Aristotelis Zervos
Aristotelis Zervos, direttore editoriale di 2B Advice, unisce competenze giuridiche e giornalistiche in Protezione dei dati, IT-Conformità e la regolamentazione dell'IA.
La Corte di giustizia dell'Unione europea (CGUE) si è pronunciata su diverse questioni relative al tema Dati personali e Pseudonimizzazione ha esaminato. Il caso è scaturito da una controversia tra il Garante europeo della protezione dei dati (GEPD) e il Comitato unico di risoluzione (SRB), alla quale hanno preso parte anche il Comitato europeo per la protezione dei dati (CEPD) e la Commissione europea. Facendo riferimento alla propria giurisprudenza precedente, la Corte di giustizia dell’Unione europea, nell’ambito di questa sentenza, ha sottolineato l’importanza del concetto di «dati personali» nel contesto della Trasmissione dati pseudonimizzati per Terza parte specificato.
La SRB fa ricorso contro la decisione del GEPD
A seguito della liquidazione del Banco Popular Español, il 7 giugno 2017 il Comitato unico di risoluzione (Single Resolution Board, SRB) ha emesso una decisione provvisoria in merito alla necessità di concedere un indennizzo agli ex azionisti e creditori di tale banca a seguito della sua liquidazione. Poiché le persone interessate non erano state ascoltate prima dell’adozione di tale decisione, l’SRB ha successivamente avviato un procedimento nel corso del quale tali persone hanno potuto presentare le proprie osservazioni in merito alla sua decisione provvisoria. Nell’ambito di tale procedura, l’SRB ha trasmesso alcune osservazioni sotto forma di dati pseudonimizzati a Deloitte, una società di revisione contabile e consulenza alla quale aveva affidato il compito di effettuare una valutazione delle ripercussioni della risoluzione sugli azionisti e sui creditori.
Diversi colpiti Gli azionisti e i creditori hanno presentato un reclamo al Garante europeo della protezione dei dati (GEPD).
reclami perché la SRB non li aveva informati che i dati che li riguardavano sarebbero stati trasmessi a Terza parte, ovvero a Deloitte. Il GEPD ha ritenuto che, nel caso in esame, Deloitte fosse un destinatario dei dati personali dei ricorrenti. Ha inoltre constatato che il SRB aveva violato l'obbligo di informazione previsto dal regolamento 2018/17251. Il SRB ha quindi presentato ricorso per annullamento contro la decisione del GEPD dinanzi al Tribunale dell'Unione europea. Il Tribunale ha accolto parzialmente il ricorso e ha annullato la decisione in questione.
Dati personali e pseudonimizzazione
Il fulcro della sentenza è l'interpretazione dei concetti di „Dati personali” e „Pseudonimizzazione” in conformità con il regolamento UE sulla protezione dei dati. Il regolamento (UE) 2018/1725, che si applica alle istituzioni dell'UE e corrisponde in larga misura al regolamento (UE) 2018/1725. GDPR è definito come Dati personali come „tutte le informazioni relative a una persona fisica identificata o identificabile“. La Corte di giustizia dell’Unione europea sottolinea l’ampio ambito di applicazione di tale nozione: l’espressione „tutte le informazioni“ va intesa alla lettera. Esso comprende potenzialmente tutti i tipi di dati, di natura oggettiva o soggettiva (comprese le espressioni di opinione o le valutazioni), purché vi sia un riferimento a una persona. È determinante il fatto che l’informazione sia collegata a una persona in base al suo contenuto, alla sua finalità o al suo effetto. Nel caso in esame era indiscusso che le dichiarazioni riflettessero le opinioni personali degli autori e costituissero quindi informazioni „su“ tali persone. L’uso di codici al posto dei nomi non modificava, in un primo momento, tale situazione.
Pseudonimizzazione è legalmente definito come Elaborazione dati personali in modo tale che i dati non possano più essere attribuiti a una persona specifica senza l'utilizzo di informazioni aggiuntive, a condizione che tali informazioni aggiuntive siano conservate separatamente e siano soggette a misure tecniche e organizzative che impediscano la reidentificazione. Importante: il Pseudonimizzazione non rientra nella definizione di „dati personali“, ma è una misura tecnica per ridurre il rischio di collegamento personale. Ai sensi del considerando 17 del regolamento 2018/1725 (corrispondente al considerando 28). GDPR) si limita a minimizzare i rischi per le persone colpite e a sostenere Persone responsabili nonché i responsabili del trattamento presso l'Autorità per la protezione dei datiConformità. Finché l’identificazione sia teoricamente possibile, almeno con informazioni aggiuntive, i dati pseudonimizzati rimangono Dati personali.
Suggerimento di lettura: Anonimizzazione dei dati personali – una guida pratica
Il riferimento personale relativo è decisivo
La Corte di giustizia dell’Unione europea chiarisce che i dati pseudonimizzati non devono essere considerati automaticamente „anonimi“. È determinante la presenza di informazioni aggiuntive che consentano l’identificazione. Se tali informazioni sono disponibili da qualche parte (ad esempio in un elenco di chiavi presso il titolare del trattamento), la loro stessa esistenza contraddice l’ipotesi secondo cui i dati pseudonimizzati sarebbero completamente anonimi e non rientrerebbero nell’ambito di applicazione della normativa sulla protezione dei dati. Anonimizzazione richiede piuttosto che il colpiti persona non è o non è più identificabile. Con Pseudonimizzazione D'altra parte, si presume che esistano dati di identificazione memorizzati separatamente.
Tuttavia, la Corte di giustizia dell’Unione europea introduce un riferimento relativo alla persona: occorre distinguere per chi i dati siano (ancora) personali. Il punto di partenza è la prospettiva del titolare del trattamento: l’SRB, in quanto soggetto che Pseudonimizzazione disponeva comunque di tutte le informazioni aggiuntive (chiavi) necessarie per ricondurre i dati del codice a persone specifiche. Per l’SRB, quindi, le dichiarazioni sono rimaste, nonostante Pseudonimizzazione Dati personali.
La Corte di giustizia dell’Unione europea precisa che i dati efficacemente pseudonimizzati non sono, in linea di principio, dati personali per un destinatario che non disponga di ulteriori informazioni. In altre parole: secondo Deloitte, i set di dati forniti costituivano, in definitiva, informazioni anonime, poiché mancavano nomi o identificatori diretti e Deloitte non aveva alcuna possibilità di associare i codici a persone reali. Secondo la Corte di giustizia dell’Unione europea, tuttavia, ciò presuppone due condizioni:
- Il destinatario non deve essere in grado, né dal punto di vista tecnico né da quello organizzativo, di annullare o eludere le misure di pseudonimizzazione adottate, e
- le misure devono effettivamente impedire l'identificazione con altri mezzi disponibili. Anche attraverso il confronto con dati esterni, la colpiti persona non deve essere (o non deve più essere) identificabile dal destinatario. Solo a queste condizioni rigorose i dati pseudonimizzati sono di fatto anonimi per il destinatario.
In caso di pseudonimizzazione, occorre valutare ogni singolo caso
Con questa visione differenziata, la CGUE conferma anche il principio del considerando 16, frase 5 GDPR (o Regolamento 2018/1725): I principi di protezione dei dati non si applicano alle informazioni anonime, ossia ai dati che non si riferiscono (o non si riferiscono più) a una persona identificata o identificabile. Ciò significa che non appena un insieme di dati è stato elaborato in modo tale da non consentire l'identificazione di una persona coinvolta, si tratta di dati anonimi che non rientrano nell'ambito di applicazione dei principi di protezione dei dati. GDPR caduta.
La Corte di giustizia dell’Unione europea sottolinea tuttavia che occorre verificare con precisione, caso per caso, se effettivamente non sussista alcuna possibilità di identificazione. A tal fine occorre tenere conto di tutti i fattori oggettivi: in particolare, le tecnologie disponibili, il tempo e i costi necessari per un’eventuale reidentificazione e se sia giuridicamente o praticamente possibile un incrocio con altri dati. Se il rischio di identificazione è di fatto irrilevante (ad esempio a causa di divieti giuridici o di un onere sproporzionato), vi sono validi motivi per ritenere che le informazioni siano da considerarsi anonime.
Nel complesso, la sentenza sottolinea il fatto che Pseudonimizzazione non costituisce un’autorizzazione a sottrarre i dati alla normativa sulla protezione dei dati. Tuttavia, a determinate condizioni, può comportare che un terzo non sia soggetto alla normativa sulla protezione dei dati in relazione ai dati ricevuti.
Obbligo di fornire informazioni al momento della raccolta dei dati
Per le aziende, sia che si tratti di Persone responsabili o responsabile del trattamento, questa sentenza ha importanti conseguenze pratiche. Innanzitutto, la Corte di giustizia dell’Unione europea conferma in modo inequivocabile che i dati pseudonimizzati continuano a essere considerati Dati personali devono essere trattati fintanto che il Persone responsabili (o qualcun altro) possa risalire a una persona grazie a informazioni aggiuntive. In particolare, è possibile Persone responsabili non eludere i propri obblighi pseudonimizzando i dati e trasferendoli a terzi. Terza parte trasmissione. Gli obblighi previsti dalla legge sulla protezione dei dati continuano ad applicarsi integralmente dal punto di vista del responsabile del trattamento originario.
In questo caso, ciò significa che la SRB non ha adempiuto ai suoi obblighi nella raccolta dei dati degli azionisti. Obbligo di informazione ai sensi dell'art. 15 del Regolamento 2018/1725 (o dell'art. 13 del Regolamento 2018/1725). GDPR). Compreso l'obbligo di informare gli interessati di tutti i destinatari previsti. Il fatto che i dati siano stati successivamente pseudonimizzati nei confronti di Deloitte è irrilevante.
La Corte di giustizia dell’Unione europea chiarisce che l’obbligo di informazione di cui all’art. 15, par. 1, lett. d) del regolamento 2018/1725 sussiste nel rapporto tra il titolare del trattamento e l’interessato e deve essere adempiuto già al momento della raccolta dei dati. Dal punto di vista dell’SRB, i partecipanti erano identificabili (dato che egli stesso disponeva di tutte le informazioni identificative), quindi si trattava di dati personali, e di conseguenza avrebbe dovuto indicare Deloitte come destinatario. La successiva non identificabilità dal punto di vista di Deloitte è irrilevante ai fini della tempestività dell’informazione.
Raccomandazioni operative per la pratica
Le aziende devono Pseudonimizzazione Si prega di notare i seguenti punti:
- Trasparenza tramite ricevitore: Informare Parti interessate al momento della raccolta dei dati su tutti i destinatari previsti dei loro dati (art. 13, par. 1, lett. e)). GDPR). Ciò vale anche se il trasferimento deve avvenire in forma pseudonimizzata. Non nominare un destinatario è considerato Violazione difficile, anche se il destinatario non può identificare le persone. Se al momento della raccolta non è ancora chiaro quali saranno i destinatari terzi coinvolti, è necessario specificare almeno le categorie di possibili destinatari. Se i dati vengono inviati pseudonimizzati solo successivamente a Terza parte si deve esaminare se le successive informazioni degli interessati ai sensi dell'art. 14 GDPR è necessario.
- Anonimizzazione vs. Pseudonimizzazione: Finché qualcuno sia in grado di reidentificare delle persone tramite dati aggiuntivi o con uno sforzo ragionevole, i dati rimangono personali. Completi Anonimizzazione è tecnicamente impegnativo. Tuttavia, se riesce, si evitano le GDPR-Obblighi. Approfittate di Pseudonimizzazione come misura di protezione, ma continuate a trattare i dati pseudonimizzati con il livello di protezione dei dati richiesto.
- Misure tecniche/organizzative efficaci: Separate le chiavi di identificazione dai record di dati propriamente detti e limitate l'accesso alle stesse. Verificate l'efficacia delle misure adottate: è possibile, ad esempio, identificare singole persone sulla base di caratteristiche specifiche presenti nel set di dati?
- Redazione di contratti con i fornitori di servizi: Se ricorrete a un responsabile del trattamento e gli trasmettete dati pseudonimizzati, assicuratevi nel contratto di incarico che questi tratti i dati solo secondo le vostre istruzioni e non tenti in alcun modo di identificare le persone. Sebbene il fornitore di servizi non sia di norma in grado, di per sé, di effettuare identificazioni senza ulteriori informazioni, è comunque opportuno inserire esplicitamente un divieto di reidentificazione. Elencate inoltre tutti i subappaltatori che ricevono i dati pseudonimizzati e verificate le misure da essi adottate.
- Documentazione e capacità di fornire informazioni: Tenete un registro dei soggetti a cui fornite dati pseudonimizzati. Anche se tali dati risultano anonimi per il destinatario, in qualità di titolare del trattamento dovete essere in grado di fornire informazioni agli interessati su quali soggetti abbiano ricevuto i dati (in qualsiasi forma).
Aristotelis Zervos è direttore editoriale di 2B Advice, avvocato e giornalista esperto di protezione dei dati, GDPR, IT-Conformità e la governance dell'IA. Pubblica regolarmente articoli approfonditi sulla regolamentazione dell'IA, GDPR-Conformità e la gestione dei rischi. Per saperne di più su di lui, visitate il suo Pagina del profilo dell'autore.
German 
English 
Italian 
French