«Anonimizzare un atto» indica due lavori che non si assomigliano. Uno copre: prende il valore e lo toglie dal documento, per sempre. L’altro sostituisce: mette al posto del valore un segnaposto, e tiene da qualche parte la corrispondenza. Chiamarli con lo stesso nome è comodo finché non si deve spiegare che cosa si è fatto, e a quel punto la differenza è tutta.
Oscurare serve quando il documento va via
L’oscuramento è la strada giusta quando il documento esce dallo studio per restarci fuori: una sentenza che va pubblicata, un atto che va depositato in una piattaforma, un allegato che va mandato a chi non deve leggere quel dato. Lì la cosa che si chiede è irreversibilità: sotto il rettangolo non deve esserci niente, e nessuno deve poter tornare al valore.
La regola pratica di un buon oscuramento è che il testo va rimosso, non coperto. Un rettangolo disegnato sopra un PDF è un rettangolo: chi apre il file con lo strumento giusto seleziona quello che c’è sotto. La stessa cosa vale per i metadati, per le revisioni di un .docx e per il livello di testo di una scansione.
Come si oscura davvero, in cinque passaggi
Vale la pena essere concreti, perché l’errore più diffuso non è teorico: è un rettangolo nero disegnato con lo strumento di annotazione, che copre e non toglie. Un PDF oscurato bene si fa così.
Uno: usare lo strumento di redazione del programma, quello che dichiara di rimuovere il contenuto, e non quello di disegno o di evidenziazione. Due: applicare la redazione. Nella maggior parte dei programmi è un secondo comando esplicito, e finché non lo si dà il documento è ancora intero. Tre: riesportare il file, così che quello che si consegna sia il risultato e non una versione con una cronologia dentro. Quattro: ripulire i metadati, cioè autore, titolo, software di origine e percorso del file. Cinque: se il documento nasce da una scansione, ricordarsi che sotto l’immagine c’è un livello di testo, e che va tolto anche quello.
Poi c’è il controllo, che è la parte che quasi nessuno fa e che costa dieci secondi. Aprire il file consegnato e provare a selezionare quello che sta sotto il nero. Meglio ancora: estrarne il testo con uno strumento che legge il PDF senza mostrarlo, e cercare il nome. Se ricompare, il rettangolo era un disegno. Che cos’altro sopravvive a un documento ripulito sta nell’articolo sui metadati.
Sostituire serve quando il documento torna
Se il testo va a un modello di linguaggio, l’oscuramento è la strada sbagliata, e non per una questione di forma. Un modello che legge una comparsa piena di rettangoli neri perde i rapporti fra le parti: non sa più se il tale che compare a pagina due è lo stesso che compare a pagina nove, e il riassunto che restituisce confonde attore e convenuto.
Un segnaposto stabile risolve quel problema e ne risolve un secondo. [FULLNAME_1] è la stessa persona per tutto il documento, quindi il modello capisce ancora chi fa che cosa. E quando la risposta torna con dentro gli stessi segnaposto, la si può rileggere sul caso vero: il segnaposto ridiventa il nome, e il lavoro fatto si usa invece di essere ricopiato.
Sotto un rettangolo nero non c’è niente da rimettere. È il motivo per cui uno strumento che oscura in modo definitivo non è una versione più sicura di uno che sostituisce: è uno strumento per un altro mestiere.
La parola giusta è pseudonimizzazione
Il GDPRsi apre in una scheda nuova è preciso su questo. La pseudonimizzazione è definita all’articolo 4, numero 5: i dati sono trattati in modo che non si possano più attribuire a una persona senza informazioni aggiuntive, e quelle informazioni sono conservate a parte. Un dato pseudonimizzato resta un dato personale, e il regolamento continua ad applicarsi.
L’anonimizzazione è un’altra cosa: il considerando 26 la descrive come una trasformazione dopo la quale l’interessato non è più identificabile da nessuno, con nessun mezzo ragionevole. Un testo con segnaposto e un dizionario che li scioglie non è anonimo, per definizione, perché il dizionario esiste.
Dirlo non è pedanteria: è la frase che serve il giorno in cui qualcuno chiede che cosa è stato fatto dei dati. «Ho pseudonimizzato il testo, la corrispondenza è rimasta cifrata sul mio computer e sparisce con la pratica» è una risposta verificabile. «L’ho anonimizzato con un programma» non lo è.
E la Corte di giustizia ha dato alla distinzione un peso
Fin qui la pseudonimizzazione sembra la parente povera dell’anonimizzazione: fa meno, quindi vale meno. La sentenza della Corte di giustizia del 4 settembre 2025 nella causa C-413/23 Psi apre in una scheda nuova ha mostrato che il rapporto fra le due è un altro, e più interessante.
Il caso riguardava commenti raccolti da un’autorità, spogliati dei dati identificativi e sostituiti con un codice, e trasmessi in quella forma a un revisore esterno. La Corte ha detto che i dati pseudonimizzati non cessano automaticamente di essere personali (chi ha la corrispondenza resta titolare), ma che se il destinatario non dispone dei mezzi ragionevolmente utilizzabili per risalire alle persone, per lui quel materiale può non essere un dato personale. Lo stesso testo, cioè, può essere personale in una mano e non esserlo in un’altra.
È esattamente la forma di questo mestiere. Un atto con i segnaposto, per lo studio che tiene il dizionario, è un dato personale pseudonimizzato: il registro, la base giuridica e le misure valgono per intero. Per il fornitore del modello, che riceve un testo senza nessuna chiave e senza nessun modo ragionevole di ricostruirla, può non esserlo affatto. La pseudonimizzazione non è dunque un’anonimizzazione imperfetta: è la sola operazione che separa le due posizioni, e in questa separazione sta tutta la sua utilità. Il quadro completo, con il parere dell’EDPB e le linee guida del 2026, sta nel suo articolo.
Dove sta la corrispondenza è la domanda vera
Se la sicurezza di una sostituzione dipende dal fatto che il dizionario resti separato, allora l’unica cosa che conta davvero è dove sta quel dizionario e chi lo può leggere. Un servizio in cloud che anonimizza per conto tuo ha visto il documento in chiaro prima di anonimizzarlo, e la corrispondenza sta da lui.
Omissia tiene tutto sul computer: l’analisi, il modello che riconosce i valori e la corrispondenza fra segnaposto e nomi veri, cifrata con il portachiavi di sistema. Se la pratica viene cancellata, la corrispondenza sparisce con lei e da quel momento la risposta del modello non è più ricomponibile. È voluto: un dizionario che sopravvive alla pratica è un archivio di dati personali che nessuno ha chiesto.
Il resto del ragionamento, con quello che va tolto da un atto prima di darlo a un modello, sta nell’altro articolo. Che cosa fa il programma, passo per passo, sta in Come funziona.