L’8 luglio 2026, nel corso della propria plenaria, il Comitato europeo per la protezione dei dati (EDPB) ha adottato le linee guida sull’anonimizzazione e le linee guida sul web scraping nel contesto dell’intelligenza artificiale generativa, insieme alla versione finale delle linee guida sul trattamento di dati personali mediante tecnologie blockchain. I due nuovi documenti si presentano come testi distinti, ma governano i due estremi dello stesso ciclo di vita: il momento in cui il dato entra nel modello, raccolto in massa dal web, e il momento in cui pretende di uscirne, perché non più riferibile ad alcuno. La domanda che li tiene insieme è una sola, ed è la più difficile del diritto della protezione dei dati: quando un’informazione smette di essere un dato personale, e chi ha il potere di deciderlo.
Il dato anonimo non è una qualità dell’informazione, è una relazione
La definizione posta a fondamento delle linee guida sull’anonimizzazione è tanto semplice quanto impegnativa: un dato è anonimo se non si riferisce a una persona fisica identificata o identificabile, e se ciò accada può variare da un soggetto all’altro. La qualificazione non è impressa nel dato come una proprietà chimica, ma nasce dalla relazione tra quell’informazione e chi la detiene, con i mezzi di cui dispone.
Un’informazione può riferirsi a una persona per il proprio contenuto, per la propria finalità o per il proprio effetto, e il collegamento, avverte il Comitato, può non essere immediatamente evidente e richiedere un’analisi ulteriore. Una persona è identificata o identificabile quando può essere distinta dalle altre in un contesto specifico, mediante mezzi ragionevolmente utilizzabili, in modo tale da poter essere trattata in modo differente; se quei mezzi siano ragionevolmente utilizzabili dipende dalla prospettiva del soggetto rilevante e va accertato alla luce di tutti i fattori oggettivi. Le linee guida recepiscono su questo punto la sentenza della Corte di giustizia dell’Unione europea nella causa C-413/23 P, EDPS contro SRB, del 4 settembre 2025, oltre al resto della giurisprudenza della Corte.
Chi ha seguito la discussione sulla nuova definizione di dato personale proposta dal Digital Omnibus riconoscerà immediatamente la posta in gioco: spostare anche di poco la soglia dell’identificabilità significa spostare il confine di applicazione del GDPR e, con esso, l’ampiezza dei diritti riconosciuti agli interessati.
Tre criteri e due strade che non portano allo stesso punto
Sul piano operativo l’EDPB propone un quadro fondato su tre criteri: assenza di isolamento del singolo record, assenza di collegabilità e assenza di inferenza. Se tutti e tre risultano soddisfatti, il dato può essere considerato con sicurezza anonimo; se anche uno soltanto non è soddisfatto, occorre un’analisi ulteriore prima di concludere che l’anonimizzazione sia riuscita.
La parte più interessante riguarda però il modo di applicare quel quadro, perché il Comitato ammette due approcci. Il primo, definito contestuale, valuta le differenze di capacità tra i diversi soggetti che potrebbero identificare la persona e riflette la piena sfumatura dello standard giuridico dell’anonimizzazione. Il secondo, definito semplificato, rinuncia a considerare quelle differenze: è più comodo e offre maggiore fiducia sul risultato, ma può spingersi oltre lo standard legale, portando il titolare a trattare come non anonimi dati che, per taluni soggetti rilevanti, anonimi in realtà sarebbero.
Il riconoscimento è notevole, perché ammette apertamente che sullo stesso identico insieme di dati due titolari diligenti possano giungere a conclusioni divergenti, entrambe difendibili. La conseguenza pratica è che la scelta dell’approccio diventa essa stessa una decisione di conformità, da motivare e da documentare, esattamente come accade per le valutazioni che confluiscono nel template di valutazione d’impatto elaborato dallo stesso EDPB.
Lo scraping: nessuna zona franca all’ingresso del modello
Se l’anonimizzazione governa l’uscita, il web scraping governa l’ingresso. Il Comitato lo descrive come un processo automatizzato di estrazione di dati su larga scala, che spesso si svolge senza che le persone ne siano consapevoli e che può porre rischi significativi per la protezione dei loro dati personali. La premessa è netta: il GDPR si applica al web scraping quando questo comprende operazioni di trattamento di dati personali, quali la raccolta, la conservazione, l’organizzazione e il recupero.
Da qui discendono indicazioni concrete. Attenzione particolare va riservata al principio di limitazione della finalità e a quello di trasparenza, fermo restando che, a seconda di come il trattamento è concretamente progettato, il titolare potrebbe non essere tenuto a informare individualmente le persone qualora ciò risulti impossibile o richieda uno sforzo sproporzionato. Sul versante dell’esattezza, l’EDPB raccomanda di raccogliere dati soltanto da fonti affidabili, di registrare il momento della raccolta e di validare i dati prima di impiegarli nell’addestramento, e suggerisce misure ulteriori per il rispetto della minimizzazione. Quanto al legittimo interesse, le linee guida non ripartono da zero: muovono dall’Opinion 28/2024 sui modelli di intelligenza artificiale e ne calano i criteri nel contesto specifico dello scraping per l’addestramento, con chiarimenti ed esempi.
Le categorie particolari e il limite del ragionamento in GC e altri
Il passaggio destinato a far discutere è quello sulle categorie particolari di dati. Il loro trattamento è in linea di principio vietato: se lo scraping le coinvolge, occorrono tanto una base giuridica ai sensi dell’articolo 6 quanto un’eccezione ai sensi dell’articolo 9, paragrafo 2, del GDPR. Il Comitato riconosce che il ragionamento svolto dalla Corte di giustizia in GC e altri, causa C-136/17, può risultare rilevante per la raccolta incidentale o residuale di dati appartenenti a categorie particolari, a condizione che il titolare agisca “nel quadro delle proprie responsabilità, poteri e capacità” e adotti misure tecniche e organizzative adeguate a impedire la raccolta e la diffusione di tali dati.
La porta, tuttavia, resta socchiusa e non spalancata: non esiste alcuna esenzione generale dagli obblighi dell’articolo 9, e ciascun caso va valutato singolarmente per stabilire se il ragionamento della Corte sia davvero applicabile. È una posizione che nega alla radice l’argomento, ricorrente tra gli sviluppatori, secondo cui l’inevitabilità statistica della raccolta di dati sensibili in un corpus di miliardi di pagine ne renderebbe di per sé tollerabile il trattamento. Chi ha già affrontato il tema in settori nei quali le categorie particolari sono la regola e non l’eccezione, come l’uso secondario dei dati sanitari nello Spazio europeo dei dati sanitari, sa quanto sia stretto quel passaggio.
Il filo che unisce i due documenti, e cosa resta aperto fino al 30 ottobre
Letti in sequenza, i due testi raccontano la stessa scelta di fondo. Il perimetro del GDPR non è tracciato da una proprietà oggettiva del dato, ma da un giudizio relazionale e contestuale che il titolare deve compiere: all’ingresso, quando decide da quali fonti attingere, quali dati escludere e su quale base giuridica fondarsi; all’uscita, quando decide se il risultato del proprio processo di anonimizzazione regga i tre criteri e secondo quale dei due approcci vada misurato. In entrambi i casi la decisione spetta in prima battuta a chi tratta i dati, e in entrambi i casi il prezzo di questa autonomia è l’onere di dimostrare la correttezza del giudizio davanti a un’autorità di controllo che potrà ricostruirlo a posteriori.
Nella stessa plenaria l’EDPB ha adottato la versione finale delle linee guida sulle tecnologie blockchain, accompagnata dal rapporto sull’esito della consultazione pubblica e da una versione con le modifiche tracciate. Le linee guida sull’anonimizzazione e quelle sul web scraping restano invece in consultazione pubblica fino al 30 ottobre 2026: il testo che leggiamo oggi non è ancora quello definitivo, e il margine per intervenire sugli aspetti più controversi resta aperto.
In ragione di quanto precede, ci si chiede se un sistema che affida al titolare la scelta tra un approccio contestuale e uno semplificato, e che gli domanda al tempo stesso di stabilire caso per caso quando la raccolta di dati sensibili sia davvero incidentale, non finisca per trasferire sugli operatori il costo di una definizione che il legislatore non ha voluto fissare, e se le imprese europee siano oggi attrezzate per sostenerlo.
