Definizione di dato personale: cosa hanno cambiato davvero Breyer ed EDPS v SRB

Lo stesso file può essere dato personale per il titolare e non per il suo responsabile del trattamento

La Corte di Giustizia lo ha affermato nel 2016 e confermato nel 2025. La maggior parte delle mappe dei dati, dei contratti con i responsabili del trattamento e delle dichiarazioni di anonimizzazione è stata costruita sull'assunzione opposta. Ecco cosa stabilisce effettivamente la giurisprudenza e cosa implica per il vostro perimetro.

Indice

1. Cosa richiede effettivamente l'articolo 4(1) del GDPR?
2. Cosa ha deciso la CGUE nel caso Breyer, C-582/14?
3. Breyer significa forse che chiunque può identificare, e quindi tutto è dato personale?
4. Cosa è cambiato tra il 2016 e il 2025?
5. Cosa ha definito EDPS v SRB, C-413/23 P, nel settembre 2025?
6. I dati pseudonimizzati sono sempre dati personali?
7. Perché il Digital Omnibus rende la giurisprudenza più importante, non meno
8. Cosa cambia nel vostro registro delle attività di trattamento?
9. È ancora necessario un DPA con un responsabile del trattamento che non può identificare nessuno?
10. Gli indirizzi IP e i log di sicurezza sono dati personali?
11. Il test in quattro domande da applicare a ogni flusso di dati
12. Perché difendo un perimetro più ristretto pur argomentando per uno più ampio
13. Questioni ancora aperte

I punti essenziali

• Il dato personale non è una proprietà di un dataset. È una proprietà della relazione tra un dataset e chi lo detiene. La CGUE lo ha confermato esplicitamente in EDPS v SRB (C-413/23 P, 4 settembre 2025). Un dato sufficientemente pseudonimizzato può essere dato personale per il titolare del trattamento che lo ha originato e dato non personale per un destinatario che non può invertire la pseudonimizzazione. Stessi byte, due detentori, due status giuridici.
• Breyer (C-582/14, 19 ottobre 2016) non dice quello che la maggior parte delle persone pensa. Non stabilisce che l'identificazione da parte di chiunque, ovunque, renda il dato personale. Stabilisce che il tassello mancante può trovarsi presso una terza parte, a condizione che si disponga di un mezzo "ragionevolmente suscettibile di essere utilizzato" per raggiungerlo. La Corte ha espressamente escluso l'identificazione vietata dalla legge o che richiede uno sforzo sproporzionato in termini di tempo, costi e risorse.
• In Breyer, ciò che ha fatto pendere la bilancia è stato un percorso concreto e lecito. L'operatore del sito registrava gli indirizzi IP proprio per perseguire gli aggressori, e canali legali esistevano per ottenere i dati dell'abbonato dall'ISP. La finalità ha creato il percorso. Il percorso ha determinato il perimetro.
• Questo rompe con un decennio di prassi delle autorità di vigilanza. Le autorità di protezione dei dati trattavano i dati pseudonimizzati come invariabilmente personali. Quella posizione non riflette più la pronuncia della Corte.
• Il legislatore ha tentato di codificare l'approccio relativo ed è fallito. Il Digital Omnibus ha proposto un nuovo paragrafo all'articolo 4(1) nel novembre 2025. L'EDPB e l'EDPS vi si sono opposti con il Parere congiunto 2/2026. Il testo di compromesso del Consiglio del 20 febbraio 2026 lo ha eliminato. La presidenza cipriota ha ritirato il proprio testo dal COREPER II alla fine di giugno 2026 per mancanza di maggioranza qualificata. La giurisprudenza è l'unico standard operativo.

Un'organizzazione che ho sottoposto ad audit l'anno scorso manteneva un'unica voce nel suo registro delle attività di trattamento per l'intero pipeline di telemetria del prodotto. Categoria: dati tecnici. Dati personali: no.

Il pipeline raccoglieva identificatori di dispositivo, token di sessione e indirizzi IP, che venivano inviati a un fornitore di analytics. Il fornitore non poteva identificare nessuno, e questa era la ragione dichiarata del "no".

Due problemi, in direzioni opposte.

Il primo: l'azienda stessa poteva identificare quasi tutte quelle sessioni, perché deteneva il database degli account a cui il token di sessione era associato. Nelle sue mani, quei dati erano palesemente personali. La voce era errata.

Il secondo, e il più interessante: la voce era errata anche riguardo al fornitore, e sbagliata nella direzione opposta. Nessuno aveva mai valutato se quel fornitore potesse risalire a una persona. Nessuno aveva scritto il motivo per cui non poteva. L'azienda era giunta alla conclusione corretta sul fornitore per caso, e non era in grado di difenderla.

Una riga in un foglio di calcolo, due errori, in direzioni opposte. Questo è ciò che accade quando si tratta il "dato personale" come una proprietà del file anziché come una proprietà del detentore.

La Corte di Giustizia ha risolto questa questione. Due volte. Quasi nessuno al di fuori degli specialisti in materia di privacy ha letto nessuna delle due sentenze.

Cosa richiede effettivamente l'articolo 4(1) del GDPR?

Per dato personale si intende qualsiasi informazione riguardante una persona fisica identificata o identificabile.

Tutti si fermano a "identificata". Tutta la difficoltà risiede in "identificabile".

Il considerando 26 fornisce il test. Si dovrebbe tenere conto di tutti i mezzi di cui il titolare del trattamento o un terzo dispone ragionevolmente per identificare la persona fisica direttamente o indirettamente.

Due locuzioni in quella frase fanno tutto il lavoro, e si contrappongono l'una all'altra.

"O un terzo" amplia il perimetro. L'identificazione non deve essere necessariamente qualcosa che si può eseguire da soli.

"Ragionevolmente suscettibili di essere utilizzati" lo restringe di nuovo. La possibilità teorica non è sufficiente.

Ogni sentenza dell'ultimo decennio vede la Corte calibrare il bilanciamento tra queste due locuzioni. Citarne una senza l'altra porta inevitabilmente alla risposta sbagliata, in qualunque direzione faccia comodo.

Cosa ha deciso la CGUE nel caso Breyer, C-582/14?

Patrick Breyer, politico tedesco e attivista per la privacy, aveva visitato siti web gestiti da istituzioni federali tedesche. Quei siti registravano gli indirizzi IP dei visitatori insieme alle pagine consultate, ai termini di ricerca inseriti, ai timestamp e ai volumi di dati. La finalità dichiarata era la difesa da cyberattacchi e la possibilità di procedere penalmente in seguito.

Breyer ha chiesto la cessazione della registrazione. Il caso è giunto al Bundesgerichtshof, che ha rinviato una questione alla Corte di Giustizia.

La questione pregiudiziale è la parte rilevante. L'indirizzo IP di Breyer era dinamico. Cambiava a ogni connessione. Presente da solo in un log di un server web federale, non identificava nessuno. Solo il provider di servizi internet deteneva il record dell'abbonato in grado di collegare quell'indirizzo, in quel momento, a una persona.

La domanda era quindi: un indirizzo IP dinamico è un dato personale nelle mani dell'operatore del sito web, quando l'operatore non può identificare nessuno e una terza parte detiene la metà mancante?

La Corte ha risposto affermativamente, a determinate condizioni.

Ha stabilito che non è necessario che tutte le informazioni che consentono l'identificazione si trovino nelle mani di una sola persona. I dati detenuti da una terza parte possono essere presi in considerazione.

Ma non automaticamente. Il test fissato dalla Corte era se la possibilità di combinare l'indirizzo IP con i dati aggiuntivi dell'ISP costituisse un mezzo ragionevolmente suscettibile di essere utilizzato per identificare la persona.

E ha tracciato il confine esplicitamente. Non sarebbe questo il caso laddove l'identificazione sia vietata dalla legge, o praticamente impossibile perché richiederebbe uno sforzo sproporzionato in termini di tempo, costi e risorse, tale che il rischio di identificazione sia in realtà insignificante.

Ciò che ha fatto pendere la bilancia non è stata un'astrazione. È stato un fatto concreto. Poiché l'operatore registrava i dati precisamente allo scopo di rispondere agli attacchi informatici, esistevano canali legali attraverso i quali poteva rivolgersi all'autorità competente e ottenere i dati dell'abbonato. Il percorso esisteva, era lecito, era utilizzabile. Pertanto l'indirizzo IP era un dato personale nelle mani dell'operatore.

La finalità stessa dell'operatore è ciò che ha costruito il percorso.

Breyer significa forse che chiunque può identificare, e quindi tutto è dato personale?

No. Ed è questa l'interpretazione che ha causato i danni maggiori.

La versione corrente di Breyer recita: l'identificazione non deve essere effettuata da voi, può essere effettuata da chiunque, quindi praticamente tutti i dati sono dati personali.

Questo riduce il test a uno assoluto, e la Corte ha esplicitamente rifiutato questa strada. Breyer è un test relativo con un'estensione a terze parti. L'estensione è reale. Il test rimane relativo, e rimane subordinato sia alla ragionevolezza che alla liceità.

La versione sintetica difendibile:

I tasselli non devono trovarsi nelle stesse mani. Ma è necessario disporre di un mezzo per raggiungere il tassello mancante che sia al contempo ragionevole e lecito.

Questa è una frase molto diversa da "chiunque, ovunque, quindi tutto". Una delle due vi farà escludere da un workshop di definizione del perimetro.

Cosa è cambiato tra il 2016 e il 2025?

Breyer ha lasciato una lacuna. Ha confermato che le informazioni di terze parti rilevano, ma non ha risolto cosa accade quando un detentore specifico non può genuinamente raggiungerle.

Quella lacuna si è colmata lentamente. La Corte ha riaffermato l'ampia portata del requisito del "riguardare" in IAB Europe (C-604/22). Ha riaffermato il confine del rischio insignificante in OC v Commission (2024): i mezzi di identificazione non sono ragionevolmente suscettibili di essere utilizzati laddove l'identificazione sia vietata dalla legge o richieda uno sforzo sproporzionato.

Nel frattempo le autorità di vigilanza hanno mantenuto in pratica una linea molto più rigida. La posizione di lavoro, per anni, è stata che i dati pseudonimizzati sono sempre dati personali, punto. Da qualche parte esiste una chiave, quindi i dati sono personali per chiunque li tratti.

Quella posizione aveva il pregio di essere semplice da applicare. Aveva anche un difetto. Non rifletteva quanto statuito dalla Corte.

Cosa ha definito EDPS v SRB, C-413/23 P, nel settembre 2025?

Banco Popular Español è collassata nel 2017. Il Comitato di risoluzione unico ha dovuto determinare se gli ex azionisti e creditori avessero diritto a un indennizzo. Ha condotto una consultazione sul diritto di essere ascoltati e ha raccolto commenti scritti dagli stakeholder interessati.

Il SRB ha poi inviato quei commenti a Deloitte per attività di valutazione, avendo prima rimosso le informazioni identificative. Deloitte ha ricevuto un dataset pseudonimizzato e non ha mai ricevuto la chiave.

Gli stakeholder hanno presentato reclamo al Garante europeo della protezione dei dati. L'EDPS ha ritenuto che i commenti rimanessero dati personali nelle mani di Deloitte, poiché il SRB conservava la capacità di re-identificare. Deloitte era quindi destinataria di dati personali e il SRB aveva omesso di menzionarla nella propria informativa.

Il Tribunale ha annullato tale decisione nell'aprile 2023 (T-557/20), stabilendo che l'identificabilità deve essere valutata dalla prospettiva del destinatario. L'EDPS ha proposto appello.

Il 4 settembre 2025 la Corte di Giustizia ha annullato la sentenza del Tribunale, affermando nel contempo tre cose distinte che devono essere tenute separate.

Uno. Le opinioni sono dati personali per loro stessa natura. La Corte ha dissentito dal Tribunale sul requisito del "riguardare". Le opinioni e i punti di vista personali, come espressione del pensiero di una persona, sono intrinsecamente legati al loro autore. Non è necessaria alcuna analisi del contenuto, della finalità o dell'effetto. I campi di testo libero, i commenti a sondaggi, i report di incidenti scritti con le parole di qualcuno: questi riguardano il loro autore automaticamente.

Due. "Personale" non è una caratteristica assoluta del dato. Un dato sufficientemente pseudonimizzato può costituire dato personale per il titolare del trattamento che lo ha originato, pur non costituendo dato personale per un destinatario che non può invertire la pseudonimizzazione e non può identificare con nessun altro mezzo ragionevolmente suscettibile di essere utilizzato. Stesso dataset, due detentori, due status. La Corte ha espressamente respinto l'argomento dell'EDPS secondo cui una valutazione relativa avrebbe indebitamente ristretto il concetto e indebolito la tutela.

Tre. La trasparenza è comunque valutata al momento della raccolta, dalla prospettiva del titolare. Il SRB ha comunque perso sul punto che gli importava. Per l'obbligo di informare gli interessati sui destinatari, l'identificabilità viene valutata dalla prospettiva del titolare del trattamento al momento della raccolta. Non è possibile raccogliere dati, tacere su chi si intende inviarli, e poi sostenere a posteriori che la pseudonimizzazione ha reso superflua la comunicazione dei destinatari.

Il terzo punto è quello che le persone saltano quando si entusiasmano per il secondo. Non saltatelo. È quello che vi costerà un rilievo.

I dati pseudonimizzati sono sempre dati personali?

No, e questa è la vera svolta pratica.

Per anni l'assunzione di lavoro è stata: sì, invariabilmente, in qualsiasi coppia di mani. EDPS v SRB è la prima sentenza in cui la Corte ha esplicitamente stabilito il contrario.

La formulazione corretta ha ora tre parti.

Per il titolare che detiene la chiave, i dati pseudonimizzati sono dati personali. La pseudonimizzazione è una misura di sicurezza, non un'uscita dal perimetro.

Per un destinatario che non detiene la chiave e non dispone di nessun altro mezzo ragionevolmente suscettibile di essere utilizzato, gli stessi dati possono ricadere completamente al di fuori della definizione.

L'onere di dimostrare questa seconda proposizione ricade su di voi. Richiede una valutazione scritta che nomini il detentore, i mezzi a sua disposizione e il motivo per cui il rischio residuo di re-identificazione è insignificante.

Se avete costruito la vostra mappa dei dati sul principio "pseudonimizzato equivale a personale, ovunque, sempre", la vostra mappa descrive ora una regola che non esiste più.

Perché il Digital Omnibus rende la giurisprudenza più importante, non meno

Il 19 novembre 2025 la Commissione europea ha pubblicato il Digital Omnibus, il più ampio insieme di modifiche proposte al GDPR dall'entrata in applicazione del regolamento. Tra queste, un nuovo paragrafo all'articolo 4(1) che codifica l'approccio relativo quasi alla lettera: un'informazione non sarebbe personale per un determinato soggetto laddove quel soggetto non possa identificare la persona tenendo conto dei mezzi ragionevolmente suscettibili di essere utilizzati da quel soggetto, e non diventerebbe personale per il solo fatto che un destinatario successivo disponga di tali mezzi.

Non è sopravvissuta.

Il 10 febbraio 2026 l'EDPB e l'EDPS hanno adottato il Parere congiunto 2/2026, esortando i co-legislatori a non adottare le modifiche all'articolo 4(1) come redatte. Le loro motivazioni: la proposta va ben oltre una modifica mirata o tecnica, non riflette accuratamente la giurisprudenza della Corte ed è probabilmente destinata ad aumentare l'incertezza giuridica anziché ridurla.

Il testo di compromesso del Consiglio del 20 febbraio 2026, diffuso dalla presidenza cipriota, ha eliminato interamente la definizione riveduta, insieme alla proposta di ampliamento della definizione di ricerca scientifica e alle modifiche all'articolo 22.

E il fascicolo non si è ancora chiuso. Alla fine di giugno 2026 la presidenza cipriota ha ritirato il proprio testo di compromesso dal processo di approvazione del COREPER II, dopo che era diventato chiaro che non avrebbe potuto ottenere una maggioranza qualificata tra gli Stati membri. La presidenza del Consiglio è passata alla presidenza irlandese il 1° luglio 2026 senza una posizione consolidata. La parte del pacchetto relativa all'IA è stata adottata dal Consiglio il 29 giugno 2026. La parte relativa ai dati, che riguarda GDPR, ePrivacy, NIS2 e DORA, è ancora in negoziazione, con un'adozione finale non realisticamente attesa prima della fine del 2026.

Leggete la sequenza correttamente. Il legislatore ha tentato di mettere per iscritto ciò che la Corte aveva già deciso. Le autorità di regolamentazione gli hanno detto che la formulazione tradiva la giurisprudenza. Ha fatto un passo indietro.

Il che significa che la giurisprudenza è la legge. Breyer più EDPS v SRB è lo standard operativo attuale, e non è in arrivo nessuna scorciatoia normativa che farà l'analisi al posto vostro.

Cosa cambia nel vostro registro delle attività di trattamento?

La maggior parte dei registri delle attività di trattamento contiene una sola colonna: questo trattamento riguarda dati personali, sì o no.

Quella colonna presuppone una proprietà assoluta. Quella proprietà non esiste.

La struttura corretta è per flusso e per attore. Questi sono dati personali per noi. Lo sono per il soggetto a cui li trasmettiamo. Cosa determina specificamente la differenza.

Due conseguenze, in direzioni opposte, ed è per questo che nessuno le coglie entrambe.

Probabilmente siete over-scoped da qualche parte, applicando l'intera macchina del GDPR a dataset che sono genuinamente non personali nelle mani del soggetto che li detiene. Si tratta di costi e attrito senza alcun beneficio protettivo.

Quasi certamente siete under-scoped da qualche altra parte, detenendo qualcosa che avete chiamato anonimo mentre un percorso lecito verso la metà mancante è aperto davanti a voi. Breyer è la sentenza che vi coglie in questa situazione, e coglie i team di sicurezza più spesso di chiunque altro.

È ancora necessario un DPA con un responsabile del trattamento che non può identificare nessuno?

Se un destinatario non può genuinamente identificare nessuno, tenendo conto di tutti i mezzi ragionevolmente suscettibili di essere utilizzati, allora nelle sue mani il dato non è un dato personale e l'articolo 28 non si applica ad esso in quanto tale.

Non sto dicendo di strappare i vostri contratti con i responsabili del trattamento, e voglio essere preciso sul perché.

La valutazione è una fotografia. I dataset vengono arricchiti. Il personale si sposta tra organizzazioni. Un destinatario che oggi non può identificare nessuno potrebbe acquisire i mezzi domani attraverso un'acquisizione non correlata o un acquisto di dati non correlato. Anche gli impegni contrattuali fanno parte di ciò che rende la re-identificazione legalmente impossibile, il che è uno dei criteri stessi della Corte. Rimuovere il contratto potrebbe significare rimuovere proprio il fattore che tiene il dato fuori dal perimetro.

Ciò che sto dicendo è di smettere di firmarli per riflesso condizionato e di essere in grado di indicare, in un paragrafo, perché questo destinatario rientra o meno nel perimetro e cosa cambierebbe la risposta.

Quel paragrafo è l'artefatto che un auditor dovrebbe richiedere. Nella mia esperienza, quasi nessuno lo fa.

Gli indirizzi IP e i log di sicurezza sono dati personali?

È qui che Breyer morde più forte, e dove le funzioni di sicurezza sono più esposte, perché siamo noi a generare quei dati.

Log dei web server. Log VPN e firewall. Telemetria EDR. Identificatori di dispositivo. Arricchimento SIEM. Feed di threat intelligence contenenti indirizzi IP e nomi di account.

Il ragionamento di Breyer si applica direttamente a tutto ciò, e il fattore aggravante è la nostra stessa finalità dichiarata. Conserviamo quei log proprio per poter procedere all'attribuzione quando accade qualcosa. Quella finalità è ciò che stabilisce un percorso lecito verso l'identificazione. Il governo tedesco ha perso Breyer in parte a causa del motivo per cui registrava i dati.

Quindi l'argomento "questi sono solo IP, sono dati tecnici, non sono personali" non regge in un contesto di sicurezza. La vostra stessa finalità lo demolisce.

Questo non significa smettere di raccogliere log. Breyer ha confermato che l'interesse legittimo è disponibile esattamente per questo. Significa raccogliere log con una base giuridica dichiarata, un periodo di conservazione difendibile e un'informativa che rifletta ciò che effettivamente si fa.

Il test in quattro domande da applicare a ogni flusso di dati

Per attore, per flusso. Mai per dataset.

1. Chi lo detiene? Nominate il soggetto specifico. Titolare, responsabile del trattamento, sub-responsabile, destinatario. Se non potete nominarli, non potete valutare.

2. Qual è il tassello mancante e dove si trova? Identificate le informazioni aggiuntive necessarie per collegare il dato a una persona e indicate chi le detiene.

3. Esiste un percorso ragionevole e lecito verso quel tassello? Contratto. Potere legale. Dataset acquistabile. Canale regolatorio o giudiziario. Una chiave detenuta da un'affiliata. Correlazione tecnica ordinaria con altri dati già in vostro possesso. Se esiste un percorso utilizzabile, il dato è personale per quel detentore.

4. In caso contrario, perché il rischio residuo è insignificante? Scrivete il motivo. Divieto legale. Divieto contrattuale. Chiave distrutta o separata con controlli adeguati. Sforzo sproporzionato in termini di tempo, costi e risorse. Poi indicate il fattore che richiederebbe di rieffettuare la valutazione.

Quattro domande. Una pagina per ogni flusso rilevante. Quella pagina è ciò che trasforma una decisione di perimetro da un'abitudine in una posizione che potete difendere la prima volta che un'autorità di vigilanza chiede perché qualcosa si trovi fuori dal vostro perimetro.

Perché difendo un perimetro più ristretto pur argomentando per uno più ampio

C'è un'obiezione ovvia a tutto quanto sopra, e merita una risposta diretta, non una nota a piè di pagina.

L'approccio relativo può essere abusato. Fornisce a ogni organizzazione un argomento per ridurre il proprio perimetro, e l'incentivo a raggiungere quella conclusione è enorme. L'EDPS ha avanzato esattamente questo argomento davanti alla Corte e ha perso. L'EDPB ne ha avanzata una versione contro la redazione del Digital Omnibus e, in quella occasione, ha prevalso.

Ritengo che la preoccupazione sia legittima e che la risposta non sia fingere che la giurisprudenza dica qualcos'altro.

Un test relativo non indebolisce la tutela quando viene applicato onestamente, perché è simmetrico. Restringe il vostro perimetro laddove non potete genuinamente raggiungere una persona. Lo amplia, e questa è la metà che nessuno vuole, ovunque esista un percorso lecito che non vi eravate mai preoccupati di cercare. Applicato correttamente, produce un perimetro più ampio nella telemetria di sicurezza e nei pipeline di arricchimento rispetto a quanto abbia mai fatto il pigro test assoluto.

L'abuso non è l'approccio relativo. L'abuso è applicarne solo metà. Prendere la parte restrittiva senza quella espansiva, rivendicare l'esenzione per il destinatario senza mai redigere la valutazione, e non rivolgere mai la terza domanda ai propri log.

Se utilizzate questo articolo solo per ridurre il vostro ROPA, lo avete utilizzato in modo sbagliato.

Questioni ancora aperte

Tre aspetti da tenere d'occhio.

La parte del Digital Omnibus relativa ai dati è ancora in negoziazione sotto la presidenza irlandese, con un'adozione non attesa prima della fine del 2026 nella migliore delle ipotesi. La revisione dell'articolo 4(1) è fuori dal testo del Consiglio allo stato attuale. Questo può cambiare.

Le Linee guida EDPB 01/2025 sulla pseudonimizzazione sono state redatte prima della sentenza del settembre 2025 e adottano una linea più rigida rispetto a quella della Corte. Il modo in cui il Board riconcilierà le proprie linee guida con EDPS v SRB conterà più per il vostro auditor della sentenza stessa.

E la questione pratica che la sentenza apre senza rispondere: se un responsabile del trattamento è genuinamente fuori perimetro, cosa disciplina il rapporto. Diritto contrattuale e riservatezza, presumibilmente. Ma nessuno ha pubblicato un modello difendibile, e non vorrei essere la prima organizzazione a dover litigare la questione.

Nulla di ciò è un motivo per attendere. Il lavoro di definizione del perimetro è lo stesso in ogni caso, e le quattro domande di cui sopra non dipendono dall'esito del Digital Omnibus.

Andate a esaminare un flusso. Scegliete quello che non avete mai messo in discussione. È quello.

Fonti

• CGUE, Causa C-582/14, Patrick Breyer v Bundesrepublik Deutschland, sentenza del 19 ottobre 2016.
• CGUE, Causa C-413/23 P, EDPS v SRB, sentenza del 4 settembre 2025, che annulla la sentenza del Tribunale T-557/20 del 26 aprile 2023.
• CGUE, Causa C-604/22, IAB Europe.
• CGUE, OC v Commission, 2024, sul rischio di re-identificazione insignificante.
• Parere congiunto EDPB-EDPS 2/2026 sulla proposta di regolamento Digital Omnibus, adottato il 10 febbraio 2026.
• Consiglio dell'Unione europea, testo di compromesso della presidenza cipriota sul Digital Omnibus, 20 febbraio 2026, e ritiro dal processo di approvazione del COREPER II, fine giugno 2026.
• Commissione europea, pacchetto Digital Omnibus, pubblicato il 19 novembre 2025.
• Linee guida EDPB 01/2025 sulla pseudonimizzazione.
• Regolamento (UE) 2018/1725 (EUDPR), sostanzialmente equivalente al GDPR sulla definizione di dato personale e sugli obblighi di trasparenza.

Domande frequenti

Un indirizzo IP è un dato personale ai sensi del GDPR?

Dipende da chi lo detiene. Sulla base di Breyer (C-582/14), un indirizzo IP dinamico è un dato personale per un operatore di sito web laddove quell'operatore disponga di un mezzo ragionevole e lecito per ottenere i dati dell'abbonato dal provider di servizi internet. Laddove tale percorso non esista, potrebbe non esserlo. Per un team di sicurezza che registra indirizzi IP allo scopo di perseguire gli aggressori, il percorso esiste generalmente, perché è la finalità dichiarata a crearlo.

Breyer afferma che un dato è personale se chiunque può identificare la persona?

No. Questa è l'interpretazione errata più diffusa. Breyer conferma che le informazioni aggiuntive che consentono l'identificazione non devono essere detenute dalla stessa persona, ma subordina ciò alla condizione che la combinazione costituisca un mezzo ragionevolmente suscettibile di essere utilizzato. La Corte ha espressamente escluso l'identificazione vietata dalla legge o che richiede uno sforzo sproporzionato in termini di tempo, costi e risorse, tale che il rischio diventi insignificante.

I dati pseudonimizzati sono sempre dati personali?

No, non per ogni detentore. In EDPS v SRB (C-413/23 P, 4 settembre 2025) la Corte di Giustizia ha confermato che un dato sufficientemente pseudonimizzato può essere dato personale per il titolare del trattamento che detiene la chiave, pur non essendo dato personale per un destinatario che non può invertire la pseudonimizzazione e non dispone di nessun altro mezzo di identificazione ragionevolmente suscettibile di essere utilizzato. Per il titolare che detiene la chiave, rimane dato personale.

Lo stesso dataset può essere dato personale per un'organizzazione e non per un'altra?

Sì. È la statuizione diretta di EDPS v SRB. "Personale" non è una caratteristica assoluta del dato. Viene valutata relativamente al soggetto che lo detiene e ai mezzi ragionevolmente suscettibili di essere a sua disposizione.

È ancora necessario un accordo sul trattamento dei dati se il mio responsabile del trattamento non può identificare nessuno?

Laddove il destinatario non possa genuinamente identificare nessuno, l'articolo 28 non si applica a quei dati in quanto tali. In pratica è generalmente opportuno mantenere i controlli contrattuali: la valutazione può cambiare nel tempo, e il divieto contrattuale di re-identificazione è esso stesso uno dei fattori che mantiene il dato fuori dal perimetro. Il cambiamento è che dovreste essere in grado di giustificare la posizione per iscritto, anziché firmare per riflesso condizionato.

Il Digital Omnibus ha modificato la definizione di dato personale?

Non allo stato attuale. La Commissione ha proposto una revisione dell'articolo 4(1) nel novembre 2025. L'EDPB e l'EDPS vi si sono opposti con il Parere congiunto 2/2026 del 10 febbraio 2026, e il testo di compromesso del Consiglio del 20 febbraio 2026 lo ha eliminato interamente. La presidenza cipriota ha ritirato il proprio testo dal COREPER II alla fine di giugno 2026 per mancanza di maggioranza qualificata, e il fascicolo è passato alla presidenza irlandese senza una posizione del Consiglio. La giurisprudenza rimane lo standard operativo.

Come documento una dichiarazione di anonimizzazione che regga a un audit?

Nominate il detentore, identificate le informazioni aggiuntive necessarie per l'identificazione e dove si trovano, indicate se esiste un percorso ragionevole e lecito per raggiungerle e, in caso contrario, spiegate perché il rischio residuo è insignificante utilizzando i criteri stessi della Corte: divieto legale, divieto contrattuale, assenza della chiave, o sforzo sproporzionato in termini di tempo, costi e risorse. Indicate poi il fattore che richiederebbe di rivalutare la situazione. Una dichiarazione di anonimizzazione che non nomina un detentore non è una valutazione.

Questo si applica ai log di sicurezza e ai dati SIEM?

Sì, e con maggiore forza rispetto alla maggior parte delle altre categorie. I log di sicurezza vengono conservati proprio per supportare l'attribuzione, e quella finalità è ciò che stabilisce un percorso lecito verso l'identificazione. Il ragionamento di Breyer si applica direttamente. La risposta corretta non è smettere di raccogliere log, ma indicare una base giuridica, difendere il periodo di conservazione e fare in modo che l'informativa rifletta la realtà.

Christophe Mazzola è il fondatore di Cyber Academy e CISO in attività. Eroga formazione per le certificazioni PECB e ISACA in tutta Europa, tra cui ISO/IEC 27001 Lead Implementer e Lead Auditor, ISO 31000 Lead Risk Manager e ISO/IEC 27701.