Nel corso della sua ultima seduta plenaria, il Comitato europeo per la protezione dei dati (EDPB) ha adottato le linee guida sull’anonimizzazione e le linee guida sul web scraping nel contesto dell’intelligenza artificiale generativa. Inoltre, il Comitato ha adottato la versione definitiva delle sue linee guida sul trattamento dei dati personali tramite tecnologie blockchain.
Comprendere i dati anonimi
Le nuove linee guida dell’EDPB chiariscono il concetto di dati anonimi , tenendo conto anche della sentenza della Corte di giustizia dell’UE nella causa C-413/23 P EDPS contro SRB del 4 settembre 2025 e di altra giurisprudenza della CGUE.
Le linee guida rappresentano un traguardo significativo nel chiarire il concetto di dati anonimi, stabilendo standard precisi che facilitano l’utilizzo dei dati tutelando al contempo i diritti fondamentali degli individui.
Nello sviluppo di queste linee guida, abbiamo integrato i preziosi contributi emersi durante l’evento con le parti interessate, dimostrando, ancora una volta, il nostro forte impegno per il dialogo collaborativo, come delineato nella dichiarazione di Helsinki del Comitato europeo per la protezione delle informazioni (EDPB).
Anu Talus, presidente dell’EDPB.
I dati sono anonimi se non si riferiscono a una persona fisica identificata o identificabile. La sussistenza di tale condizione può variare da un ente all’altro.
Le informazioni possono essere rilevanti per un individuo in virtù del loro contenuto, scopo o effetto . L’esistenza di un tale collegamento potrebbe non essere immediatamente evidente e potrebbe richiedere ulteriori analisi.
Un individuo è considerato “identificato o identificabile” se può essere distinto dagli altri in un contesto specifico utilizzando mezzi che hanno una probabilità ragionevole di essere utilizzati in modo da consentire un trattamento diverso. La probabilità che tali mezzi vengano utilizzati dipenderà dalla prospettiva dell’ente interessato e dovrà essere valutata alla luce di tutti i fattori oggettivi.
Le linee guida forniscono anche un quadro pratico per consentire alle organizzazioni di determinare se l’anonimizzazione ha avuto successo . Il quadro può essere applicato in due modi: valutando le differenze di capacità tra coloro che potrebbero identificare l’individuo (“approccio contestuale”) oppure, per semplicità, non tenendo conto di tali differenze (“approccio semplificato”) , qualora il titolare del trattamento scelga di farlo. L’approccio contestuale riflette tutte le sfumature dello standard legale per l’anonimizzazione. L’approccio semplificato può andare oltre lo standard legale e può indurre il titolare del trattamento a trattare i dati come se non fossero anonimi, anche se in realtà lo sarebbero per alcune entità rilevanti; tuttavia, questo approccio può risultare più pratico e fornire una maggiore garanzia che i dati siano effettivamente anonimi.
Il framework utilizza 3 criteri per verificare se i dati sono anonimi: 1) assenza di isolamento dei record , 2) assenza di collegamento e 3) assenza di inferenza . Se tutti e 3 i criteri sono soddisfatti, i dati possono essere considerati anonimi in tutta sicurezza. Se uno qualsiasi di questi criteri non è soddisfatto, è necessario effettuare ulteriori analisi per determinare se i dati possono essere considerati anonimi.
Le linee guida saranno oggetto di consultazione pubblica fino al 30 ottobre 2026 , offrendo alle parti interessate l’opportunità di commentare e fornire feedback.
Chiarimenti sulle implicazioni in materia di protezione dei dati derivanti dal web scraping per lo sviluppo dell’intelligenza artificiale.
Il web scraping è un processo automatizzato di estrazione dati su larga scala che spesso opera all’insaputa degli individui e che può comportare rischi significativi per la protezione dei loro dati personali. Nelle sue linee guida sul web scraping nel contesto dell’intelligenza artificiale generativa*, il Comitato chiarisce diversi aspetti della conformità del web scraping al GDPR, tra cui la base giuridica per tali attività e le condizioni in base alle quali le categorie particolari di dati possono essere trattate in questo contesto.
Il GDPR si applica al web scraping quando questo include operazioni di trattamento di dati personali, come la raccolta , la conservazione , l’organizzazione e il recupero degli stessi .
Quando si ricorre al web scraping, occorre prestare particolare attenzione al principio di limitazione delle finalità e al principio di trasparenza . Tuttavia, a seconda di come è specificamente progettato il trattamento dei dati, il titolare del trattamento potrebbe non essere tenuto a informare personalmente gli interessati qualora ciò si rivelasse impossibile o richiedesse uno sforzo eccessivo.
Il Comitato europeo per la protezione dei dati (EDPB) raccomanda di raccogliere dati solo da fonti affidabili, di registrarne la data e l’ora e di convalidarli prima di utilizzarli nell’addestramento dell’IA, al fine di garantire il rispetto del principio di accuratezza . Le linee guida forniscono inoltre indicazioni sulle misure che il titolare del trattamento dovrebbe attuare per conformarsi al principio di minimizzazione dei dati .
Basandosi sul parere del Comitato europeo per la protezione dei dati (EDPB) sui modelli di intelligenza artificiale , le linee guida forniscono ulteriori chiarimenti ed esempi sull’utilizzo della base giuridica del legittimo interesse nel contesto specifico del web scraping per l’addestramento dell’IA.
Infine, il Comitato europeo per la protezione dei dati (EDPB) ricorda che il trattamento di categorie particolari di dati personali è in linea di principio vietato. Qualora il web scraping implichi tali dati, sono necessari sia una base giuridica ai sensi dell’art. 6 del GDPR, sia un’eccezione ai sensi dell’art. 9(2) del GDPR. L’EDPB suggerisce che la sentenza della Corte nel caso GC & Others (C-136/17 ) possa essere rilevante per la raccolta incidentale o residua di categorie particolari di dati personali, a condizione che il titolare del trattamento agisca nell’ambito delle proprie responsabilità, poteri e capacità e adotti misure tecniche e organizzative adeguate per impedire la raccolta e la diffusione di tali dati. Il Comitato sottolinea che non esiste un’esenzione generale dai requisiti dell’art. 9 del GDPR e che ogni caso deve essere valutato individualmente per determinare se il ragionamento della Corte sia applicabile.
Le linee guida saranno soggette a consultazione pubblica fino al 30 ottobre 2026 , offrendo alle parti interessate l’opportunità di commentare e fornire feedback.
Linee guida sulla blockchain finalizzate dopo la consultazione pubblica.
A seguito di una consultazione pubblica, il Comitato europeo per la protezione dei dati (EDPB) ha adottato la versione definitiva delle sue linee guida sulle tecnologie blockchain. Le linee guida aiutano le organizzazioni che utilizzano tecnologie blockchain a conformarsi al GDPR. L’EDPB spiega il funzionamento delle blockchain, valutando le diverse architetture possibili e le loro implicazioni per il trattamento dei dati personali.
In linea con l’ obiettivo della Dichiarazione di Helsinki di rafforzare il dialogo con le parti interessate, il Consiglio ha anche pubblicato una relazione sull’esito della consultazione pubblica dedicata , nonché una versione delle linee guida con le modifiche evidenziate .
