La protezione dei dati personali mediante pseudonimizzazione

La Corte di Giustizia dell’Unione Europea, con la sentenza del 4 settembre 2025 nella causa C-413/23, ha ridefinito il trattamento dei dati pseudonimizzati, segnando una svolta per la protezione dei dati personali e per le imprese. La pseudonimizzazione è una tecnica di sicurezza che impedisce di collegare direttamente i dati a una persona senza informazioni aggiuntive. La Corte ha chiarito che i dati pseudonimizzati restano “personali” solo se il destinatario è ragionevolmente in grado di ricollegarli a un individuo, anche tramite incroci con altri dati. In caso contrario, i dati possono essere trattati come anonimi, escludendoli dall’ambito della normativa privacy.

Il caso nasce dalla trasmissione, da parte del Comitato di Risoluzione Unico, di dati pseudonimizzati a una società di consulenza, senza informare azionisti e creditori. Il Garante europeo aveva sanzionato l’omessa informativa, ma la Corte ha stabilito che l’obbligo di informare l’interessato va valutato al momento della raccolta e dal punto di vista del titolare del trattamento, non dell’eventuale destinatario. Resta fermo che anche in caso di dati non più identificabili, il titolare deve fornire l’informativa sul trasferimento a terzi.

Questa pronuncia, per Assonime, come evidenziato nel caso n. 9 del 13 novembre 2025, è significativa in quanto valorizza un'interpretazione del dato pseudonimizzato che tiene conto delle circostanze del caso concreto. A certe condizioni la pseudonimizzazione può produrre gli stessi effetti dell'anonimizzazione, restando fuori dall'ambito di applicazione della normativa in materia di protezione dei dati personali. Per stabilire se il dato pseudonimizzato possa essere considerato dato personale è necessario effettuare un'analisi delle ragionevoli probabilità che i dati pseudonimizzati possano essere associati alla persona cui si riferiscono. Questa valutazione di identificabilità diventa un momento determinante per il trattamento dei dati, in quanto ne può rendere più agevole la circolazione.

La pronuncia si inserisce in un quadro europeo che mira a favorire la circolazione sicura e trasparente dei dati. L’EDPB ha già avviato linee guida sulla pseudonimizzazione, sottolineando la centralità della valutazione del rischio di re-identificazione per tutelare i diritti dell’interessato e garantire una protezione efficace dei dati personali, in linea con lo sviluppo tecnologico e le esigenze delle imprese moderne.