Quando è utile applicare un criterio di pseudonimizzazione dei dati e quando non è necessario, ma soprattutto che cos’è la pseudonimizzazione dei dati personali?
Iniziando con una definizione tecnica, ma molto chiara, la pseudonimizzazione consiste nel trattamento di dati personali in modo che questi non risultino attribuibili a una persona fisica senza la presenza di informazioni aggiuntive. In altre parole, si tratta di “dati anonimi”.
Pseudonimizzazione dei dati personali: la differenza tra pseudonimizzazione e anonimizzazione
Il riferimento appena fatto (ai dati anonimi), però, non deve portare fuori strada, perché non si tratta di dati anonimi nel senso stretto della parola. La differenza tra pseudonimizzazione e anonimizzazione del dato risiede nel fatto che il dato anonimo non può essere in alcun modo riconducibile ad una persona, invece il dato pseudonimizzato può ancora essere attribuito a un soggetto.
Un esempio: prendiamo il caso banalissimo di un foglio nel quale siano riportate informazioni personali come il nome, cognome, età, peso, altezza e allergie di un soggetto. Nel caso dovessi cancellare in modo definitivo il nome e cognome, il resto dei miei dati saranno anonimi; come sarebbe possibile, d’altronde, ricollegarli a una persona di cui sono state cancellate in modo indelebile le generalità.
Diverso, invece, sarebbe il caso in cui questi dati dovessero essere separati in due fogli. Se un foglio riportasse l’indicazione di nome e cognome + un numero di riconoscimento (es. 123456) e l’altro foglio riportasse gli altri dati, ma con lo stesso numero di riconoscimento, eccoli là: i dati saranno pseudonimizzati, proprio perché sarà - anche solo potenzialmente - possibile riconoscere a quale persona collegare i dati restanti.
Pseudonimizzazione dei dati personali: cosa prevede il GDPR e quando attuarla
Il Regolamento EU all’Art. 32 dedicato alla sicurezza del trattamento dei dati personali, prevede che il titolare del trattamento debba mettere in atto misure tecniche e organizzative volte a garantire un livello di sicurezza adeguato al rischio. Nell’articolo in questione, al primo posto è prevista proprio la pseudonimizzazione dei dati personali; di conseguenza il titolare del trattamento, nello stabilire le misure tecniche e organizzative da attuare, dovrà prendere in considerazione anche la pseudonimizzazione.
Ma il succo della questione è: quando devo attuare la pseudonimizzazione dei dati personali? La risposta non è semplice (come sempre!).
Anzitutto, il titolare del trattamento dovrà avere ben chiaro quali dati andrà a trattare e come questi verranno trattati (in formato elettronico o cartaceo, tramite responsabili esterni o solo autorizzati interni, in uffici privati o in luoghi aperti al pubblico, con archivi cartacei in luoghi facilmente accessibili o non accessibili, e così via). Una volta appurate le modalità, il titolare dovrà procedere a una valutazione del rischio di violazione dei dati, che al suo interno comprende anche l’impatto che questi possono avere sugli interessati.
Con tutte queste informazioni, sempre il titolare (magari anche coadiuvato da consulenti privacy esterni, come nel caso di un consulente Nimble) dovrà stabilire se questa misura di sicurezza sia necessaria o meno (allarme spoiler! Se trattate molti dati particolari la pseudonimizzazione è il minimo indispensabile).
In modo un po’ sintetico, si può dire che se i dati trattati sono dati particolari o giudiziari (leggi anche: Tipologie di dati: personali, particolari, giudiziari e biometrici), soprattutto se trattati in quantità molto elevate, la pseudonimizzazione sarebbe la misura di sicurezza minima da attuare.
In ogni caso, però, anche se non vengono trattati dati particolari ma dati che, se violati, possono provocare forti disagi agli interessati, è sempre cosa buona è giusta attuare la pseudonomizzazione, che comunque non richiede necessariamente un esborso economico, ma può essere attuata in modi molto semplici. Un esempio? Tramite l’attribuzione di un numero progressivo ai clienti o utenti in modo che le diverse aree di lavoro (che trattano i dati) abbiano a disposizione solamente le informazioni necessarie a svolgere il loro lavoro.
Anche in questo caso un esempio potrebbe semplificare la questione.
Si prenda il caso di un laboratorio di analisi che potrebbe facilmente attribuire un numero progressivo ai clienti (o pazienti): in questo modo, chi prende l’anagrafica non potrà conoscere dei risultati dell’esame e chi, invece, proceda alle analisi non potrà conoscere il nome e cognome del paziente. In questo modo, in caso di data breach, il “ladro” avrebbe conoscenza solo di una o dell’altra informazione, ma non di entrambe.
Ovviamente la pseudonimizzazione da sola non è sufficiente, ma sono necessarie altre misure di sicurezza. Sfoglia le pagine del nostro blog per avere una visione più ampia delle misure di sicurezza (e non solo) che possono essere utili per te e per la tua azienda.
I punti a cui adempiere sono tanti, non sempre di facile comprensione. Per questo è cosa buona e giusta affidarsi ai consulenti esperti. Attraverso la presenza costante e il monitoraggio delle attività, il professionista ha la tranquillità che tutti i punti della normativa siano presidiati e che la conformità sia mantenuta nel corso del tempo.
