L’illusione del dato anonimo e l’arte di essere Nessuno: tecniche a confronto

Nono libro dell’Odissea. Intrappolato nella caverna e interrogato da Polifemo, Ulisse risponde di chiamarsi Oûtis, “Nessuno”, ed applica, del tutto inconsapevolmente, il primo caso di pseudonimizzazione della storia. Sì, perché l’astuto principe di Itaca maschera reversibilmente la sua identità, nota solo ai suoi compagni, rivelandola soltanto una volta al sicuro, commettendo una spavalderia che gli costerà cara (ma questa è un’altra storia). Se Ulisse avesse cancellato in modo irreversibile non solo il proprio nome e la propria storia ma anche la sua stessa memoria e quella dei suoi compagni, sarebbe stato Nessuno (un essere anonimo) per sempre e probabilmente non avrebbe mai ritrovato la strada di casa.

Nei protocolli degli studi clinici, non solo in studi retrospettivi ma anche in quelli che prevedono analisi secondarie di dati e utilizzo di campioni di biobanche, molte volte accade che i dataset vengano definiti anonimi con un’idea alla base del tipo «Io sono Nessuno, quindi la complessità del GDPR non mi riguarda».

Il problema nasce, quindi, quando si scambia la de-identificazione superficiale con l’anonimizzazione vera e propria, che è assoluta ed irreversibile e rende impossibile ricollegare le informazioni contenute in un dataset con le persone cui appartengono, con qualsiasi mezzo ragionevolmente utilizzabile, così come definito dall’EDPB.

Mi chiamo nessuno: il criterio della reversibilità

Per poter scappare dalla grotta e raggiungere le navi, Ulisse smette di avere un’identità che tuttavia rimane saldamente custodita nella sua memoria e in quella dei suoi compagni.

È proprio questa la differenza tra pseudonimizzazione e anonimizzazione di un dato. L’articolo 4, punto 5, del GDPR definisce la pseudonimizzazione come “il trattamento dei dati personali in modo tale che non possano più essere attribuiti a un interessato specifico senza l’ausilio di informazioni aggiuntive, conservate separatamente e protette da misure tecniche e organizzative”. Il dato resta, a tutti gli effetti, un dato personale: la porta è chiusa, ma la chiave esiste, custodita da qualcuno di autorizzato (gli equivalenti moderni dei compagni di Ulisse).

L’anonimizzazione, disciplinata dal considerando 26 del GDPR, invece rende l’interessato non identificabile in modo definitivo e irreversibile e, se davvero irreversibile, il GDPR smette di applicarsi. E il se non è casuale.

L’EDPB ha pubblicato il 7 luglio 2026 le draft Guidelines 02/2026 sull’anonimizzazione, ancora in consultazione pubblica fino al 30 ottobre. La sostanza dei tre criteri da superare per potersi dichiarare davvero anonimi (nessun isolamento del singolo record, nessuna possibilità di collegamento, nessuna inferenza), resta la medesima dal 2014, ma il quadro è oggi più rigoroso, introducendo una novità sul criterio di identificabilità, recependo la sentenza della Corte di Giustizia UE nel caso EDPS contro SRB (causa C-413/23 P): l’anonimato non è una proprietà intrinseca del dato, ma dipende da chi lo detiene e da cosa può realisticamente fare per risalire alla persona. Lo stesso dataset può essere anonimo per un soggetto esterno e restare dato personale per chi conserva la chiave. È, con tremila anni di ritardo, la Corte di Giustizia che certifica lo stratagemma della grotta: per Polifemo, “Nessuno” è davvero nessuno. Per i compagni di Ulisse, che sanno chi è e possono chiamarlo per nome, resta perfettamente identificabile. Non è la stessa persona a essere “anonima” o “pseudonima” in astratto: lo è, o non lo è, a seconda di chi la guarda.

Questo cosa significa per la ricerca clinica?

La definizione di un dataset come pseudonimo o anonimo avviene in fase di progettazione di uno studio, in base alle sue caratteristiche e finalità. Con l’approccio recepito dalle draft Guidelines EDPB, lo stesso dataset può contenere dati personali per il centro clinico che detiene le chiavi di decodifica, ma anonimo per l’eventuale destinatario che non detiene né il diritto né i mezzi ragionevoli per risalire all’identità dei partecipanti. L’etichetta anonimo o pseudonimo andrà quindi definita caso per caso e in base alle finalità e ai destinatari all’interno del protocollo, cosa che comunque andrebbe già fatta ora nei protocolli con le definizioni in vigore.

Quando anonimizzare e quando usare dati pseudonimi

Il GDPR non lascia dubbi su quale sia la strada raccomandata per la ricerca scientifica. L’articolo 89, paragrafo 1, richiede che il trattamento per finalità di ricerca sia soggetto a garanzie adeguate, e indica esplicitamente la pseudonimizzazione come misura di riferimento, da preferire all’anonimizzazione ogni volta che quest’ultima comprometterebbe il conseguimento delle finalità della ricerca, ricerca prospettica e incidental findings inclusi.

Ipotizziamo uno scenario ad alto impatto: un’organizzazione ri-analizza attraverso modelli di intelligenza artificiale i dati genomici storici di una coorte di 500 pazienti oncologici trattati tra il 2018 e il 2025. Durante il processo, l’algoritmo individua un incidental finding di rilevanza vitale: il record RETRO-902 presenta una mutazione genetica ad alto rischio, fino a quel momento sconosciuta, che indica una predisposizione imminente a una seconda neoplasia fulminante o a una patologia cardiovascolare severa, per la quale esiste oggi un protocollo di prevenzione efficace.

Il paziente dietro quel record è vivo, ma ignaro.

• Se il dataset è stato realmente anonimizzato: il legame tra la stringa RETRO-902 e la persona è distrutto. I ricercatori hanno in mano l’informazione per salvare una vita, ma osservano il dato nell’incapacità di agire: sanno che “Nessuno” rischia la vita, ma non possono trovarlo;
• Se il dataset è pseudonimizzato: il ricercatore analizza RETRO-902 in cecità. Tuttavia, la chiave esiste ancora presso l’ospedale d’origine e il Principal Investigator re-identifica il soggetto e lo avvia al protocollo di tutela.

Affinché un dataset possa definirsi pseudonimizzato, l’organizzazione deve dotarsi di un perimetro di governance e quindi procedure/linee guida che sostengano i ricercatori nella scelta della tecnica più adeguata e secondo cui la chiave di re-identificazione (come una tabella di transcodifica) sia accessibile solo al personale appositamente designato.

Questo, tuttavia, non significa che la pseudonimizzazione sia l’unica strada percorribile in ricerca clinica. Qualora, per le finalità previste e dichiarate, non sia necessario risalire all’identità dei soggetti partecipanti (es. per follow up o incidental findings), è il GDPR stesso a riferire che la misura da preferire è quella dell’anonimizzazione. È il caso di studi retrospettivi basati su registri o repository scientifici pubblici, o sull’utilizzo di dati per la generazione di digital twins.

Il filo comune, come dicevamo, è sempre lo stesso: se allo studio manca la possibilità concreta che il dato debba “tornare” a qualcuno (perché è puramente statistico, perché il tipo di dato non genera reperti individualmente rilevanti, o perché non c’è comunque un consenso che autorizzi il ricontatto) allora non è formalmente corretto utilizzare la pseudonimizzazione, rendendo l’anonimizzazione la scelta corretta.

La maturità della data governance tra anonimizzazione e pseudonimizzazione

Ulisse, nella grotta di Polifemo, ha scelto di adattare la sua identità alle necessità della situazione, per salvare se stesso e i suoi compagni da un triste destino. Questa, spogliata della metafora, è la stessa logica che dovrebbe riguardare la scelta tra pseudonimizzazione e anonimizzazione dei dati nella ricerca clinica. Durante la progettazione dello studio bisogna chiedersi, ad esempio: ho bisogno di seguire la condizione del paziente nel tempo? Ho bisogno di tenerlo aggiornato circa i risultati dello studio ed eventuali scoperte future?

In caso contrario, utilizzare dati pseudonimi non è prudenza, ma solo un costo di governance, oltre che di compliance, senza alcuna reale tutela in cambio. A quel punto, dichiararsi «Nessuno» per sempre è, semplicemente, la scelta giusta.

La vera protezione del dato clinico si misura dalla maturità strategica delle architetture adottate. Significa pianificare la ricerca con consapevolezza: stabilire con rigore metodologico quando l’irreversibilità dell’anonimato sia il requisito fondante per la scalabilità del dato, e quando, viceversa, il dovere clinico imponga di operare in regimi di pseudonimizzazione, conservando intatta e protetta la catena di tracciabilità per intervenire a tutela del singolo paziente.