimizzazione deve essere distinta dalla pseudonimizzazione, poiché le due tecniche, pur potendo entrambe ridurre l’esposizione dei dati personali, producono effetti giuridici profondamente diversi.
L’art. 4, n. 5, GDPR definisce la pseudonimizzazione come “il trattamento dei dati personali in modo tale che i dati personali non possano più essere attribuiti a un interessato specifico senza l’utilizzo di informazioni aggiuntive”, purché tali informazioni siano conservate separatamente e soggette a misure tecniche e organizzative idonee.
La pseudonimizzazione, dunque, non elimina il collegamento tra dato e interessato, ma lo rende mediato, indiretto e subordinato alla disponibilità di ulteriori informazioni. Il dato pseudonimizzato rimane, pertanto, un dato personale e continua a essere soggetto all’intera disciplina del GDPR. L’anonimizzazione, invece, presuppone che il collegamento con l’interessato sia definitivamente reciso o, quantomeno, non più ricostruibile mediante mezzi ragionevolmente utilizzabili.
La distinzione incide sul regime giuridico applicabile. Mentre la pseudonimizzazione costituisce una misura di sicurezza e di riduzione del rischio, l’anonimizzazione effettiva determina l’uscita dell’informazione dall’ambito di applicazione della normativa in materia di protezione dei dati personali.
Oscuramento, cifratura e anonimizzazione
Nella prassi applicativa, il termine anonimizzazione viene talvolta utilizzato in modo improprio per indicare operazioni tecniche assai diverse, quali l’oscuramento di alcuni dati, la cifratura di identificativi diretti o la sostituzione di nomi e codici con valori convenzionali. Tali operazioni possono certamente assumere rilievo nell’ambito delle misure di sicurezza, ma non comportano necessariamente la trasformazione del dato personale in dato anonimo.
L’oscuramento di un nominativo, ad esempio, non impedisce di per sé l’identificazione dell’interessato quando il documento continui a contenere riferimenti indiretti, informazioni contestuali, date, luoghi, qualifiche professionali, rapporti familiari, vicende giudiziarie o elementi economici idonei a consentire la re-identificazione.
Allo stesso modo, la cifratura non determina anonimizzazione se il dato può essere nuovamente reso intelligibile attraverso la chiave di decrittazione o mediante informazioni aggiuntive nella disponibilità del titolare o di terzi.
La corretta qualificazione giuridica dipende, dunque, dal risultato effettivamente conseguito. Può parlarsi di anonimizzazione soltanto quando, alla luce del contesto, dello stato dell’arte e dei mezzi ragionevolmente utilizzabili, l’interessato non sia più identificabile, né direttamente né indirettamente.
Anonimizzazione, minimizzazione e limitazione della conservazione
L’anonimizzazione assume particolare rilievo sistematico se letta in rapporto ai principi generali del trattamento sanciti dall’art. 5 GDPR. In particolare, l’art. 5, par. 1, lett. c), stabilisce che i dati personali devono essere “adeguati, pertinenti e limitati a quanto necessario rispetto alle finalità per le quali sono trattati”. Tale principio di minimizzazione impone al titolare di interrogarsi non soltanto sulla liceità del trattamento, ma anche sulla reale necessità di conservare o utilizzare informazioni identificative rispetto alla finalità concretamente perseguita.
L’anonimizzazione consente di preservare il valore conoscitivo, statistico, organizzativo o documentale dell’informazione, riducendo al contempo l’esposizione della persona fisica cui il dato originariamente si riferiva.
Il documento anonimizzato può, infatti, continuare a essere impiegato per finalità di analisi, revisione, studio, audit interno, formazione, ricerca o elaborazione aziendale, senza che sia necessario mantenere inalterati gli elementi identificativi.
L’anonimizzazione si collega altresì al principio di limitazione della conservazione di cui all’art. 5, par. 1, lett. e), secondo cui i dati devono essere conservati “per un arco di tempo non superiore al conseguimento delle finalità”. Quando la finalità può essere perseguita mediante dati anonimi, la permanenza di dati personali nel patrimonio documentale dell’organizzazione deve essere oggetto di specifica giustificazione.
L’anonimizzazione può essere ricondotta anche alla logica della protezione dei dati fin dalla progettazione e per impostazione predefinita. L’art. 25 GDPR impone al titolare di adottare, “sia al momento di determinare i mezzi del trattamento sia all’atto del trattamento stesso”, misure tecniche e organizzative adeguate ad attuare in modo efficace i principi di protezione dei dati e a integrare nel trattamento le garanzie necessarie per tutelare i diritti degli interessati. In tale prospettiva, l’anonimizzazione dovrebbe essere incorporata nell’architettura ordinaria dei processi documentali.
Analoga rilevanza emerge dall’art. 32 GDPR, che impone misure adeguate al rischio, richiamando espressamente la pseudonimizzazione e la cifratura. Sebbene distinta da tali tecniche, l’anonimizzazione può concorrere a ridurre l’impatto di accessi non autorizzati, divulgazioni indebite o violazioni di sicurezza, poiché limita o elimina la riconducibilità delle informazioni a persone fisiche determinate.
Opinion 05/2014, pseudonimizzazione e future linee guida EDPB
La disciplina dell’anonimizzazione si colloca in un quadro interpretativo europeo ancora in evoluzione. In assenza, allo stato, di linee guida definitive dell’EDPB specificamente dedicate all’anonimizzazione, il principale riferimento applicativo resta l’Opinion 05/2014 del Gruppo Articolo 29, che ha individuato tre rischi fondamentali da considerare: la singolarizzazione dell’individuo, la collegabilità tra insiemi di dati e l’inferenza di informazioni riferibili alla persona.
Più recentemente, l’EDPB ha adottato le Guidelines 01/2025 sulla pseudonimizzazione, chiarendo che essa costituisce una misura idonea a ridurre i rischi per gli interessati, ma non determina, di per sé, l’uscita dei dati dall’ambito applicativo del GDPR. La futura adozione di linee guida europee sull’anonimizzazione, annunciata dall’EDPB nell’aprile 2026, conferma la centralità del tema e l’esigenza di criteri tecnici e giuridici aggiornati allo stato dell’arte.
Quali opportunità per imprese e professionisti?
Si è detto che l’anonimizzazione assume una particolare rilevanza nella gestione documentale, soprattutto quando le organizzazioni trattano archivi composti da documenti non strutturati, nei quali i dati personali non sono collocati in campi predefiniti, ma risultano dispersi nel testo, negli allegati, nelle descrizioni fattuali e nei riferimenti di contesto.
In questi casi, la mera rimozione di nomi, codici fiscali o indirizzi può risultare insufficiente, poiché l’identificazione dell’interessato può derivare anche dalla combinazione di informazioni indirette.
Le tecnologie basate su intelligenza artificiale e sistemi di elaborazione del linguaggio naturale possono agevolare questo processo, individuando categorie semantiche di dati e consentendo la produzione di documenti privi di riferimenti personali non necessari.
Per imprese e professionisti, ciò apre rilevanti opportunità: archivi, contratti, report, fascicoli, comunicazioni e possono essere utilizzati per analisi, audit, formazione, ricerca o ulteriori finalità economiche, riducendo il rischio privacy e valorizzando il patrimonio informativo in modo più conforme al GDPR.
Assistenza legale in progetti digitali in compliance con il GDPR
Il nostro Studio Legale assiste imprese e start-up e nell’elaborazione e attuazione di progetti innovativi con particolare attenzione alla protezione dei dati personali e alla compliance GDPR e all’impiego di sistemi di Intelligenza Artificiale.
Ai sensi dell’art. 70-quater della Legge 633/1941, ai fini della tutela del diritto d’autore, si dichiara che il presente contenuto è riservato, e ne è vietata la riproduzione o l’estrazione di testo, anche mediante sistemi di intelligenza artificiale.