La sottile linea rossa che divide i dati personali e quelli anonimi
Mentre il mondo della data economy è in apprensione tra crisi delle regole internazionali ed europee sui dati e l’AI e terremoti che interessano il mondo delle authorities in Italia, una recente sentenza della Corte di Giustizia dell’Unione europea potrebbe aver segnato una svolta, in positivo, per cittadini ed operatori.
Si tratta della decisione nella causa C 413/23-P dello scorso 4 settembre, con la quale i giudici europei hanno aperto le porte a una nuova interpretazione del concetto di dato personale. Gli impatti più importanti di questa sentenza, però, riguardano le aziende.
Il principio affermato dalla Corte è semplice e rilevante: i dati pseudonimizzati possono essere dati personali per chi li ha raccolti, ma qualificarsi come dati anonimi per altri soggetti che li ricevono, tenendo conto delle circostanze del caso concreto e dell’effettiva possibilità di re-identificazione.
La portata di questo passaggio può essere apprezzata solo ricordando che la normativa europea in materia di circolazione e protezione dei dati personali trova applicazione soltanto in presenza di dati personali, non invece in caso di dati anonimi. In altri termini, diventa ora rilevante la prospettiva da cui si osservano le cose.
La linea di confine tra dato personale e dato anonimo non è così più scolpita nella pietra, ma è il risultato di una valutazione pragmatica e operativa. E questo è un bene, infatti, un’interpretazione di questo tipo, meno assolutistica e rigida e più relativistica ed elastica, era attesa da tempo.
Ora è stata finalmente messa nero su bianco dalla Corte, e le autorità data protection dovranno tenerne conto da oggi in avanti. Gli scenari che si prospettano sono effettivamente numerosi e rilevanti. Di questa nuova lettura del dato normativo potrà sicuramente beneficiare la ricerca scientifica, ma anche lo sviluppo di algoritmi di intelligenza artificiale da parte di aziende e soggetti pubblici potrebbe trovare un’inedita via di conformità alla normativa data protection.
Più in generale, sarà possibile disporre di una nuova chiave per superare molte delle situazioni di incertezza che spesso hanno rallentato o reso più incerti interi processi di business. Ecco, dunque, che per tante aziende italiane ed europee si apre una nuova stagione di compliance.
Una compliance non più solo “passiva” – la necessaria aderenza ai dettami della legge – ma che ora si fa anche “attiva”, come strumento in grado di generare valore aggiunto ed esternalità positive.
Per farlo serve partire dalle basi, e dunque da una mappatura di tutti i flussi di dati personali che coinvolgono la propria organizzazione, dedicando particolare attenzione a quelli sottoposti a processi di pseudonimizzazione.
Occorrono poi strategia e lungimiranza. Serve progettare, attivare e rinnovare i programmi di governance interna dei dati, che oggi devono integrare anche le nuove tecnologie di intelligenza artificiale, affidandosi ove necessario anche a consulenti legali, etici e tecnologici esperti e preparati.
In questa prospettiva, il ruolo del Data Protection Officer sarà ancora più centrale, proprio in virtù del mandato che la legge gli affida, e cioè fungere da funzione non solo di controllo, ma anche di consulenza.
E allora questa sentenza ci dimostra anche un altro importante fatto. Per aprire la strada a una nuova stagione di innovazione e progresso non è stato necessario abrogare o semplificare alcuna legge.
Al contrario, è stato sufficiente guardare al testo di legge – e in particolare al Regolamento Generale sulla Protezione dei Dati (Gdpr) – con occhi nuovi. Quelli del tempo che cambia, e quindi della necessità di ragionevolezza e bilanciamento.
È questo l’ennesimo e chiaro segnale che le regole europee sulla data economy e il digitale sono in grado di evolvere senza necessità di strappi. Ed è proprio affidandosi a questa capacità di adattamento resiliente ed evolutivo delle regole che le imprese potranno raggiungere due obiettivi solo apparentemente opposti: la protezione dei diritti e delle libertà fondamentali e il progresso economico e tecnologico.
di Rocco Panetta (Il Sole 24 Ore)
