Il GDPR impone nuovi adempimenti oltre ai precedenti, soprattutto di documentazione e attività preventive.

L'art. 11 prevede pero' conseguenze interessanti su rettifica, cancellazione e diritto di accesso. Non si applicano quando l'interessato non e' identficato o il trattamento non richiede piu' l'identificazione.

Questi gli articoli che non si applicano:

• Articolo 15 Diritto di accesso dell'interessato
• Sezione 3 Rettifica e cancellazione
• Articolo 16 Diritto di rettifica
• Articolo 17 Diritto alla cancellazione («diritto all'oblio»)
• Articolo 18 Diritto di limitazione di trattamento
• Articolo 19 Obbligo di notifica in caso di rettifica o cancellazione dei dati personali o
• Articolo 20 Diritto alla portabilità dei dati

Ecco il testo:

1. Se le finalità per cui un titolare del trattamento tratta i dati personali non richiedono o non richiedono più l'identificazione dell'interessato, il titolare del trattamento non è obbligato a conservare, acquisire o trattare ulteriori informazioni per identificare l'interessato al solo fine di rispettare il presente regolamento.

2. Qualora, nei casi di cui al paragrafo 1 del presente articolo, il titolare del trattamento possa dimostrare di non essere in grado di identificare l'interessato, ne informa l'interessato, se possibile. In tali casi, gli articoli da 15 a 20 non si applicano tranne quando l'interessato, al fine di esercitare i diritti di cui ai suddetti articoli, fornisce ulteriori informazioni che ne consentano l'identificazione.

In poche parole se al titolare non interessa identificare, non puo' diventare obbligato a identificare solo per rispettare il regolamento.

Norma ampia, ma si ritiene che nel caso di servizi rivolti a minori l'identificazione sia obbligatoria ma, in fondo, in questi servizi il titolare e' interessato a identificare minori.

Quando i dati personai non richiedono piu' di identificare l'interessato ?

E' una domanda aperta, al momento. 

Il considerando 26 e pochi altri ci aiutano, ricordando l'opportunità della pseudonimizzazione:

" I dati personali sottoposti a pseudonimizzazione, i quali potrebbero essere attribuiti a una persona fisica mediante l’utilizzo di ulteriori informazioni, dovrebbero essere considerati informazioni su una persona fisica identificabile. Per stabilire l’identificabilità di una persona è opportuno considerare tutti i mezzi, come l’individuazione, di cui il titolare del trattamento o un terzo può ragionevolmente avvalersi per identificare detta persona fisica direttamente o indirettamente. Per accertare la ragionevole probabilità di utilizzo dei mezzi per identificare la persona fisica, si dovrebbe prendere in considerazione l’insieme dei fattori obiettivi, tra cui i costi e il tempo necessario per l’identificazione, tenendo conto sia delle tecnologie disponibili al momento del trattamento, sia degli sviluppi tecnologici. I principi di protezione dei dati non dovrebbero pertanto applicarsi a informazioni anonime, vale a dire informazioni che non si riferiscono a una persona fisica identificata o identificabile o a dati personali resi sufficientemente anonimi da impedire o da non consentire più l’identificazione dell’interessato. Il presente regolamento non si applica pertanto al trattamento di tali informazioni anonime, anche per finalità statistiche o di ricerca."