Anonimizzazione e GDPR: il precedente TikTok spiegato
Il precedente TikTok
Nel maggio 2025 la Commissione irlandese per la protezione dei dati ha inflitto a TikTok una sanzione di 530 milioni di euro. TikTok aveva inviato informazioni su utenti UE in Cina senza le dovute garanzie.
Il punto centrale è preciso. La violazione riguardava l'esportazione dei dati personali stessi — non la raccolta, non ciò che è accaduto in Cina. L'invio di dati degli utenti UE a un server non europeo ha violato l'Articolo 46(1).
Gli articoli 44–49 del GDPR si applicano a qualsiasi trasferimento transfrontaliero di dati UE. Ogni trasferimento richiede una base giuridica. Le opzioni più comuni sono:
- Una decisione di adeguatezza (l'UE approva la normativa del paese destinatario)
- Clausole Contrattuali Standard vincolanti per il destinatario
- Norme Vincolanti d'Impresa per i grandi gruppi multinazionali
- Un altro meccanismo ai sensi dell'Articolo 46
Le sanzioni GDPR hanno raggiunto 5,65 miliardi di euro fino al 2025. Le violazioni transfrontaliere hanno una media di 18 milioni di euro per azione di enforcement (DLA Piper 2025) e sono tra le categorie GDPR più costose.
Il problema degli strumenti di anonimizzazione
Molte aziende UE usano strumenti con sede negli Stati Uniti per rimuovere i dati personali dai propri contenuti. In apparenza sembra sicuro: si caricano i contenuti dei clienti europei, si ottiene un output pulito, lo si conserva nell'UE.
Ma i dati personali grezzi hanno attraversato prima un server americano. Quel passaggio conta come un'esportazione ai sensi degli Articoli 44–49. Le buone intenzioni non cambiano il test giuridico. Rimuovere i dati personali dopo non annulla il trasferimento avvenuto in precedenza: l'esportazione si è già verificata.
La logica del DPC irlandese nel caso TikTok si applica qui. La violazione consiste nel trasferimento dei dati degli utenti UE a un server non europeo. Uno strumento americano che riceve dati personali UE sui propri server ha ricevuto un'esportazione. Richiede le stesse misure di qualsiasi altro trasferimento transfrontaliero: Clausole Contrattuali Standard, una decisione di adeguatezza o Norme Vincolanti d'Impresa.
Le organizzazioni spesso non se ne rendono conto. Presumono che il risultato dell'anonimizzazione scusi l'esportazione. Non è così. L'analisi giuridica si concentra su ciò che ha lasciato l'UE, non su ciò che è tornato indietro.
La soluzione architetturale zero-knowledge
La soluzione è architetturale. Uno strumento che non riceve mai dati personali non può causare una violazione transfrontaliera.
Il design zero-knowledge mantiene il rilevamento PII in locale. L'elaborazione avviene nel browser dell'utente o nell'applicazione locale. Il server dello strumento vede solo l'output pulito — token che sostituiscono nomi reali, ID e dati di contatto.
Ai sensi del GDPR, un output privo di dati personali non è soggetto alle regole sull'esportazione. Nessun dato reale ha lasciato l'UE.
Questa distinzione è rilevante per i registri dell'Articolo 30. Una voce ROPA relativa a uno strumento UE zero-knowledge non registra alcun trasferimento transfrontaliero. Una voce ROPA relativa a uno strumento americano che riceve dati personali UE grezzi registra un'esportazione. Quella voce richiede una base giuridica chiaramente documentata.
La nostra guida alla conformità GDPR tratta cosa devono includere le voci ROPA. La nostra panoramica sulla conformità in materia di sicurezza spiega i controlli tecnici a loro supporto. Vedi anche la nostra guida alla coerenza dell'anonimizzazione per suggerimenti sulla documentazione tra diversi strumenti.