Il Comitato europeo per la protezione dei dati (EDPB) ha posto in consultazione delle linee guida sulla pseudonimizzazione, in conformità al GDPR.
L’art. 4, par. 5 del GDPR, introduce il termine “pseudonimizzazione” e lo indica come una salvaguardia che può essere appropriata ed efficace per soddisfare gli obblighi di protezione dei dati.
Per pseudonimizzazione, ai sensi del GDPR, si intende quel trattamento dei dati personali, in modo tale che i dati personali non possano più essere attribuiti a un soggetto specifico senza l’utilizzo di informazioni aggiuntive, a condizione che tali informazioni:
- siano conservate separatamente
- siano soggette a misure tecniche e organizzative per garantire che i dati personali non siano attribuiti a una persona fisica identificata o identificabile
Nelle linee guida, l’EDPB chiarisce la definizione e l’applicabilità della pseudonimizzazione e dei dati pseudonimizzati, nonché i vantaggi della pseudonimizzazione.
Le linee guida forniscono, in particolare, due importanti chiarimenti:
- i dati pseudonimizzati, che potrebbero essere attribuiti a una persona fisica mediante l’uso di informazioni aggiuntive, rimangono informazioni relative a una persona fisica identificabile e quindi sono ancora dati personali; infatti, se i dati possono essere ricondotti a una persona fisica dal titolare del trattamento o da altri, rimangono dati personali
- la pseudonimizzazione può ridurre i rischi:
- consentendo ai responsabili del trattamento di invocare il legittimo interesse come base giuridica per il loro trattamento (art. 6, par. 1, lett. f) del GDPR), a condizione che siano soddisfatti tutti gli altri requisiti del GDPR;
- consentendo di stabilire la compatibilità di un ulteriore trattamento ai sensi dell’art. 6, par. 4 GDPR
- contribuendo a garantire un livello di protezione sostanzialmente equivalente per i dati che si intendono esportare.
Le linee guida inoltre:
- spiegano inoltre come la pseudonimizzazione possa aiutare le organizzazioni a rispettare gli obblighi relativi all’attuazione dei principi di protezione dei dati (art. 5 GDPR), alla protezione dei dati per progettazione e per impostazione predefinita (art. 25 GDPR) e alla sicurezza (art. 32 GDPR)
- analizzano le misure tecniche e le salvaguardie, quando si utilizza la pseudonimizzazione, per garantire la riservatezza e prevenire l’identificazione non autorizzata delle persone.
La consultazione è aperta sino al 28 febbraio 2025.
