Dati anonimi? Perché pochi dettagli bastano a identificarti

Risorsa aggiuntiva per la lezione “Teoria dell’informazione: fondamenti per l’anonimato” — corso Anonimato Online

Si parla di dati anonimi quando non permettono più di risalire a una persona. Eppure dettagli che da soli sembrano innocui, messi insieme, possono indicare una persona precisa anche senza il suo nome: un CAP, una data di compleanno e un paio di abitudini possono bastare. Questa risorsa spiega, senza formule, perché pochi dettagli possono identificarti e ti aiuta a stimare quanto in fretta si restringe la tua folla.

A. Perché conta

La privacy è decidere che cosa gli altri sanno di te. L’anonimato, in questo corso, è qualcosa di un po’ diverso: agire senza che ciò che fai venga collegato a chi sei. Per questo qui la domanda non è «che cosa ho condiviso?», ma «a quante persone potrebbe adattarsi questa descrizione?».

La lezione la chiama teoria dell’informazione, cioè la matematica che misura quanto dice un dato. La matematica non ti serve. Ti serve un’intuizione: ogni dettaglio divide le persone in quelle a cui si adatta e quelle a cui non si adatta, e il gruppo che resta si rimpicciolisce ogni volta.

Ecco perché «non ho mai dato il mio nome» e «i dati erano anonimizzati» rassicurano meno di quanto sembri. Il nome è solo uno dei modi per distinguere qualcuno in mezzo agli altri. Alcuni dettagli ordinari possono fare lo stesso lavoro.

Cosa dicono le fonti

Il Garante per la protezione dei dati personali, l’autorità italiana in materia, definisce dati personali le informazioni che identificano o rendono identificabile una persona, «direttamente o indirettamente». Accanto ai dati che identificano in modo diretto, come nome, cognome e immagini, cita quelli che lo fanno in modo indiretto, come il codice fiscale, l’indirizzo IP o il numero di targa.

Il Regolamento europeo sulla protezione dei dati (GDPR), al considerando 26, spiega come si valuta se una persona è identificabile: bisogna considerare tutti i mezzi, «come l’individuazione», di cui chi ha i dati o un terzo «può ragionevolmente avvalersi per identificare» qualcuno. Solo le informazioni anonime, cioè quelle che non si riferiscono a una persona identificata o identificabile, restano fuori dal regolamento. Togliere il nome, quindi, non basta per avere dati anonimi: conta che cosa resta e che cosa si può collegare.

Nel 2014 il Gruppo di lavoro Articolo 29, che si descriveva come un organo consultivo europeo indipendente in materia di protezione dei dati, ha indicato tre rischi da verificare: l’individuazione di una persona, il collegamento tra dati che la riguardano e la deduzione di altre informazioni su di lei. Ha anche avvertito che «eliminare gli elementi direttamente identificativi non basta, di per sé» (traduzione nostra).

Il tema è ancora aperto. Il Comitato europeo per la protezione dei dati (EDPB) ha tenuto in consultazione pubblica fino al 30/10/2026 nuove linee guida sull’anonimizzazione, le «Guidelines 02/2026 on Anonymisation».

La ricerca mostra quanto pochi dettagli bastino. Nel 2000 la ricercatrice statunitense Latanya Sweeney ha stimato che l’87% della popolazione degli Stati Uniti era probabilmente identificabile in modo univoco con tre dati: il codice postale a cinque cifre (l’equivalente del nostro CAP), il sesso e la data di nascita. Con il comune al posto del codice postale si arrivava a circa metà della popolazione; con la contea, al 18%.

Uno studio del 2013 su Scientific Reports ha analizzato quindici mesi di dati di localizzazione dei telefoni cellulari di un milione e mezzo di persone in «un piccolo Paese europeo» (traduzione nostra). Risultato: «quattro punti spazio-temporali bastano a identificare in modo univoco il 95% delle persone» (traduzione nostra), cioè quattro momenti di dove e quando. Nel 2019 un gruppo dell’Université catholique de Louvain, in Belgio, e dell’Imperial College di Londra ha stimato su Nature Communications che il 99,98% degli americani sarebbe reidentificato correttamente con 15 caratteristiche demografiche. La conclusione: anche i dataset anonimizzati e fortemente campionati difficilmente soddisfano i criteri di anonimizzazione del GDPR.

B. Concetti chiave

Cinque idee che trasformano «pochi dettagli» in qualcosa su cui ragionare.

L’insieme di anonimato: la folla in cui ti confondi

L’insieme di anonimato (in inglese anonymity set) è il gruppo di persone che corrisponde a tutto ciò che un osservatore sa di te. Se un sito sa solo che un visitatore si collega dall’Italia, l’insieme è enorme. Se sa che abita in un certo quartiere di una città, ha circa trentacinque anni e corre sullo stesso percorso ogni domenica, l’insieme può ridursi a poche persone.

Perché ti riguarda: Il tuo anonimato è forte quanto è grande quella folla. «A quante persone si adatta?» è una domanda più utile di «c’è il mio nome?».

Ogni dettaglio restringe la folla

Un dettaglio funziona come un filtro. Il sesso dimezza più o meno la folla; l’anno di nascita la riduce molto di più; la data di nascita completa ancora di più. I filtri si moltiplicano, non si sommano: tre dettagli modesti uno dopo l’altro possono portare da una città a una via.

Perché ti riguarda: Non serve che un singolo dettaglio sia delicato perché la combinazione ti identifichi. Conviene guardare i tuoi dettagli a gruppi, non uno alla volta.

I bit: un’intuizione, non una formula

I ricercatori misurano l’informazione identificativa in «bit». In una guida per la Electronic Frontier Foundation (EFF), un’organizzazione statunitense per i diritti digitali, Peter Eckersley ha spiegato che ogni bit in più raddoppia le possibilità; vista dalla tua parte, ogni dettaglio di tipo sì o no dimezza la folla. Nei suoi conti approssimativi, per distinguere una persona sull’intero pianeta servono poco meno di 33 bit; un compleanno ne vale circa 8,5 e un segno zodiacale circa 3,6. Codice postale, compleanno e sesso insieme superavano i 33 bit: abbastanza, scriveva, da poter dire probabilmente chi è esattamente la persona.

Perché ti riguarda: Non devi calcolare i bit. Basta l’intuizione: una ventina di dimezzamenti porta una folla di un milione di persone a una sola, e un dettaglio quotidiano può valere diversi dimezzamenti in una volta.

Reidentificazione e dati «anonimizzati»

Togliere i nomi da un insieme di dati non equivale a renderlo anonimo. La reidentificazione consiste nell’incrociare ciò che resta, come età, zona e date, con altre informazioni finché un record, cioè una riga di dati, non torna a indicare una persona. Per questo il GDPR chiede di considerare i mezzi che qualcuno può ragionevolmente usare, non solo l’assenza del nome. Rendere i dettagli meno precisi aiuta, ma meno di quanto ci si aspetti: lo studio del 2013 concludeva che anche dati poco precisi offrono poco anonimato.

Perché ti riguarda: Quando un servizio dice che i tuoi dati vengono condivisi «in forma anonima», è ragionevole chiedere quali dettagli restano. La risposta ti dice più della parola.

Confondersi nella folla: l’altro modo di allargarla

Puoi rendere la tua folla più grande condividendo meno dettagli, ma anche condividendo gli stessi dettagli di molte altre persone. Alcuni strumenti nascono da questa seconda idea: il Tor Project scrive che «Tor Browser mira a far sembrare uguali tutti gli utenti». Anche il browser che usi ogni giorno è un insieme di dettagli; la risorsa sull’impronta del browser in questa sezione mostra come metterlo alla prova e che cosa significa, in pratica, confondersi nella folla.

Perché ti riguarda: Sembrare uguale a molti può proteggerti quanto tacere. Una combinazione insolita si nota, anche quando ogni scelta che la compone è stata fatta per la privacy.

C. Un esempio concreto: il profilo pubblico di Luca

Luca ha 36 anni, vive a Milano e viaggia spesso. Il suo profilo social non mostra il cognome, solo un soprannome e la foto di una montagna, e lui lo considerava abbastanza anonimo. In un anno si è riempito di momenti ordinari: una torta con le candeline del «36», pubblicata il giorno stesso; la corsa della domenica lungo il Naviglio, sullo stesso tratto; i check-in nella sua palestra; una foto dall’aeroporto ogni volta che partiva.

Una sera, dopo aver letto come si combinano i dettagli ordinari, ha guardato il profilo come lo vedrebbe un estraneo. «Vive a Milano» si adatta a una folla molto grande. Un uomo sui trentacinque anni la restringe parecchio. Un compleanno in un giorno noto la restringe ancora.

Un percorso abituale e una palestra precisa lasciano, a occhio, poche persone. Aggiungi le date in cui era via, e la folla probabilmente si riduce a una: lui. Nessun post diceva chi fosse. Tutti insieme, sì.

Che cosa è cambiato quando Luca ha contato la sua folla

Non si è allarmato. Ha semplicemente visto che il profilo era collegato a lui attraverso i dettagli, non attraverso il nome, e ha deciso quali tenere.

• Ha tenuto le foto di viaggio, ma ha cominciato a pubblicarle dopo il rientro invece che dall’aeroporto.
• Ha tolto i check-in in palestra, che dicevano poco agli amici e molto a chi volesse fare due conti.
• Ha reso visibili solo agli amici i post più vecchi, così gli estranei hanno meno dettagli da combinare.
• Ha lasciato il post del compleanno: gli amici avevano scritto sotto, e ha deciso che valeva la sua traccia.

Luca ha allargato la sua folla in tre punti e ha lasciato il resto com’era. L’anonimato, per lui, è diventato qualcosa da regolare in proporzione a ciò che gli importa, non qualcosa che si ha o non si ha.

D. Provaci tu: quanto in fretta si restringe la tua folla? (15 minuti)

Quattro passi brevi con numeri tondi. Non scrivere i tuoi dati reali: usa categorie («la mia città», «il mio anno di nascita») e frazioni approssimative. I numeri servono all’intuizione, non alla precisione.

Passo 1 — Scegli una folla di partenza (3 minuti)

• Scegli un luogo che qualcuno potrebbe facilmente scoprire su di te, come la città o la regione, da un profilo, una foto o un nome utente.
• Dagli una dimensione tonda: 100.000, 1 milione o 10 milioni. Non serve cercarla; basta l’ordine di grandezza giusto.
• Scrivi solo il numero, per esempio «partenza: 1.000.000».

Passo 2 — Elenca quattro dettagli pubblici (4 minuti)

• Pensa a quattro dettagli che un estraneo potrebbe scoprire su di te senza chiedere: da un profilo, un post, una foto o un vecchio commento.
• Scrivi il tipo di dettaglio, mai il suo valore: «sesso», «anno di nascita», «compleanno», «quartiere», «datore di lavoro», «sport», «razza del cane».
• Preferisci i dettagli che vedono anche persone che non conosci.

Passo 3 — Restringi la folla (5 minuti)

• Applica una frazione approssimativa a ogni dettaglio, uno dopo l’altro: per un dettaglio con due risposte comuni, dividi per 2; per l’anno di nascita, dividi per circa 50; per il compleanno (giorno e mese), dividi per circa 365; per quartiere, scuola, datore di lavoro o società sportiva, dividi per un numero tra 10 e 100.
• Esempio: 1.000.000 ÷ 2 = 500.000; ÷ 50 = 10.000; ÷ 365 ≈ 27. Con un dettaglio locale in più, la folla può ridursi a una persona.
• Le popolazioni reali non sono distribuite in modo uniforme: leggi il risultato come un’idea della dimensione, non come una misura.

Passo 4 — Scegli un dettaglio da allentare (3 minuti)

• Guarda quale dettaglio ha ristretto di più la tua folla. Spesso è il più specifico, non il più personale.
• Scegli un cambiamento: rendilo visibile a meno persone, rendilo meno preciso (un mese invece di una data, una città invece di una via), oppure tienilo com’è, sapendo che c’è.
• Annota la tua scelta in una riga.

Una folla si può allargare di nuovo, un dettaglio alla volta.

Già trattato nel corso Privacy Online

Tracce digitali: cosa lasci in una giornata normale
Mappa i dati dichiarati, osservati e dedotti che produce una giornata; questa risorsa si chiede a quante persone quelle tracce, una volta combinate, potrebbero ancora adattarsi.

E. Video, articoli e altre risorse

Prima le fonti istituzionali italiane ed europee, poi la ricerca e le guide sui diritti digitali. La ricerca, il parere del 2014 e la guida EFF sono in inglese; le pagine del Garante, del GDPR e del Tor Project sono in italiano.

Fonti istituzionali

Garante per la protezione dei dati personali — Cosa intendiamo per dati personali?
Che cosa conta come dato personale, con la differenza tra identificazione diretta e indiretta.
https://www.garanteprivacy.it/home/diritti/cosa-intendiamo-per-dati-personali

EUR-Lex — Regolamento (UE) 2016/679 (GDPR)
Il testo in italiano del regolamento: il considerando 26 spiega quando una persona è identificabile e quando un’informazione è anonima.
https://eur-lex.europa.eu/legal-content/IT/TXT/HTML/?uri=CELEX:32016R0679

Gruppo di lavoro Articolo 29 — Opinion 05/2014 on Anonymisation Techniques
Il parere europeo del 2014 su individuazione, collegamento e deduzione, e sul perché togliere i nomi non basta (versione inglese).
https://ec.europa.eu/justice/article-29/documentation/opinion-recommendation/files/2014/wp216_en.pdf

Ricerca

Data Privacy Lab — Simple Demographics Often Identify People Uniquely
Lo studio di Latanya Sweeney su come codice postale, sesso e data di nascita distinguono gran parte della popolazione statunitense.
https://dataprivacylab.org/projects/identifiability

Scientific Reports — Unique in the Crowd: The privacy bounds of human mobility
Studio del 2013, su dati di telefonia mobile di un Paese europeo, su quanti pochi punti di posizione rendono unici gli spostamenti di una persona.
https://www.nature.com/articles/srep01376

Nature Communications — Estimating the success of re-identifications in incomplete datasets using generative models
Studio del 2019 di ricercatori in Belgio e nel Regno Unito sul perché dataset campionati e «anonimizzati» possono essere reidentificati; copia ad accesso aperto su PubMed Central.
https://pmc.ncbi.nlm.nih.gov/articles/PMC6650473

Guide sui diritti digitali e strumenti

Electronic Frontier Foundation — A Primer on Information Theory and Privacy
L’intuizione dei «bit» spiegata con compleanni, segni zodiacali e codici postali.
https://www.eff.org/deeplinks/2010/01/primer-information-theory-and-privacy

Tor Project — Tor Browser
Come Tor Browser cerca di far sembrare simili i suoi utenti, così che meno dettagli distinguano qualcuno.
https://www.torproject.org/it/

Link verificati a novembre 2026. Se un indirizzo cambia, cercare il titolo sul sito dell’ente di solito aiuta a ritrovarlo.

F. Il Framework Cyber Welfare: Competenze, Consapevolezza, Comportamento Sicuro

Questa risorsa sta nel Framework Cyber Welfare sul pilastro Consapevolezza, livello FL2 – Iniziato: vedere l’anonimato come la dimensione di una folla che puoi stimare, non come un interruttore acceso o spento.

Competenze

• Stimare, con numeri tondi, quanto un dettaglio restringe la folla a cui appartieni.
• Riconoscere quale dei tuoi dettagli pubblici è il più specifico.
• Leggere le promesse di dati «anonimizzati» chiedendo quali dettagli restano.

Consapevolezza

• Capire l’insieme di anonimato: le persone che corrispondono a tutto ciò che si sa di te.
• Riconoscere che dettagli ordinari, combinati, possono identificarti senza il tuo nome.
• Sapere che sembrare uguale a molti può proteggerti quanto condividere meno.

Comportamento Sicuro

• Rendere meno preciso o meno visibile un dettaglio specifico, invece di provare a nascondere tutto.
• Condividere tempi e luoghi a cose fatte, quando condividerli in tempo reale non ti dà nulla in più.
• Ripetere ogni tanto la stima della folla, perché i profili crescono in silenzio.

G. Domande su cui fermarti

• Quale dettaglio su di te, innocuo da solo, restringerebbe di più la tua folla se qualcuno lo combinasse con altri?
• Dove ti confondi già in una folla grande, e dove invece ti si nota?
• Quando un’organizzazione dice di usare i tuoi dati «in forma anonima», che cosa vorresti che ti spiegasse?

H. Cosa fare adesso

Le raccomandazioni (R) e le misure di sicurezza (MS) del database Cyber Welfare che si applicano più direttamente qui.

1. I dettagli che condividi tu

• MS7 — Limita l’accesso ad account, foto e post con le impostazioni privacy, così meno estranei possono combinare i dettagli che condividi.
• Preferisci dettagli meno precisi quando ti servono altrettanto bene: una città invece di una via, un mese invece di una data, un viaggio raccontato dopo il rientro.

Impegno minimo: oggi, allenta il dettaglio che hai scelto al passo 4.

2. I dettagli che altri hanno su di te

• Quando un modulo chiede più di quanto sembri servire, come la data di nascita completa per iscriversi a una newsletter, controlla se il campo è facoltativo prima di compilarlo.
• Quando un’app o un sondaggio dice che i tuoi dati vengono condivisi «in forma anonima», cerca nell’informativa privacy quali dettagli vengono conservati: date, luoghi e fasce d’età ti dicono quanto può essere grande la folla di ogni record.

Impegno minimo: la prossima volta che leggi «anonimizzati» in un’informativa privacy, cerca una frase che dica quali dettagli restano.

In breve

• Dettagli che sembrano innocui possono essere combinati e ricondotti a una persona, senza bisogno del nome.
• Il tuo insieme di anonimato è la folla in cui ti confondi; ogni dettaglio la restringe, e i dettagli si moltiplicano.
• Togliere i nomi non basta a ottenere dati anonimi: per il GDPR conta che cosa si può ancora collegare, e la ricerca ha reidentificato persone a partire da pochi dettagli ordinari.
• Puoi allargare la tua folla condividendo dettagli meno numerosi o meno precisi, e sembrando uguale a molti.

Risorse correlate in questo corso

• Cosa rivela l’indirizzo IP: posizione, provider e metadati
• Cookie, ID pubblicità e account: come i siti ti riconoscono
• Test di fingerprinting: quanto è riconoscibile il tuo browser

Scopri altre risorse aggiuntive dei corsi online del Programma Proteggi la Tua Privacy Digitale.