La pseudonimizzazione secondo la Corte di Giustizia

La Corte di Giustizia dell’Unione europea torna a pronunciarsi, a distanza di un decennio, sulla pseudonimizzazione e sull’identificabilità, confermando e precisando alcuni dei principi elaborati in precedenza. Con la pronuncia c.d. Deloitte, infatti, la CGUE ha affermato: le opinioni e le osservazioni possono essere considerati dati personali; il dato sottoposto a pseudonimizzazione, mediante dissociazione tra identificatore e chiavi, ha natura personale e la misura di mitigazione menzionata non incide di per sé su tale natura; ai fini dell’informazione dell’interessato, l’identificabilità dell’interessato deve essere verificata nella prospettiva del titolare del trattamento etenuto conto di tutti i mezzi di cui il titolare o il terzo possono ragionevolmente avvalersi per risalire direttamente o indirettamente alla persona fisica. La decisione della CGUE precisa così i confini di dato personale e pseudonimizzato solo accennati nel precedente c.d. Breyer e offre nuove coordinate interpretative dalla sull’identificabilità e sugli obblighi informativi del titolare del trattamento, con effetti pure sulle nuove proposte di riforma sul Digital Data Acquis.