I dati pseudonimizzati sono sempre dati personali. È quanto affermano le Linee guida sulla pseudonimizzazione adottate nel corso dell'ultima plenaria del Comitato europeo per la protezione dei dati (EDPB), alla cui stesura ha partecipato il Garante privacy in qualità di co-rapporteur.
Le Linee guida sono ora disponibili in consultazione pubblica fino al 28 febbraio, al termine della quale verranno adottate in versione definitiva.
In base alla definizione fornita dal GDPR, la pseudonimizzazione è una misura che permette di non attribuire i dati personali a uno specifico interessato senza l'utilizzo di informazioni aggiuntive, a condizione che tali informazioni aggiuntive siano conservate separatamente e soggette a misure di sicurezza tecniche e organizzative.
L'EDPB chiarisce che i dati pseudonimizzati sono sempre dati personali, anche se le informazioni necessarie per identificare una persona sono tenute separate. Infatti, se i dati possono essere ricondotti a persone fisiche dal titolare del trattamento o da altri, rimangono dati personali e sono dunque soggetti agli obblighi dettati dal GDPR.
Le linee guida indicano inoltre ambito e vantaggi della pseudonimizzazione: si tratta di una misura di riduzione del rischio e di efficace applicazione dei principi della protezione dei dati secondo il paradigma della privacy by design.
Il documento del Board, inoltre, esamina le misure tecniche e le salvaguardie, nell'utilizzo della pseudonimizzazione, per assicurare la confidenzialità delle informazioni ed evitare l'identificazione non autorizzata degli interessati. La pseudonimizzazione – evidenzia ancora il Comitato europeo – facilita l'utilizzo del legittimo interesse come base giuridica per il trattamento, a condizione che siano soddisfatti tutti gli altri requisiti del GDPR e la verifica della compatibilità con la finalità originaria di un ulteriore trattamento
