EDPB: nuove regole su anonimizzazione, web scraping e blockchain
14 Luglio 2026
Nel corso dell’ultima plenaria l’European Data Protection Board (EDPB) ha approvato tre pacchetti di linee guida destinate a incidere in modo rilevante sulla pratica di titolari e responsabili: anonimizzazione, web scraping per l’addestramento di sistemi di intelligenza artificiale generativa e trattamento dei dati personali tramite tecnologie blockchain. Anonimizzazione: definizione, test e approcci Le linee guida sull’anonimizzazione recepiscono la giurisprudenza della Corte di giustizia, in particolare la sentenza C‑413/23 P (EDPS c. SRB, 4 settembre 2025), e mirano a fissare uno standard operativo per distinguere dati anonimi e dati personali. Sono anonimi i dati che non si riferiscono a una persona fisica identificata o identificabile; tale valutazione è relativa e può cambiare da un ente all’altro, in funzione dei mezzi “ragionevolmente” disponibili per l’identificazione. Un interessato è identificato o identificabile quando può essere distinto dagli altri in un determinato contesto, tenuto conto di tutti i fattori oggettivi. L’EDPB propone un framework basato su tre criteri:
Se tutti e tre sono soddisfatti, i dati possono essere considerati anonimi in sicurezza; in caso contrario è richiesta un’ulteriore analisi. Il Comitato introduce due modalità applicative: un “approccio contestuale”, pienamente aderente allo standard legale, che considera le diverse capacità di re-identificazione degli attori, e un “approccio semplificato”, più prudente, che porta il titolare a trattare come personali dati che, per alcuni soggetti, sarebbero già anonimi. Le linee guida sull’anonimizzazione sono sottoposte a consultazione pubblica fino al 30 ottobre 2026. Web scraping e IA generativa: basi giuridiche e limiti Le linee guida sul web scraping nel contesto dell’IA generativa chiariscono quando il GDPR si applica alle attività di raccolta automatizzata di dati su larga scala e come assicurare il rispetto dei principi di limitazione della finalità, trasparenza, accuratezza e minimizzazione. Il web scraping rientra nel campo di applicazione del GDPR ogni volta che coinvolge dati personali (raccolta, conservazione, organizzazione, recupero). Particolare attenzione va posta alla definizione della base giuridica, con focus sull’uso del legittimo interesse per l’addestramento dei modelli, alla luce del precedente parere EDPB sui modelli di IA. Sul piano operativo, il Comitato raccomanda di: raccogliere dati solo da fonti affidabili, registrarne data e ora, convalidarli prima dell’uso per il training e implementare misure adeguate di minimizzazione. Quanto alle categorie particolari di dati, l’EDPB ricorda il divieto di principio del loro trattamento: in presenza di web scraping che li coinvolga, occorrono sia una base giuridica ex art. 6 GDPR sia un’eccezione ex art. 9(2). La sentenza GC & Others (C‑136/17) è richiamata come parametro per la gestione della raccolta incidentale, a condizione che il titolare adotti misure tecniche e organizzative idonee a prevenire raccolta e diffusione di tali dati. Nessuna esenzione generale dall’art. 9 è ammessa, e la valutazione resta caso per caso. Anche queste linee guida sono in consultazione pubblica fino al 30 ottobre 2026. Blockchain: versione definitiva delle linee guida Infine, l’EDPB ha adottato la versione definitiva delle linee guida sul trattamento dei dati personali tramite tecnologie blockchain, dopo consultazione pubblica. Il documento illustra il funzionamento delle diverse architetture (pubbliche, private, permissioned) e ne valuta le implicazioni in termini di ruoli, basi giuridiche, esercizio dei diritti e limitazione della conservazione. In coerenza con la Dichiarazione di Helsinki, il Comitato ha pubblicato anche un report sugli esiti della consultazione e una versione delle linee guida con le modifiche evidenziate, a beneficio di operatori e stakeholders. Fonte: https://www.edpb.europa.eu/news/edpb-sheds-light-on-anonymisation-and-web-scraping-for-generative-ai-and-adopts-final-version_en |
