Linee Guida EDPB 02/2025 su blockchain e GDPR: la versione 2.0 conferma un approccio privacy rigoroso

Il 7 luglio 2026, il Comitato europeo per la protezione dei dati (“EDPB”) ha adottato la versione definitiva (“versione 2.0”) delle Linee Guida 02/2025 sul trattamento dei dati personali attraverso le tecnologie blockchain (le “Linee Guida”), a conclusione della consultazione pubblica chiusasi il 9 giugno 2025.

La prima versione – adottata l’8 aprile 2025 e già oggetto di un nostro precedente contributo – affrontava il complesso rapporto tra le caratteristiche strutturali della tecnologia a registro distribuito (“DLT”) (decentralizzazione, immutabilità delle registrazioni, distribuzione dei nodi su scala globale) e i principi del GDPR, primi fra tutti la minimizzazione dei dati, la limitazione della conservazione e l’effettivo esercizio dei diritti degli interessati.

Il messaggio complessivo che emerge dal confronto tra le due versioni è chiaro. Nonostante le forti critiche sollevate dagli operatori dell’industria decentralizzata durante la consultazione, l’EDPB ha sostanzialmente confermato l’impianto originario, limitandosi a chiarimenti terminologici e a integrazioni mirate.

1. Un impianto sostanzialmente confermato

Una lettura comparata dei due testi rivela che nessuno dei passaggi che avevano suscitato le maggiori preoccupazioni degli operatori è stato modificato nella sostanza. In particolare:

• resta ferma la preferenza per le blockchain permissioned (quelle, cioè, in cui un’autorità – un singolo soggetto o un gruppo di soggetti – stabilisce chi può leggere, scrivere o creare blocchi): le organizzazioni dovrebbero privilegiare architetture autorizzate, che offrono un’allocazione più chiara delle responsabilità, ed esplorare diverse alternative di governance soltanto in presenza di ragioni giustificate e documentate, interrogandosi in tal caso sull’opportunità stessa di ricorrere alla tecnologia blockchain;
• è confermata integralmente l’analisi sui ruoli dei nodi: mentre i nodi con potere decisionale limitato potrebbero non qualificarsi come titolari, i nodi delle blockchain pubbliche permissionless (aperte alla partecipazione paritaria di chiunque, come Bitcoin ed Ethereum) possono essere qualificati come titolari o contitolari del trattamento qualora esercitino un’influenza determinante sulla definizione di finalità e mezzi essenziali del trattamento di dati personali, con il correlato invito – anch’esso invariato – alla costituzione di consorzi o altre entità giuridiche tra i nodi;
• rimangono invariati il quadro di valutazione preliminare richiesto ai titolari (necessità della blockchain, tipologia di architettura, misure tecniche e organizzative, collocazione on-chain od off-chain dei dati), la centralità della valutazione d’impatto sulla protezione dei dati (“DPIA”) ex articolo 35 GDPR e le sedici raccomandazioni dell’Allegato A, che sono state oggetto soltanto di affinamenti redazionali.
• sopravvive alla consultazione la posizione forse più discussa dell’intero documento: laddove la cancellazione dei dati non sia stata prevista fin dalla progettazione (by design), il rispetto del principio di limitazione della conservazione potrebbe richiedere la cancellazione dell’intera blockchain, il che risulta sostanzialmente incompatibile con la natura delle blockchain permissionless che, per struttura, non possono essere forzate alla cancellazione del registro distribuito.

Va peraltro rilevato che le stesse linee guida indicano, accanto a quest’ultima posizione di principio, una via d’uscita più realistica. Quando la combinazione di dati on-chain e off-chain è stata concepita by design in ottica di conformità, la limitazione della conservazione può essere soddisfatta impedendo la futura identificabilità dell’interessato mediante la cancellazione dei soli elementi off-chain (chiavi, salt, witness), così che la transazione residua sulla catena – ormai priva di qualsiasi valenza semantica – sopravviva al solo scopo di preservare l’integrità del registro. In altri termini, al termine del periodo di conservazione i dati devono essere cancellati oppure resi anonimi: ed è proprio l’anonimizzazione a rappresentare, per gli operatori, la strada concretamente percorribile. Il punto va letto in combinato disposto con le linee guida 02/2026 sull’anonimizzazione, adottate dall’EDPB nella medesima plenaria del 7 luglio 2026 (e in consultazione pubblica fino al 30 ottobre 2026), che aggiornano l’Opinion 05/2014 del WP29 alla luce della più recente giurisprudenza della Corte di Giustizia (Breyer, C-582/14; EDPS c. SRB, C-413/23 P). Recependo l’approccio relativo e contestuale affermato dalla Corte, le nuove linee guida chiariscono che un dato può considerarsi anonimo quando la probabilità di identificazione dell’interessato, con mezzi ragionevolmente utilizzabili dalle entità rilevanti, risulti insignificante, e articolano il test nei tre criteri del no record isolation, no linkage e no inference. Ne discende un’indicazione operativa per chi progetta trattamenti su blockchain permissionless: strutturare fin dall’origine l’architettura on-chain/off-chain in modo che, decorso il periodo di conservazione, la cancellazione degli elementi off-chain renda i dati residui sulla catena effettivamente anonimi ai sensi del nuovo framework, con conseguente fuoriuscita dall’ambito di applicazione del GDPR e venir meno degli stessi obblighi di cancellazione – scongiurando così lo scenario, tanto paradossale quanto potenzialmente impraticabile, della cancellazione dell’intera catena.

Anche i passaggi sulla qualificazione degli identificativi come dati personali – le chiavi pubbliche riferibili a persone fisiche identificabili con mezzi ragionevolmente utilizzabili – e il monito per cui l’impossibilità tecnica non può essere invocata per giustificare la non conformità al GDPR restano immutati. Come vedremo, su questo fronte la versione finale non solo non arretra, ma rafforza la posizione del Comitato.

2. I chiarimenti introdotti

Le modifiche effettivamente incorporate nella versione 2.0 sono circoscritte, ma alcune presentano un rilievo pratico non trascurabile.

1. I metadati on-chain come dati personali. Il principio per cui i dati on-chain non si esauriscono nel payload (il contenuto) delle transazioni, ma comprendono anche le altre strutture dati registrate sulla catena, era già presente nella prima versione. La versione finale lo rende però operativo con una nuova nota che elenca espressamente le categorie di metadati on-chain suscettibili di costituire dati personali quando consentono l’identificazione diretta o indiretta di una persona fisica: identificativi di transazione, wallet address (gli indirizzi alfanumerici che identificano i partecipanti alle transazioni), event log (i registri degli eventi), ricevute, transizioni di stato, storage degli smart contract e relative tracce. Si tratta di un chiarimento che va in direzione opposta alle richieste dell’industria di escludere tali identificativi dalla nozione di dato personale e che impone una mappatura più granulare dei dati personali trattati.
2. Il riconoscimento (condizionato) delle PET. La versione finale integra il passaggio sulle misure di protezione dei dati on-chain (crittografia, hashing con salt o chiave segreta, cryptographic commitment) con un richiamo espresso alle Privacy Enhancing Technologies (“PET”) emergenti, quali le zero-knowledge proof (protocolli che consentono di dimostrare la veridicità di un’affermazione senza rivelarne il contenuto) e altri protocolli crittografici avanzati al pari degli obblighi crittografici, riconosciute come tecniche utili a ridurre i rischi per gli interessati. Il riconoscimento è tuttavia accompagnato da una duplice cautela, anch’essa nuova: tali tecnologie devono essere attentamente testate e validate, e in ogni caso non sono autosufficienti, dovendo essere sempre affiancate da ulteriori misure tecniche e organizzative idonee a garantire la conformità al GDPR e l’esercizio dei diritti degli interessati.
3. Il raccordo con MiCAR e AMLR sulla conservazione dei dati. Di particolare interesse per gli operatori del settore crypto è la nuova nota inserita nella sezione dedicata ai periodi di conservazione, che richiama espressamente gli obblighi di retention previsti dal Regolamento (UE) 2023/1114 (“MiCAR”) – (articoli 68, paragrafo 9, e 76, paragrafo 15) e dal Regolamento antiriciclaggio (UE) 2024/1624 (“AMLR”) (articolo 77), i quali impongono la conservazione dei dati identificativi e transazionali per almeno cinque anni dalla cessazione del rapporto d’affari; la nota precisa altresì che l’AMLR si applicherà dal 10 luglio 2027 e che, nel frattempo, resta applicabile l’articolo 40 della direttiva (UE) 2015/849. Per i prestatori di servizi per le cripto-attività (“CASP”) autorizzati ai sensi del MiCAR, il richiamo offre finalmente un ancoraggio esplicito, all’interno delle Linee Guida, per la costruzione delle retention policy, confermando che i termini di conservazione stabiliti dal diritto dell’Unione o degli Stati membri devono essere tenuti in considerazione nella determinazione dei periodi di retention.
4. Le restrizioni ai diritti ex articolo 23 GDPR. Sul piano sistematico merita attenzione anche la riformulazione del passaggio dedicato alle restrizioni dei diritti degli interessati: la versione finale chiarisce che gli esempi rilevanti – tra cui i casi antiriciclaggio e gli inventari di determinati beni – presuppongono che sia il diritto dell’Unione o dello Stato membro a imporre il ricorso a soluzioni blockchain. Resta fermo che le restrizioni devono essere proporzionate, rigorosamente definite dalla legge e rispondenti al requisito di necessità in una società democratica.
5. Il glossario ampliato. La versione 2.0 arricchisce significativamente l’Allegato B con quattro nuove definizioni:
6. quella di consensus, che precisa come i meccanismi di consenso tra i nodi possano essere probabilistici o eventuali e come possano insorgere versioni concorrenti della catena (fork);
7. quella di publicity, intesa come il grado di visibilità e accessibilità dei dati trattati in connessione con una blockchain, nozione centrale nell’impianto delle Linee Guida ma priva di definizione nella prima versione;

• un’ampia definizione di smart contract, che ne cataloga le diverse tipologie (token contract, governance contract, contratti multifirma o di escrow, bridge, proxy, factory, contratti oracle-related) e ne descrive le esecuzioni a cascata;

1. e, soprattutto, quella di wallet address/account/chiave pubblica, che ne cristallizza la qualificazione come dato personale ai sensi dell’articolo 4 GDPR ogniqualvolta l’identificativo sia associabile a una persona fisica identificata o identificabile.
2. Completano il quadro l’integrazione della definizione di ledger – con la precisazione che nella maggior parte delle implementazioni i dati del registro sono materializzati a livello di nodo mediante database chiave-valore – e la coerente sostituzione, nel corpo del testo, del riferimento alle “identità” delle parti con quello ai loro “identificativi”.

Il resto degli interventi ha natura redazionale: correzione di refusi, scioglimento di formulazioni ambigue e riallineamenti terminologici che non incidono sulla sostanza delle indicazioni.

3. Cosa cambia in concreto per gli operatori

Con l’adozione della versione finale, le Linee Guida cessano di essere un documento in fieri e diventano il parametro interpretativo di riferimento per le autorità di controllo europee. Per le organizzazioni che trattano dati personali mediante blockchain, le implicazioni operative sono almeno tre.

• In primo luogo, la consultazione non ha spostato l’asse regolatorio: chi confidava in un ammorbidimento delle posizioni su cancellazione, ruoli privacy dei nodi o preferenza per le architetture permissioned dovrà prendere atto che l’orientamento è ormai consolidato. La progettazione di qualsiasi trattamento basato su blockchain dovrà muovere dalla valutazione preliminare richiesta dall’EDPB, documentata e, nella generalità dei casi, confluente in una DPIA che affronti gli aspetti specifici indicati dalle Linee Guida.
• In secondo luogo, la nuova nota sui metadati on-chain e la definizione di wallet address impongono di estendere l’analisi di conformità oltre il contenuto delle transazioni: event log, storage degli smart contract, ricevute e transizioni di stato entrano a pieno titolo nel perimetro della mappatura dei dati personali, con conseguenze dirette su registri dei trattamenti, informative e valutazioni d’impatto.
• Infine, per i CASP e gli altri soggetti vigilati, il richiamo espresso a MiCAR e AMLR conferma la necessità di un approccio integrato, in cui le retention policy e le misure di data protection by design siano costruite tenendo insieme obblighi antiriciclaggio, requisiti prudenziali e principi del GDPR.

Il bivio normativo di cui avevamo scritto all’indomani della prima versione si è dunque risolto: l’EDPB ha scelto (prevedibilmente) la strada della continuità interpretativa, e l’ecosistema europeo decentralizzato dovrà trarne le conseguenze in termini di compliance.

Su un argomento simile può essere d’interesse l’articolo “Linee Guida EDPB 02/2025: orientarsi nella compliance GDPR con la tecnologia blockchain”.

Autori: Andrea Pantaleo e Giulio Napolitano