La sentenza della Corte di Giustizia dell'Unione Europea del 4 settembre 2025 ha invalidato la pronuncia del Tribunale dell’Unione europea del 26 aprile 2023 nella causa C-413/23-P, promossa dal Garante europeo della protezione dei dati (GEPD) contro il SRB (Single Resolution Board, agenzia dell'Unione Europea per la gestione delle crisi bancarie).
Il 19 novembre 2025 la Commissione UE ha presentato il pacchetto Digital Omnibus, un insieme di tre proposte legislative che rappresenta la più ampia revisione del quadro normativo digitale dell'Unione dall'entrata in vigore del GDPR nel 2018.Tra le molteplici innovazioni contenute in questo ambizioso progetto di riforma, merita particolare attenzione la ridefinizione del concetto di pseudonimizzazione.
Secondo gli obiettivi della BCE, a partire dal 2026 l'euro digitale dovrebbe diventare la moneta virtuale dell’Eurozona come equivalente elettronico dell’euro fisico in contanti. Ma affinchè abbia il successo sperato servono standard privacy più elevati per guadagnare la fiducia dei cittadini.
La gestione dei dati sanitari continua a rappresentare uno dei terreni più delicati e scivolosi per chi si occupa di protezione dei dati personali. Lo dimostra la sanzione da 5 milioni di euro inflitta dalla CNIL, alla società IQVIA Operations France, che assume particolare rilievo non soltanto per l'importo della multa, ma soprattutto per i principi che riafferma in materia di trattamento di dati relativi alla salute.
Una società informatica operante nel settore sanitario è stata sanzionata per 800.000 euro per non aver reso realmente anonimi i dati dei pazienti e per aver sottratto illegalmente dati sanitari.
I dati pseudonimizzati sono sempre dati personali. È quanto affermano le Linee guida sulla pseudonimizzazione adottate nel corso dell’ultima plenaria del Comitato europeo per la protezione dei dati (EDPB), alla cui stesura ha partecipato il Garante privacy in qualità di co-rapporteur.
Il Regolamento UE 679/2016 considera anonimo un dato quando non si riferisce a una persona fisica identificata o identificabile o se il dato personale è reso sufficientemente anonimo da impedire o da non consentire più l'identificazione dell'interessato (Vedi Considerando n.26). Per determinare se una persona è identificabile si devono esaminare i mezzi che possono essere ragionevolmente utilizzati dal titolare o da un terzo.
Gli incroci di dati ai fini della lotta all'evasione passano attraverso la pseudonimizzazione. È attraverso questa procedura che l'amministrazione finanziaria può effettuare le attività di elaborazione e di analisi del rischio tutelando, al tempo stesso, la riservatezza dei contribuenti interessati. Nelle attività di contrasto all'evasione fiscale, che costituiscono uno dei capisaldi del PNRR, non potrà essere utilizzata invece la procedura di anonimizzazione dei dati perché non permetterebbe di individuare i contribuenti nei cui confronti avviare le attività di controllo e di stimolo dell'adempimento spontaneo.
Per leggere l'articolo integrale devi effettuare il login!
