Protezione dei dati
Anonimizzare atti e sentenze: regole e strumenti
Pseudonimizzare non è anonimizzare. GDPR, art. 52 del Codice privacy e un metodo pratico per togliere i dati personali da atti e sentenze prima di condividerli o usare l'IA.
- Già disponibile in Italia
- Dati nell’UE
- Non si addestra con i suoi dati
- L’avvocato decide sempre
Informazioni verificate al 29 ottobre 2026. Togliere nome e cognome da un atto non basta a renderlo anonimo. Il GDPR distingue tra pseudonimizzazione e anonimizzazione, e il Codice privacy italiano contiene una regola specifica per la diffusione dei provvedimenti giudiziari. Vediamo le norme, i casi in cui l’oscuramento è obbligatorio e un metodo pratico per lo studio.
Pseudonimizzare e anonimizzare sono la stessa cosa?
No, e la differenza ha conseguenze giuridiche precise. L’art. 4, punto 5, del GDPR definisce la pseudonimizzazione come «il trattamento dei dati personali in modo tale che i dati personali non possano più essere attribuiti a un interessato specifico senza l’utilizzo di informazioni aggiuntive, a condizione che tali informazioni aggiuntive siano conservate separatamente e soggette a misure tecniche e organizzative» volte a garantire che non siano attribuiti a una persona identificata o identificabile.
Il considerando 26 chiarisce che i dati pseudonimizzati restano dati relativi a una persona identificabile. Per stabilire se una persona è identificabile si considerano tutti i mezzi di cui si può ragionevolmente prevedere l’utilizzo, tenendo conto di costi, tempo e tecnologia disponibile. Lo stesso considerando precisa che il GDPR non si applica alle informazioni anonime.
| Pseudonimizzazione | Anonimizzazione | |
|---|---|---|
| Cosa succede ai dati | Sostituiti da codici; esiste una tabella per risalire alle persone | Eliminati o trasformati senza possibilità ragionevole di reidentificazione |
| Si applica il GDPR? | Sì, sono ancora dati personali | No, se l’informazione è davvero anonima |
| Uso tipico nello studio | Lavorare su una bozza con uno strumento esterno e poi reinserire i dati reali | Condividere sentenze, modelli o atti fuori dallo studio |
| Rischio principale | Perdita o diffusione della tabella di corrispondenza | Dati indiretti che permettono comunque di riconoscere la persona |
Cosa prevede l’articolo 52 del Codice privacy per atti e sentenze?
L’art. 52 del D.lgs. 30 giugno 2003, n. 196, «Dati identificativi degli interessati», regola la riproduzione e la diffusione dei provvedimenti giurisdizionali:
- Commi 1 e 2: l’interessato può chiedere, prima che sia definito il grado di giudizio, che sull’originale del provvedimento sia apposta un’annotazione che precluda, in caso di riproduzione, l’indicazione delle sue generalità e degli altri dati identificativi. Il giudice può disporlo anche d’ufficio.
- Comma 3: l’annotazione riporta la formula «In caso di diffusione omettere le generalità e gli altri dati identificativi di….».
- Comma 5: anche in assenza di annotazione, chi diffonde il provvedimento deve sempre omettere le generalità e gli altri dati identificativi dei minori e delle parti nei procedimenti in materia di rapporti di famiglia e di stato delle persone. Resta ferma la tutela delle vittime di violenza sessuale prevista dall’art. 734-bis c.p.
- Comma 6: le stesse regole valgono per i lodi arbitrali.
- Comma 7: fuori da questi casi è ammessa la diffusione in ogni forma del contenuto anche integrale dei provvedimenti.
| Situazione | Oscuramento | Norma |
|---|---|---|
| Provvedimento con annotazione su richiesta o d’ufficio | Obbligatorio per i soggetti indicati | Art. 52, c. 1-3 |
| Dati di minori | Sempre obbligatorio | Art. 52, c. 5 |
| Parti in procedimenti di famiglia e stato delle persone | Sempre obbligatorio | Art. 52, c. 5 |
| Vittime di violenza sessuale | Obbligatorio | Art. 734-bis c.p., richiamato dall’art. 52, c. 5 |
| Lodi arbitrali | Stesse regole dei provvedimenti | Art. 52, c. 6 |
| Altri casi | Diffusione integrale ammessa | Art. 52, c. 7 |
Il Garante ha adottato il 2 dicembre 2010 le «Linee guida in materia di trattamento di dati personali nella riproduzione di provvedimenti giurisdizionali per finalità di informazione giuridica» [doc. web 1774813], pubblicate nella Gazzetta Ufficiale n. 2 del 4 gennaio 2011. Sono anteriori al GDPR: prima di applicarle conviene verificare sul sito del Garante se sono state aggiornate.
Come tratta i dati la banca dati pubblica di merito del Ministero?
La Banca dati di merito pubblica del Ministero della giustizia, operativa dal 14 dicembre 2023, raccoglie provvedimenti civili di tribunali e corti d’appello. Secondo il comunicato ufficiale della DGSIA, i dati personali vi compaiono in forma pseudonimizzata, l’accesso avviene tramite il Portale dei Servizi Telematici con SPID, CIE o CNS, e sono esclusi i provvedimenti in materia di famiglia, minori e stato delle persone.
Anche qui vale il principio del considerando 26: un provvedimento pseudonimizzato resta un documento con dati personali. Chi lo riutilizza, ad esempio per inserirlo in un archivio interno o in uno strumento di IA, deve continuare a trattarlo come tale.
Quali dati vanno tolti da un atto prima di condividerlo?
Oltre ai dati identificativi diretti, un testo può permettere di riconoscere una persona attraverso dati indiretti. Una lista di controllo utile:
- Identificativi diretti: nomi e cognomi, codice fiscale, partita IVA, numeri di documenti, indirizzi, e-mail, telefoni, IBAN, targhe.
- Riferimenti processuali: numero di ruolo, numero del provvedimento, nomi di giudici e difensori, se non necessari.
- Dati indiretti: cariche, professioni rare, date precise, piccoli comuni, rapporti di parentela, fatti noti alla stampa.
- Categorie particolari: dati sanitari, giudiziari, relativi a orientamento sessuale o convinzioni, che richiedono maggiore cautela.
- Metadati del file: autore, commenti, revisioni e proprietà del documento.
Il test pratico è sempre lo stesso: con ciò che resta, una persona che conosce il contesto potrebbe capire di chi si parla? Se la risposta è sì, il testo non è anonimo.
Come si anonimizza un documento prima di usare l’IA?
Un metodo in quattro passaggi:
- Decidere lo scopo: se dovrai reinserire i dati reali, ti serve una pseudonimizzazione con tabella di corrispondenza conservata separatamente; se il testo deve uscire dallo studio, ti serve un’anonimizzazione.
- Sostituire i dati diretti con codici coerenti, ad esempio [PERSONA_1], [SOCIETÀ_1], [IBAN_1], così il testo resta leggibile.
- Rivedere i dati indiretti a mano: nessuno strumento automatico li riconosce tutti.
- Conservare la tabella di corrispondenza in un luogo separato e protetto, e non caricarla mai insieme al testo.
Per il primo passaggio puoi usare lo strumento gratuito di anonimizzazione di Amara. Avvertenza: l’interfaccia è al momento in spagnolo. Lo strumento sostituisce con codici dati come nomi indicati dall’utente, IBAN, telefoni e indirizzi e-mail, e il testo non esce dal tuo browser. Il riconoscimento automatico è basato su schemi pensati per documenti spagnoli: il codice fiscale italiano e altri identificativi nazionali vanno controllati e, se necessario, indicati manualmente. Rivedi sempre il risultato prima di usarlo.
Ricorda che un testo pseudonimizzato resta soggetto al GDPR e al segreto professionale. Per i criteri di scelta di uno strumento di IA leggi la guida su segreto professionale, GDPR e ChatGPT; per gli obblighi di trasparenza verso il cliente, quella sulla legge 132/2025.
Come può aiutarti Amara?
In Amara ogni documento della biblioteca dello studio può essere pseudonimizzato o anonimizzato prima di essere incorporato, e la base dati e i file dello studio sono conservati nell’Unione europea, senza usare i dati dei clienti per addestrare l’IA. L’avvocato decide che cosa caricare e rivede sempre il risultato. Il corpus del diritto dell’Unione europea è già disponibile; quello italiano è in preparazione. Vedi le funzionalità e la pagina sicurezza.
Domande frequenti
I dati pseudonimizzati sono ancora dati personali?
Sì. Secondo il considerando 26 del GDPR, i dati pseudonimizzati che possono essere attribuiti a una persona con informazioni aggiuntive restano dati personali.
Il GDPR si applica ai dati anonimi?
No. Il considerando 26 esclude dall’ambito del GDPR le informazioni anonime, cioè quelle che non permettono più, con mezzi ragionevoli, di identificare la persona.
Quando è obbligatorio oscurare i dati in una sentenza?
Quando sul provvedimento è apposta l’annotazione dell’art. 52 del Codice privacy e, sempre, per i minori e per le parti nei procedimenti di famiglia e stato delle persone (art. 52, comma 5), oltre ai casi dell’art. 734-bis c.p.
Si può pubblicare una sentenza integrale?
Fuori dai casi indicati dall’art. 52, la diffusione integrale dei provvedimenti è ammessa (comma 7). Restano le cautele su dati non necessari e sulle categorie particolari.
Lo strumento gratuito di Amara funziona con documenti italiani?
Può essere usato per sostituire nomi, IBAN, telefoni ed e-mail, ma l’interfaccia è in spagnolo e il riconoscimento automatico è pensato per documenti spagnoli: il codice fiscale va controllato a mano. Il risultato va sempre rivisto.
Fonti
- Regolamento (UE) 2016/679, art. 4, punto 5, e considerando 26 (EUR-Lex)
- D.lgs. 30 giugno 2003, n. 196, art. 52 (Normattiva)
- Garante privacy, Linee guida del 2 dicembre 2010 sulla riproduzione di provvedimenti giurisdizionali
- Ministero della giustizia, DGSIA: comunicato sull’apertura della Banca dati di merito pubblica (13 dicembre 2023)
- Portale dei Servizi Telematici
Questa guida ha carattere informativo e non sostituisce la consulenza di un avvocato.
Porti l’intelligenza artificiale nel suo studio
Si unisca agli studi fondatori in Italia e segua da vicino l’arrivo del corpus giuridico italiano.