Il Comitato europeo per la protezione dei dati ha pubblicato a luglio 2026 le nuove Guidelines 02/2026 sull’anonimizzazione, aprendo una consultazione pubblica che resterà disponibile fino al 30 ottobre 2026. Il punto più rilevante è il cambio di prospettiva: un dataset può essere considerato anonimo per un soggetto e non anonimo per un altro, in base ai mezzi ragionevolmente disponibili per reidentificare le persone.

La novità aggiorna in modo significativo il riferimento europeo fermo dal 2014 e recepisce anche l’evoluzione della giurisprudenza UE sul tema dell’identificabilità. Per imprese, titolari del trattamento e team che sviluppano modelli di intelligenza artificiale, questo significa che la verifica dell’anonimizzazione non può più essere trattata come un’etichetta assoluta applicata una volta per tutte, ma come una valutazione legata al contesto operativo, ai soggetti coinvolti e alle capacità tecniche effettivamente disponibili.

Impatto pratico su governance e compliance

Le linee guida propongono un framework che considera tre criteri principali: assenza di isolamento del record, assenza di collegamento e assenza di inferenza. Se uno di questi elementi non è soddisfatto, può essere necessario un approfondimento ulteriore per stabilire se il dato esca davvero dal perimetro del GDPR.

Per le organizzazioni, l’effetto operativo è duplice. Da un lato cresce l’esigenza di documentare meglio le scelte di anonimizzazione e i limiti delle tecniche adottate; dall’altro aumenta il peso della governance, soprattutto nei progetti che combinano condivisione dei dati, analytics avanzate e AI generativa. Anche se il testo è ancora in consultazione e potrà essere modificato, il messaggio regolatorio è già chiaro: la valutazione del rischio di reidentificazione dovrà essere più concreta, tracciabile e dipendente dal contesto d’uso.