Il Comitato europeo per la protezione dei dati ha adottato il 7 luglio 2026 la versione definitiva delle Linee Guida su dati personali e tecnologie a registro distribuito, confermando impianti pregressi e integrando metadati on-chain, privacy enhancing technologies e obblighi di conservazione antiriciclaggio.
Cosa confermano le Linee Guida
L’EDPB ha consolidato quattro orientamenti già presenti nella prima versione di aprile 2025. Innanzitutto, preferenza netta per architetture permissioned, dove soggetti identificabili controllano accessi e validazione: ciò consente allocazione chiara dei ruoli secondo articoli 26 e 28 del Regolamento (UE) 2016/679. Secondo, i nodi dotati di influenza sulla governance possono qualificarsi come titolari o contitolari, sebbene l’applicazione pratica alle reti con migliaia di operatori anonimi rimanga problematica. Terzo, valutazione d’impatto ex articolo 35 rimane centrale, così come le sedici raccomandazioni dell’Allegato A, con test di necessità della tecnologia preliminare a ogni scelta architettonica. Quarto, l’impossibilità tecnica di cancellazione non giustifica la non conformità: la scelta di un’architettura che la rende impossibile espone il titolare a rischio giuridico intero, spostando l’onere a monte nella fase progettuale.
I metadati e le nuove definizioni
La versione 2.0 specifica espressamente che metadati registrati in catena — identificativi di transazione, indirizzi di portafoglio, eventi, ricevute, transizioni di stato, storage di smart contract — costituiscono dati personali quando consentono identificazione diretta o indiretta. Il registro dei trattamenti ai sensi dell’articolo 30 deve dunque abbracciare non solo il contenuto applicativo inteso, bensì tutto ciò che il protocollo genera automaticamente. Viene ampliato il glossario: il consenso può essere probabilistico, la pubblicità descrive il grado di visibilità, gli smart contract sono catalogati per tipo, mentre indirizzi di portafoglio e identificativi sono cristallizzati come dati personali associabili a persona identificata o identificabile. La sostituzione terminologica da «identità» a «identificativi» rimane concettualmente significativa: oggetto è il segno che rende riconoscibile, non l’anagrafica della persona.
Privacy Enhancing Technologies e anonimizzazione
Le Linee Guida riconoscono utilità di prove a conoscenza zero e protocolli crittografici avanzati, ma subordinano il riconoscimento a validazione documentata e affidamento parallelo su ulteriori misure tecniche organizzative. Il vero baricentro della conformità pratica risiede nella capacità di progettare by design un’architettura dove, decorso il periodo di conservazione, la cancellazione degli elementi off-chain (chiavi, salt, witness) renda il residuo on-chain effettivamente anonimo secondo i tre criteri della non isolabilità, collegabilità e inferibilità, misurati su mezzi ragionevolmente utilizzabili dalle entità con accesso al registro. ll Titolare scrive in catena i derivati crittografici, mantiene il dato in chiaro e la chiave esternamente, e distrugge entrambi a scadenza: ciò produce, funzionalmente, un equivalente della cancellazione in database tradizionale, eludendo lo scenario non praticabile di distruzione dell’intera catena.
Cosa devono fare le imprese
Il primo adempimento è la verifica di necessità della tecnologia, formalizzata in un documento che argomenti finalità, alternative considerate e ragioni per cui il database centralizzato non basterebbe. Segue la scelta dell’architettura con preferenza per quella permissioned; se aperta, occorrerà dare atto del motivo ulteriore specifico. Terzo adempimento: mappatura granulare di dati on-chain estesa oltre le transazioni a identificativi, indirizzi, eventi, ricevute, stati, storage e contratti. Quarto: definizione della separazione on-chain/off-chain come misura ex articolo 25, con adozione della regola che nessun dato personale in chiaro vada mai scritto in catena. Quinto: gestione documentata del ciclo di vita,chiavi e salt con distruzione irreversibile a scadenza, con evidenza dell’avvenuta esecuzione.
Conformità strutturale e monitoraggio
La valutazione d’impatto ex articolo 35, dovuta nella generalità dei casi, deve affrontare specificamente i profili delle Linee Guida e le sedici raccomandazioni, incluso il rischio di reidentificazione da analisi transazionali. Deve includere un’assunzione esplicita sullo stato della tecnica e l’impegno al riesame periodico almeno annuale. Occorrerà quindi procedere alla qualificazione dei ruoli privacy di tutti i soggetti e alla formalizzazione degli accordi di contitolarità ex articolo 26 o di designazione a responsabile ex articolo 28. Per soggetti vigilati ai sensi della normativa antiriciclaggio, occorrerà adottare una politica di conservazione differenziata tra dati coperti da obblighi quinquennali (Regolamenti UE 2023/1114 e 2024/1624) e dati per cui periodo va determinato secondo il criterio ordinario necessità. Attenzione anche alla validazione documentata delle tecnologie crittografiche, con evidenze e verifiche indipendenti dell’implementazione. Occorrerà anche definire procedure per la gestione dei diritti degli interessati realisticamente calibrate ai limiti infrastruttura, che prevedano rettifica tramite transazione correttiva successiva, cancellazione tramite distruzione degli elementi off-chain con perdita di riferibilità, limitazione a livello applicativo.
L’approfondimento completo di questo articolo è disponibile su 01magazine.it.
