La sentenza CGUE C-413/23 P spiegata: dato pseudonimizzato e approccio relativo

Ultimo aggiornamento : 2026-10-11

Per chi detiene la tabella di corrispondenza sì; per il destinatario che non può ragionevolmente re-identificare no: è l’approccio relativo adottato dalla CGUE il 4 settembre 2025.

Questa non è una consulenza legale. Questa pagina spiega una sentenza a un pubblico non giurista. Si limita a ciò che la Corte ha scritto e non impegna la tua responsabilità professionale. Per una decisione su una pratica reale, rivolgiti al tuo ordine professionale o a un consulente qualificato.

I fatti

Nel giugno 2017 il Comitato di risoluzione unico (CRU) ha sottoposto a risoluzione la banca Banco Popular Español (punti da 10 a 12). Gli azionisti e i creditori interessati hanno potuto presentare osservazioni sul progetto di decisione relativo al loro indennizzo. Ogni osservazione era associata a un codice, che permetteva al CRU di collegarla al suo autore. Un sottoinsieme di 1 104 osservazioni è stato trasmesso a Deloitte per una valutazione (punti da 17 a 28).

L’informazione fornita ai partecipanti non citava Deloitte tra i possibili destinatari. Cinque reclami hanno portato il Garante europeo della protezione dei dati (GEPD) a rilevare una violazione dell’articolo 15, paragrafo 1, lettera d), del regolamento 2018/1725, che impone di informare la persona dei destinatari dei suoi dati (punti da 29 a 34). Il 26 aprile 2023 il Tribunale dell’Unione europea ha annullato tale decisione (causa T-557/20), ritenendo che le osservazioni trasmesse a Deloitte non fossero dati personali (punti da 35 a 38).

La questione posta alla Corte

Il GEPD, sostenuto dal Comitato europeo per la protezione dei dati, ha proposto impugnazione (punti da 39 a 42). Due questioni contano per questa pagina. Un’osservazione che esprime l’opinione di una persona è un’informazione che la riguarda? E un dato pseudonimizzato resta un dato personale per un destinatario che non dispone delle informazioni necessarie a re-identificare la persona?

La risposta della Corte

La sentenza del 4 settembre 2025 (Prima Sezione, ECLI:EU:C:2025:645) annulla la sentenza del Tribunale. Ecco cosa dice, punto per punto.

Le opinioni riguardano una persona. Un parere o un punto di vista personale è legato al suo autore, senza bisogno di cercare un contenuto, una finalità o un effetto particolari. Il Tribunale ha commesso un errore su questo punto (punti da 54 a 61).
La qualificazione dipende da un esame. L’applicazione del regolamento presuppone un esame del carattere identificato o identificabile della persona (punto 69). La pseudonimizzazione non rientra nella definizione di dato personale (punto 72). Presuppone l’esistenza di informazioni aggiuntive che consentono la re-identificazione (punto 73).
Per chi detiene la chiave, il dato resta personale. Il CRU disponeva delle informazioni aggiuntive che permettevano di attribuire le osservazioni ai loro autori (punto 76).
Per il destinatario può cambiare. Secondo il punto 77, le osservazioni trasmesse a Deloitte possono non essere dati personali per quest’ultima, a due condizioni: che non possa rimuovere le misure di pseudonimizzazione nei propri trattamenti, e che tali misure le impediscano realmente di attribuire le osservazioni alla persona, anche tramite incrocio di dati.
La regola generale. I dati pseudonimizzati non vanno considerati dati personali «in ogni caso e per qualsiasi persona» (punto 86; il testo francese della Corte recita «en toute hypothèse et pour toute personne»). Se il destinatario può ragionevolmente attribuire i dati a una persona, ad esempio incrociandoli con altri dati in suo possesso, la persona resta identificabile per lui (punto 85). La nozione di dato personale è ampia ma non illimitata (punto 88).
L’obbligo di informare si valuta diversamente. Per l’obbligo di informare sui destinatari, la Corte afferma che l’identificabilità si valuta al momento della raccolta e dal punto di vista del titolare del trattamento (punto 111). Tale obbligo si applica prima di qualsiasi trasferimento, a prescindere dal fatto che il destinatario possa identificare le persone (punti da 112 a 115). Il Tribunale ha quindi commesso un errore nel richiedere il punto di vista di Deloitte.
Il seguito. Il Tribunale torna a occuparsi del secondo motivo del ricorso iniziale, che richiede valutazioni di fatto (punti 121 e 122). La Corte stessa non ha quindi stabilito che le osservazioni non fossero personali per Deloitte.

L’avvocato generale Dean Spielmann ha presentato le sue conclusioni il 6 febbraio 2025 (ECLI:EU:C:2025:59). Proponeva già di annullare la sentenza del Tribunale e di rinviare la causa, distinguendo la valutazione relativa del dato pseudonimizzato dal punto di vista del titolare per l’obbligo di informare.

Cosa cambia per un professionista che invia un prompt pseudonimizzato

Pensa a un avvocato che lavora da solo, a un medico libero professionista o a un commercialista che sostituisce i nomi con marcatori del tipo {{PERSON_a1b2}} prima di inviare un testo a un fornitore di modelli linguistici, e che conserva la tabella di corrispondenza sul proprio computer.

Per te i dati restano personali. Detieni la tabella di corrispondenza, come il CRU nella sentenza (punto 76). Il GDPR continua ad applicarsi al tuo trattamento, e il trattamento locale di ndaact.ai si descrive come pseudonimizzazione lato client (articolo 4, punto 5, del GDPR).
Per il fornitore la questione si pone diversamente. Se riceve solo marcatori, senza la tabella, e non dispone di un mezzo ragionevole per attribuire il testo a una persona, l’approccio relativo della Corte consente di sostenere che quei dati non sono personali per lui. Questa qualificazione si valuta caso per caso, secondo le condizioni del punto 77. Parliamo di de-identificazione nei confronti del terzo, e non di anonimizzazione del prompt.
Il tuo obbligo di informare resta. Il punto 111 colloca l’obbligo di informare sui destinatari dalla parte del titolare del trattamento, al momento della raccolta. Un professionista che raccoglie dati dei clienti non può quindi dedurre dalla sentenza che citare il fornitore del modello sia diventato inutile.
L’ambito della sentenza è stretto. Interpreta il regolamento 2018/1725, applicabile alle istituzioni dell’Unione. La Corte collega la sua lettura alla nozione di dato personale del GDPR, ma la causa non riguarda un modello linguistico. Trasporla alla tua pratica è un’analisi da fare con il tuo consulente.

I limiti

Gli identificatori indiretti. Il punto 77 riguarda misure che impediscono l’attribuzione, anche tramite incrocio. Una frase come «il mio cliente, l’unico fornaio biologico del comune» può identificare una persona anche se nel testo non compare alcun nome.
Il rilevamento può non cogliere alcune entità. ndaact.ai sostituisce le entità che rileva. Un’entità non rilevata arriva in chiaro al fornitore del modello, con il resto del testo, e i marcatori coprono solo ciò che è stato rilevato.
Cosa può incrociare il fornitore. Il punto 85 riguarda un destinatario che dispone di altri dati. Il contesto di una pratica, le date o gli importi possono bastare a re-identificare una persona se il fornitore possiede altre informazioni.
Questa sentenza non convalida uno strumento. Non menziona né ndaact.ai né alcun prodotto, e non esonera da alcun obbligo. Descrive come la Corte valuta il carattere personale di un dato pseudonimizzato.

I testi

Fonte: CGUE, GEPD/CRU, C-413/23 P, 4 settembre 2025.

Questa pagina è una traduzione. Fa fede la versione francese.