Pseudonimizzazione: i vantaggi per le imprese secondo le Linee Guida dell’EDPB

Anzitutto ​​​​​​è bene chiarire di cosa parliamo quando ci riferiamo alla pseudonimizzazione. Il GDPR, all’articolo 4, paragrafo 5, la definisce come un trattamento di dati personali il cui effetto è quello di impedire l’attribuzione di quei dati ad un soggetto specifico, a meno che non si sia in possesso di informazioni aggiuntive, a condizione che tali informazioni aggiuntive siano conservate separatamente e soggette a misure tecniche e organizzative intese a garantire che tali dati personali non siano attribuiti a una persona fisica identificata o identificabile.

Questo contesto di preclusione dell’attribuzione dei dati all’interessato, definito dalle Linee Guida “dominio di pseudonimizzazione”, non è tuttavia irreversibile (al contrario di quanto avviene nel caso dell’anonimizzazione), motivo per cui il dato pseudonimizzato (o pseudonimo) resta a pieno titolo nel perimetro di applicazione del GDPR.

Ma vediamo quali possono essere i vantaggi legati al corretto uso di questa tecnica, secondo il Comitato Europeo.

La pseudonimizzazione, quando effettuata in modo efficace, può essere innanzitutto un buon alleato nel ridurre i rischi legati alla violazione della riservatezza dei dati, in particolare nei seguenti modi:

Inoltre, l’utilizzo di tecniche di pseudonimizzazione può calmierare i rischi legati alla scarsa accuratezza dei dati, riducendo gli impatti in caso di erronea attribuzione dei dati ad altri soggetti.

È evidente, dunque, che l’utilizzo di questo strumento (se oculatamente supportato da professionisti del settore tecnico e legale e da una preliminare valutazione dei rischi legati al trattamento effettuato) possa costituire una vera e propria misura di sicurezza, in grado di ridurre il rischio di violazione dei dati (c.d. data breach) e, di conseguenza, il possibile rischio sanzionatorio privacy.

Ma quali sono le valutazioni preliminari che un titolare del trattamento deve operare prima di procedere con l’implementazione della pseudonimizzazione?

Secondo l’EDPB, sarà necessario determinare innanzitutto gli obiettivi che si intendono raggiungere con questa misura per definire il dominio di pseudonimizzazione (termine con il quale ci si riferisce, lo ricordiamo, al perimetro di preclusione dell’attribuzione dei dati) e decidere quali insiemi di dati devono esserne inclusi. 

Dovranno essere inoltre effettuate una serie di valutazioni di stampo tecnico e legale, aventi ad oggetto sia i presidi tecnici da implementare, sia il rischio intrinseco connesso ai trattamenti effettuati.

In conclusione, le Linee Guida dell'EDPB sulla pseudonimizzazione offrono alle imprese una chiara roadmap per implementare questa misura di protezione dei dati in modo efficace, per le imprese (di tutti i settori merceologici) che abbiano a cuore la privacy e che intendano sviluppare internamente una robusta tutela dei dati personali.​