Il Regolamento generale sulla protezione dei dati (GDPR) definisce per la prima volta nel diritto dell'UE il termine "pseudonimizzazione" e lo cita come misura di protezione specifica. Nonostante la definizione legale, in passato ci sono state incertezze sulla sua applicazione pratica. Per questo motivo, il 16 gennaio il Comitato europeo per la protezione dei dati (EDPB) ha pubblicato nuove linee guida sulla pseudonimizzazione, destinate a fare maggiore chiarezza.
Pseudonimizzazione ai sensi dell'art. 4 par. 5 GDPR
Ai sensi dell'art. 4 (5) del GDPR, per pseudonimizzazione si intende "il trattamento dei dati personali in modo tale che i dati personali non possano più essere attribuiti a un soggetto specifico senza l'utilizzo di informazioni aggiuntive".
Si tratta di una misura che può ridurre i rischi per gli interessati e aiutare i responsabili del trattamento e gli incaricati del trattamento ad adempiere ai loro obblighi di protezione dei dati.
Le linee guida dell'EDPB intendono ora aiutare i responsabili del trattamento dei dati ad adempiere ai loro obblighi di protezione dei dati attraverso la progettazione della tecnologia, le impostazioni predefinite favorevoli alla protezione dei dati e la sicurezza.
Obiettivi e vantaggi della pseudonimizzazione
La pseudonimizzazione riduce i rischi di protezione dei dati, come l'accesso non autorizzato o l'uso improprio, e allo stesso tempo supporta le analisi senza consentire l'identificazione diretta delle persone interessate.
Serve a ridurre al minimo i rischi di riservatezza, a rispettare il principio di limitazione delle finalità e ad aumentare la trasparenza e la sicurezza.
Tuttavia, i dati pseudonimizzati rimangono personali se le informazioni aggiuntive ne consentono l'attribuzione. Nelle sue linee guida, l'EDPB scrive: "I dati pseudonimizzati che possono essere attribuiti a una persona fisica attraverso l'uso di informazioni aggiuntive devono essere considerati come informazioni su una persona fisica identificabile e sono quindi personali". Questo vale anche se i dati pseudonimizzati e le informazioni aggiuntive non sono in possesso della stessa persona.
Allo stesso tempo, l'EDPB sottolinea che il GDPR non prevede un obbligo generale di pseudonimizzazione. Spetta piuttosto al responsabile del trattamento decidere le modalità di adempimento dei propri obblighi, tenendo conto del principio di responsabilità.
Suggerimento di lettura: Anonimizzazione dei dati personali: una guida pratica
Misure per una pseudonimizzazione efficace
Secondo l'EDSA, per realizzare una pseudonimizzazione efficace è necessario adottare tre misure:
- Modifica dei dati, ad esempio eliminando gli identificatori: a tal fine, i dati devono essere modificati o convertiti.
- Controllo dell'accesso: le informazioni aggiuntive che consentono di assegnare i dati personali a un soggetto specifico devono essere memorizzate separatamente. Ciò può essere fatto utilizzando una chiave di pseudonimizzazione. Questo deve essere fatto separatamente dalle persone a cui deve essere impedita tale assegnazione.
- Devono essere adottate misure tecniche e organizzative per garantire che i dati personali non possano essere attribuiti a una persona fisica identificata o identificabile. In particolare, deve essere impedito l'uso non autorizzato dei dati. A tal fine, è consigliabile istituire un'area di pseudonimizzazione che definisca le condizioni quadro per il trattamento dei dati.
La pseudonimizzazione è uno strumento flessibile per promuovere la protezione dei dati e consente ai responsabili del trattamento di rispettare i requisiti di legge, ridurre al minimo i rischi e mantenere al contempo la capacità di analizzare i dati. Tuttavia, la sua efficacia dipende in larga misura da un'attenta implementazione e da un'analisi del contesto di trattamento.
Nelle nuove linee guida, l'EDPB fornisce raccomandazioni dettagliate per l'attuazione, basate su esempi concreti di pratica. Le linee guida saranno disponibili per la consultazione pubblica fino al 28 febbraio, per dare ai gruppi di interesse l'opportunità di commentare e tenere conto degli attuali sviluppi della giurisprudenza.
Fonte: Linee guida del Comitato europeo per la protezione dei dati sulla pseudonimizzazione
Scoprite come Ailance può aiutarvi ad anonimizzare e pseudonimizzare automaticamente i dati personali. Siamo felici di consigliarvi! Contattateci semplicemente:
Tel: +39 045 475 7198
E-mail: verona@2b-advice.com
Italian 
German 
English 
French