Quando un dato scolastico è davvero anonimo?

SINTESI

Togliere il nome non basta. Le nuove Linee guida del Comitato europeo per la protezione dei dati ridefiniscono quando un insieme di dati esce dal campo di applicazione del GDPR

Il 7 luglio 2026 il Comitato europeo per la protezione dei dati (EDPB) ha adottato le Linee guida 02/2026 sull'anonimizzazione, destinate a sostituire il parere del Gruppo di lavoro art. 29 che dal 2014 costituiva il riferimento in materia. Il testo è in bozza e aperto alla consultazione pubblica fino al 30 ottobre 2026, ma indica già con chiarezza la direzione verso cui si muoverà l'attività di vigilanza.

Per le istituzioni scolastiche il tema è tutt'altro che teorico. Riguarda operazioni di ordinaria amministrazione: pubblicare indicatori di monitoraggio, restituire al Collegio gli esiti di un'indagine di clima, alimentare la piattaforma di un fornitore, rispondere a un'istanza di accesso civico.

Perché la distinzione conta

Se un dato è anonimo, il GDPR non si applica: nessuna base giuridica da individuare, nessuna informativa, nessun limite di conservazione, nessun obbligo di sicurezza. Se invece è ancora un dato personale, valgono tutti gli obblighi ordinari, compreso l'inserimento nel registro dei trattamenti.

La tentazione, comprensibile, è di considerare anonimo un file da cui è stata eliminata la colonna con nome e cognome. È l'errore più diffuso, ed è anche quello che le nuove Linee guida chiudono in modo esplicito.

La regola in tre passaggi

1. L'informazione riguarda una persona?

Un dato riguarda una persona non solo quando la nomina, ma anche per il suo contenuto, per lo scopo per cui è stato raccolto o per gli effetti che produce su di lei. Il collegamento non è sempre evidente e richiede una verifica.

Un punto spesso trascurato: anche un'opinione è un dato riferito a chi la esprime. La risposta aperta di un genitore a un questionario, l'osservazione di un docente in un verbale, il giudizio scritto in una scheda di valutazione riguardano sia la persona di cui si parla, sia l'autore che li ha scritti.

2. La persona è identificabile?

Lo è quando, in un determinato contesto, può essere distinta dalle altre con mezzi che è ragionevolmente probabile vengano utilizzati, al punto da poterla trattare in modo differente. Non serve arrivare al nome: basta poter isolare "quella" persona.

3. Identificabile da chi?

È l'aspetto più innovativo. L'anonimato non è una qualità intrinseca del dato: dipende dai mezzi realisticamente a disposizione di chi lo detiene. Lo stesso file può essere dato personale per la segreteria, che possiede la chiave di corrispondenza, e anonimo per un soggetto esterno che quella chiave non ha e non può ragionevolmente ottenere. La valutazione si fonda su fattori oggettivi: costi, tempo, tecnologie disponibili, altre informazioni accessibili a quel soggetto.

Il precedente giurisprudenziale

Corte di giustizia UE, causa C‑413/23 P, GEPD c. SRB — 4 settembre 2025

Il Comitato di risoluzione unico aveva raccolto osservazioni da azionisti e creditori di una banca sostituendo i dati identificativi con un codice alfanumerico casuale, e le aveva trasmesse a una società di consulenza esterna trattenendo per sé la chiave. Il Garante europeo riteneva si trattasse comunque di dati personali, per il solo fatto che la chiave esisteva.

La Corte ha fissato due principi. Primo: le opinioni personali, essendo espressione del pensiero di chi le formula, sono per loro natura riferite a quella persona. Secondo: la pseudonimizzazione non fa parte della definizione di dato personale — è una misura tecnica e organizzativa che riduce il rischio di ricollegamento. Non si può quindi concludere automaticamente che un dato pseudonimizzato sia personale per chiunque lo riceva: occorre verificare in concreto se il destinatario sia in grado di identificare l'interessato.

Cosa la sentenza non dice: non autorizza a considerare anonimo ciò che è semplicemente privo di nome. Sposta la verifica dal dato al contesto — e la verifica va documentata.

I tre test, applicati alla scuola

Le Linee guida propongono un test a tre criteri. Se tutti e tre sono soddisfatti, il dato può essere considerato anonimo. Se anche uno solo non lo è, occorre un'analisi più approfondita prima di trarre conclusioni.

1 - Nessun isolamento

Non deve essere possibile individuare il singolo all'interno dell'insieme. La tabella "alunni con certificazione ex L. 104/1992 per classe" che riporta "1" accanto alla 2ª C isola un alunno preciso, noto a tutta la comunità scolastica.

2 - Nessun collegamento

Non deve essere possibile ricollegare il dato ad altre informazioni disponibili. Gli esiti di un questionario riportati con "classe + sezione + genere + cittadinanza" si incrociano facilmente con l'elenco alunni già noto in segreteria o affisso in bacheca.

3 - Nessuna deduzione

Non deve essere possibile dedurre con ragionevole probabilità un attributo della persona. Chi conosce la media complessiva della classe può ricavare informazioni sui singoli da una "media dei voti di condotta esclusi gli alunni con provvedimenti disciplinari".

Sette casi concreti di segreteria

Anonimo

Numero totale di alunni iscritti per anno scolastico, a livello di istituto

Aggregato ampio, nessun individuo isolabile. Utilizzabile liberamente per relazioni e comunicazioni.

Dato personale

Elenco alunni con codice SIDI o ID interno, tabella di corrispondenza in segreteria

Per l'Istituto resta pienamente identificabile. La pseudonimizzazione è una misura di sicurezza ai sensi dell'art. 32 GDPR, non una via d'uscita dal Regolamento.

Dato personale

Esiti di un questionario sul benessere in una classe di 18 alunni, restituiti per classe

Numeri piccoli: isolamento e deduzione sono concreti. Restituire solo aggregati per plesso o per ordine di scuola, con una soglia minima di risposte.

Da valutare

Risposte aperte di genitori o docenti riportate testualmente, senza nomi

Lo stile, i riferimenti a fatti specifici e il contenuto stesso dell'opinione possono identificare l'autore. Preferibile la sintesi tematica alla citazione letterale.

Da valutare

Dati trasmessi a un fornitore con soli ID numerici, chiave conservata dalla scuola

Va verificato se il fornitore disponga di mezzi ragionevoli per re-identificare. Restano comunque necessari l'atto di nomina a responsabile ex art. 28 GDPR e il divieto contrattuale di re-identificazione.

Anonimo

Statistiche di assenteismo per plesso, su popolazione ampia e senza sotto-categorie

Verificare comunque che nessuna cella si riduca a poche unità.

Dato personale

Fotografia di classe con volti oscurati ma didascalia con l'elenco nominativo

L'oscuramento non produce anonimato se il contesto ricostruisce l'identità.

Due modi di condurre la valutazione

Le Linee guida ammettono due percorsi, entrambi legittimi.

L'approccio contestuale valuta separatamente la capacità di re-identificazione di ciascun soggetto coinvolto: la scuola, il fornitore, l'ente destinatario, il pubblico. Riflette fedelmente lo standard giuridico, ma richiede un'analisi articolata e la sua documentazione.

L'approccio semplificato prescinde dalle differenze tra i soggetti e adotta la valutazione più prudente. Può portare a trattare come personali dati che per taluni destinatari sarebbero effettivamente anonimi, ma è più rapido da gestire e offre maggiore sicurezza sull'esito.

Nel contesto scolastico il secondo percorso presenta un vantaggio non trascurabile: le popolazioni di riferimento — una classe, un plesso, una coorte — sono piccole, e in numeri ridotti l'isolamento del singolo è molto più probabile che in contesti a grandi numeri. La scelta resta comunque del titolare, e va motivata.

L'errore ricorrente

Considerare "anonimo" un file solo perché la colonna con nome e cognome è stata eliminata. Se in segreteria esiste ancora la tabella che collega gli ID agli alunni, il dato è pseudonimizzato: resta soggetto a tutti gli obblighi del GDPR, va inserito nel registro dei trattamenti e cancellato alla scadenza dei termini di conservazione.

Sette domande prima di diffondere o trasmettere dati

• La tabella di corrispondenza tra codici e nominativi esiste ancora? Dove è conservata e chi vi accede?

• Qual è la numerosità minima delle celle? Sono presenti valori pari a 1 o 2?

• Incrociando questi dati con informazioni già pubbliche o note in comunità — elenchi classi, orari, comunicazioni in bacheca — si può risalire a qualcuno?

• Sono presenti risposte aperte, giudizi o osservazioni riconducibili al loro autore?

• Chi è il destinatario e di quali altre informazioni dispone realisticamente?

• La valutazione è stata messa per iscritto e conservata? L'accountability richiede di poterla dimostrare.

• È prevista una riverifica periodica? L'anonimato non è una qualifica acquisita una volta per tutte.

Il testo è ancora una bozza

Le Linee guida 02/2026 restano aperte alla consultazione pubblica fino al 30 ottobre 2026 e il testo definitivo potrà subire modifiche. Ciò non ne riduce la rilevanza pratica: esprimono l'orientamento delle autorità di controllo e indicano la direzione verso cui si muoverà la vigilanza. Le osservazioni si trasmettono tramite il modulo disponibile sul sito EDPB.

Scarica la scheda di valutazione dell'anonimizzazione

Un modello in formato Word, pronto da compilare e conservare come documento di accountability: istruzioni, scheda in dieci sezioni ed esempio compilato su un caso scolastico reale.

Inserisci il tuo indirizzo e-mail nel modulo qui sotto: riceverai il file entro pochi minuti.

Il tuo indirizzo viene utilizzato per inviarti il documento richiesto. L'iscrizione alla newsletter è facoltativa e non condiziona il download. Prima di procedere puoi consultare l'informativa sul trattamento dei dati personali.

Fonti

• EDPB, Guidelines 02/2026 on Anonymisation, adottate il 7 luglio 2026 — consultazione pubblica aperta fino al 30 ottobre 2026

• Corte di giustizia UE (Prima Sezione), sentenza 4 settembre 2025, causa C‑413/23 P, GEPD c. SRB

• Regolamento (UE) 2016/679 (GDPR), considerando 26; art. 4, nn. 1 e 5; artt. 28 e 32

• Gruppo di lavoro art. 29, Parere 05/2014 sulle tecniche di anonimizzazione (WP 216), destinato a essere sostituito

Il presente contenuto ha finalità informativa e non sostituisce la valutazione del caso concreto.