- La pseudonimizzazione nasconde la tua identità solo in superficie — con conoscenze aggiuntive può essere ripristinata.
- K-anonimato significa che ogni record è indistinguibile da almeno (k-1) altri record.
- Le ricerche di Latanya Sweeney (Harvard) e più tardi di de Montjoye (Imperial College) hanno dimostrato più volte: dall'80 % all'87 % di una popolazione è identificabile in modo univoco con soli tre quasi-identificatori — codice postale, data di nascita, sesso.
1. Anonimizzazione vs. pseudonimizzazione — la differenza centrale
user_4f3a9e7c)Fonte: LPD art. 5 (Definizioni), Indicazioni dell'IFPDT sull'anonimizzazione.
2. K-anonimato e l-diversità — i concetti più importanti
Il k-anonimato nella pratica
Immagina una tabella con le colonne sesso, età, codice postale, profilo dei clic pubblicitari. Con k=10 devi trovare almeno 10 persone che coincidono esattamente nelle prime tre colonne. Così un estraneo non può stabilire quali dati sui clic appartengono a quale persona.
Valori concreti:
- k=2: solo 2 persone per gruppo — nella pratica quasi mai sicuro
- k=10: standard minimo diffuso
- k=50: robusto per statistiche pubblicate
- k=100+: quando sono coinvolti anche attributi sensibili
La l-diversità come complemento
Il k-anonimato da solo non basta se tutte le 10 persone di un gruppo hanno lo stesso attributo sensibile (ad es. tutte hanno la stessa malattia). In quel caso si può dedurre l'attributo senza dover identificare la persona. La l-diversità richiede che ogni gruppo k contenga almeno l valori sensibili diversi.
Differential privacy — l'approccio matematico
La differential privacy è il metodo più rigoroso. Aggiunge rumore statistico alle analisi, così che il risultato praticamente non cambi a prescindere dal fatto che i tuoi dati siano inclusi o meno. Apple, Google e lo US Census Bureau usano questo approccio per le statistiche pubbliche.
3. Rischio di re-identificazione — perché tre dati bastano spesso
Per te questo significa: se una piattaforma dice «trasmettiamo solo il tuo NPA, la tua età e il tuo sesso, senza nome» — tecnicamente si tratta ancora di dati personali. La re-identificazione con una seconda fonte di dati (elenco telefonico, registro elettorale, social media) è spesso banale.
Contesto svizzero
La Svizzera ha 2'132 comuni e circa 8.9 milioni di abitanti. Una persona domiciliata nel Canton Glarona, nata nel 1957, di sesso femminile, è già spesso univoca o quasi univoca — perché la popolazione in ogni sottocategoria è piccola. Per un profilo «anonimizzato» robusto nel mercato svizzero serve un'aggregazione del NPA a livello cantonale o fasce di età più ampie.
4. Esempi pratici dal mercato svizzero
Esempio 1: la piattaforma pubblicitaria dice «condividiamo dati demografici anonimizzati»
La piattaforma comunica al suo inserzionista: «5'342 utenti della categoria pubblicitaria 'Appassionati di outdoor' nel Canton Zurigo, età media 34, prevalentemente donne (62 %).» Questa è un'aggregazione pulita — k è alto, nessuna tracciabilità individuale possibile.
Esempio 2: la piattaforma dice «anonimizzato», ma trasmette un profilo dettagliato
La piattaforma comunica: «ID utente 8273, 34, donna, Zurigo Wiedikon, appassionata di outdoor, ha visto oggi gli annunci X, Y, Z.» Nonostante manchi il nome, con alta probabilità è re-identificabile — è pseudonimizzazione con l'etichetta «anonimo».
Esempio 3: vera anonimizzazione con differential privacy
La piattaforma comunica: «Nella finestra temporale A l'annuncio X è stato visto da circa 743 (±15) persone, con distribuzione Y.» L'imprecisione statistica lo rende anonimo anche se un inserzionista cerca di incrociare altre fonti di dati.
5. Cosa dovresti chiedere a una piattaforma
Se una piattaforma ti promette una «trasmissione di dati anonimizzati», hai diritto a risposte concrete (ad es. tramite una richiesta di accesso). Queste domande sono un buon punto di partenza:
- Quale metodologia viene usata? (k-anonimato, differential privacy, semplice aggregazione)
- In caso di k-anonimato: quale valore di k? (dovrebbe essere almeno 10, meglio 50+)
- Quali quasi-identificatori vengono attenuati o rimossi? (NPA con quale precisione, data di nascita con quale precisione)
- Chi verifica l'anonimizzazione? (interno, esterno, audit dell'IFPDT)
- Esiste un test di re-identificazione? (ad es. con set di dati pubblici)
- Chi può ricostruire la chiave? (con una vera anonimizzazione: nessuno)
Una piattaforma che risponde a queste domande in modo chiaro e concreto ha un concetto dei dati ben ponderato. Una che evita o si limita a ripetere l'informativa sulla privacy, molto probabilmente non ce l'ha.
6. Come lo gestiamo noi di Videte
Con Videte gestiamo una piattaforma pubblicitaria svizzera con sede a Berna, in cui gli utenti vengono remunerati in CHF per guardare la pubblicità. Ecco concretamente il nostro approccio all'anonimizzazione:
Tu come utente vedi il tuo profilo nella dashboard e puoi riceverlo in qualsiasi momento come export JSON tramite richiesta di accesso. Ciò che trasmettiamo agli inserzionisti è sempre aggregato e non consente alcuna deduzione su singole persone.
Questa non è pubblicità — è un dovere. Ed è il test con cui dovresti misurare ogni piattaforma a cui affidi i tuoi dati.