DATI PSEUDONIMIZZATI NON SIGNIFICA DATI ANONIMI: LA CORTE UE LO CONFERMA

Nel settembre 2025, la Corte di Giustizia dell’Unione Europea si è pronunciata in modo netto su un tema cruciale per il diritto alla privacy: quando un dato pseudonimizzato resta un “dato personale” e quando, invece, può considerarsi “anonimo” e dunque escluso dal campo di applicazione del GDPR?

Il caso nasce dalla procedura di indennizzo per gli azionisti del Banco Popular Español, risolto nel 2017. Migliaia di soggetti hanno partecipato inviando i propri documenti identificativi (fase di iscrizione) e successivamente risposte a un questionario (fase di consultazione), legate a un codice alfanumerico anonimo.

Queste osservazioni sono state trasmesse dal Comitato di Risoluzione Unico (SRB) alla società Deloitte, incaricata di valutarle. Secondo il SRB, i dati trasmessi non erano più “personali”, poiché Deloitte non poteva identificarne l’autore. Ma la Corte ha stabilito l’opposto: si trattava ancora di dati personali pseudonimizzati, perché il SRB manteneva la chiave di collegamento tra codice e identità del partecipante.

 La Corte ha chiarito un punto essenziale:un dato pseudonimizzato resta un dato personale se esiste, per qualcuno, la possibilità di ricondurlo all’identità dell’interessato.Soltanto quando nessuno, nemmeno il titolare, può più risalire alla persona, allora si parla di dato anonimo.

La conseguenza giuridica è importante:il SRB ha violato l’obbligo di informare (art. 15 Reg. UE 2018/1725), non comunicando agli interessati che le loro osservazioni sarebbero state trasmesse a Deloitte. Il Garante europeo della protezione dei dati ha emesso un ammonimento.

Questa pronuncia ribadisce che la pseudonimizzazione è solo una misura tecnica di sicurezza, non una forma di anonimato. I dati pseudonimizzati restano soggetti alla disciplina del GDPR.

Per approfondire o ricevere assistenza su privacy e trattamento dati, contatta lo Studio Legale Avv. Maria Bruschi.