Nel giugno 2019 il Comitato di risoluzione unico ha trasmesso a Deloitte 1104 osservazioni di azionisti e creditori di Banco Popular, ciascuna contraddistinta soltanto da un codice alfanumerico. La chiave di corrispondenza l’ha tenuta per sé. Da questo episodio la Corte di giustizia dell’Unione europea (CGUE) ha tratto, il 4 settembre 2025 nella causa C-413/23 P, il principio secondo cui i dati pseudonimizzati non sono «in ogni caso e per chiunque» dati personali (punto 86) — e, nella stessa sentenza, ha precisato che l’obbligo d’informazione si valuta in capo al titolare del trattamento al momento dell’acquisizione, non in capo al destinatario (punti 111 e seguenti).

L’asimmetria sta dunque nel testo stesso della sentenza. Lo stesso trasferimento rientra nell’ambito di applicazione presso di voi e forse non presso la controparte. Annotarla solo nel concetto di pseudonimizzazione significa collocarla nel posto sbagliato: l’asimmetria produce effetti nelle definizioni del contratto di trattamento dati e nella comunicazione prevista dall’art. 13, par. 1, lett. e, GDPR.

Cosa distingue davvero la sentenza

La Corte applica due chiavi di lettura a uno stesso insieme di dati. Presso il Comitato di risoluzione unico, che deteneva la chiave, le osservazioni restavano «necessariamente» dati personali (punto 76). Presso Deloitte, che non disponeva della chiave né di mezzi ragionevoli di re-identificazione, le stesse informazioni potevano perdere questa qualità (punto 77). Il criterio è quello dei «mezzi che possono essere ragionevolmente utilizzati», enunciato al considerando 16 del regolamento (UE) 2018/1725, che la Corte riferisce, al punto 79, sia al titolare del trattamento sia a «un’altra persona». Quale chiave di lettura si applichi dipende, secondo il punto 100, dalle circostanze concrete di ciascun trattamento.

La sentenza interpreta così il regolamento (UE) 2018/1725 — le regole di protezione dei dati applicabili alle istituzioni dell’UE —, non il GDPR. Per i contratti di trattamento dati soggetti al GDPR l’interpretazione resta comunque trasponibile, perché l’art. 3, punto 1, del regolamento 2018/1725 e l’art. 4, punto 1, GDPR condividono la stessa definizione di dato personale. Ma la Corte non lo ha deciso per il GDPR in quanto tale.

Non si tratta di una carta bianca, bensì di una questione probatoria che grava sul mittente. Ne abbiamo trattato il 1° luglio a proposito della data room; qui il punto non si muove.

La metà che si è tralasciato di leggere

Il Comitato di risoluzione unico ha comunque perso la causa proprio su questo punto. Secondo il punto 110, l’obbligo d’informazione riguarda i dati così come sono pervenuti al titolare del trattamento, dunque prima di ogni trasmissione successiva. Il destinatario andava perciò indicato, anche se presso di lui i dati potevano uscire dall’ambito di applicazione.

Per il GDPR l’obbligo è fissato dall’art. 13, par. 1, lett. e, e dall’art. 14, par. 1, lett. e: vanno comunicati i destinatari o le categorie di destinatari. Il diritto svizzero conosce la stessa regola all’art. 19 cpv. 2 lett. c LPD, che richiede «se del caso, i destinatari o le categorie di destinatari dei dati personali». Nessuna delle due norme subordina questa indicazione alla qualificazione giuridica che i dati assumono presso il destinatario. Chi elimina una categoria di destinatari dall’informativa sulla privacy perché il destinatario non riceve la chiave trasforma una constatazione che riguarda il destinatario in un’esenzione per il mittente. Questo non regge.

Dove il mercato ha corso troppo

La lettura diffusa dopo la sentenza vuole che i trasferimenti di dati pseudonimizzati sfuggano ormai, di regola, al GDPR. Le autorità di controllo non sono ancora tutte arrivate a questo punto. Le linee guida 01/2025 dell’EDPB sulla pseudonimizzazione, adottate per consultazione il 17 gennaio 2025, affermano, al punto 22, che i dati pseudonimizzati restano dati personali se possono essere ricombinati con le informazioni aggiuntive «having regard to the means reasonably likely to be used by the controller or by another person». E precisano, esplicitamente, che ciò vale anche quando i dati e le informazioni aggiuntive non si trovano nelle stesse mani.

L’EDPB si è mosso su un tema affine — nelle linee guida sull’anonimizzazione, di cui abbiamo parlato l’11 luglio. Le linee guida sulla pseudonimizzazione, invece, sono ferme allo stadio di bozza da un anno e mezzo e figurano ancora, come dossier aperto, nel programma di lavoro 2026-2027. La vostra autorità di controllo lavora con quella bozza, non con il punto 86 della sentenza.

Cosa deve figurare nel contratto

L’art. 28, par. 3, GDPR richiede che il contratto di trattamento dati fissi oggetto e durata, natura e finalità del trattamento, «il tipo di dati personali» e «le categorie di interessati». Sono esattamente questi gli elementi che il carattere relativo del dato personale dissolve presso il destinatario. Se, nelle sue mani, l’insieme di dati non è un dato personale, gli obblighi dell’art. 28, par. 3, perdono l’ancoraggio legale nei suoi confronti. La domanda se sia anche solo un responsabile del trattamento diventa allora controversa — proprio nel momento in cui avviate un audit.

La conseguenza è pratica, non dogmatica. L’obbligo di agire su istruzione (lett. a), la cancellazione o la restituzione al termine del rapporto (lett. g) e il diritto di verifica (lett. h) vanno formulati come obblighi contrattuali autonomi, non incorporati per rinvio all’art. 28 GDPR. Un rinvio che cade nel vuoto quando la norma non si applica più vi priva esattamente del diritto su cui contavate.

In secondo luogo, se manca il carattere personale viene meno anche il capo V del GDPR, così come l’art. 16 LPD per la comunicazione all’estero. È questa la parte commercialmente interessante — ed è anche la più fragile. Regge solo finché il destinatario non acquisisce mezzi di re-identificazione. Nell’accordo va perciò inserito un impegno che vieti tre cose: l’acquisizione della chiave, la combinazione con altri insiemi di dati, e l’omissione di una segnalazione non appena uno di questi due rischi si profili. Se lo status cambia, cambia retroattivamente a vostro danno.

Concretamente, per lunedì: riprendete l’allegato «tipo di dati personali» dei vostri ultimi tre contratti con trasmissioni di dati pseudonimizzati e verificate se gli obblighi ivi previsti sarebbero comunque azionabili anche senza l’art. 28 GDPR.

Cosa è acquisito e cosa non lo è

È acquisito il punto 111 e seguenti: l’obbligo d’informazione resta in capo al titolare del trattamento e si valuta al momento dell’acquisizione. Non è acquisito come il test vada applicato in concreto. La CGUE ha rinviato la causa al Tribunale dell’Unione europea; a un’applicazione del test non si è più arrivati, perché le parti si sono accordate nel frattempo. Un caso applicativo pienamente istruito, a oggi, non esiste ancora.

A risolvere la questione sarà il Digital Omnibus, non la giurisprudenza. Il 19 novembre 2025 la Commissione ha voluto inserire il test riferito all’entità destinataria nell’art. 4, punto 1, GDPR; l’EDPB e l’EDPS lo hanno respinto nel parere congiunto 2/2026 del 10 febbraio 2026, giudicandolo eccedente rispetto a una semplice correzione tecnica. Secondo EU Tech Reg, la presidenza irlandese del Consiglio ha scartato nel luglio 2026 il testo di compromesso cipriota e inviato agli Stati membri un questionario che menziona espressamente la pseudonimizzazione; al Parlamento risultavano depositati, al 15 luglio 2026, oltre 1000 emendamenti, e una posizione negoziale non è attesa prima di febbraio 2027. Il prossimo testo di compromesso della presidenza del Consiglio sarà il documento da cui si capirà se l’asimmetria diventerà diritto positivo o resterà una lettura giurisprudenziale. Fino ad allora, a sostenerla è il vostro contratto.