Anonimizzare in undici minuti: il metodo delle quattro mosse

Capire

Anonimizzare non vuol dire cancellare: vuol dire trasformare il file finché non serve più sapere chi sono le persone, tenendo intatto quello che serve al lavoro. Sono due cose diverse e la differenza è tutta pratica. Se cancelli l'identificativo del cliente perdi la domanda «chi ricompra». Se lo sostituisci con un codice, quella domanda resta in piedi e il nome resta a casa tua.

Una precisazione onesta, perché la incontrerai scritta ovunque. Sostituire i nomi con codici tenendosi la tabella di corrispondenza si chiama pseudonimizzazione: è una misura di sicurezza seria e utilissima, ma non è la stessa cosa che rendere i dati anonimi, perché con la chiave si torna indietro. Per la tua sicurezza quotidiana quello che conta è una regola sola: la chiave resta sul tuo computer e non esce mai, e nella chat finisce solo il file con i codici.

Il metodo sta in quattro mosse, sempre nello stesso ordine: togli quello che non serve, sostituisci con un codice quello che serve solo come identificativo, generalizza quello che resta e potrebbe ancora identificare qualcuno, e alla fine riporta indietro i risultati sui nomi veri, a casa tua.

E poi c'è la cosa che frega tutti, ogni volta. Le colonne si anonimizzano guardandole, perché hanno un titolo in cima: «Email», «Telefono», si vedono. I campi liberi no. La nota di consegna, le risposte aperte di un questionario, il corpo di un'email incollata: lì dentro i nomi ci sono, non stanno in una colonna, e nessuno li vede perché nessuno li legge.

Vedere

Anna Ruggeri ha «Sapori di Puglia» a Bari: conserve, sott'oli e paté, un negozio in centro e un sito che vende in tutta Italia. Da luglio 2025 a giugno 2026 il gestionale registra 1.240 ordini di 812 clienti diversi, per 96.500 € di fatturato e uno scontrino medio di 77,80 €.

Il file esportato ha undici colonne: numero d'ordine, data, nome e cognome, email, telefono, indirizzo, CAP, città, provincia, importo, note del cliente. Le domande di Anna sono tre. Chi ricompra e quanto vale davvero. Da quali province arrivano gli ordini più grossi. E se ha senso spendere 900 € in una spedizione promozionale a dicembre, o se è meglio tenerseli.

Il problema è che quel file contiene nome, email, telefono e indirizzo di 812 persone che li hanno dati per ricevere un pacco di sott'oli, non per finire dentro una conversazione con un assistente. E le tre domande di Anna, guarda caso, non hanno bisogno di nessuno di quei quattro dati.

Facciamolo insieme

1. Lavora su una copia del file, sempre. Metà delle persone non anonimizza per paura di rovinare l'originale, e ha ragione: la soluzione è duplicare, non rinunciare.
2. Scrivi il compito in una riga e segna a fianco quali colonne servono davvero. Anna: per «chi ricompra e da dove arrivano gli ordini» servono un identificativo stabile del cliente, la data, l'importo, la provincia e i prodotti. Nome, email, telefono, indirizzo e città non servono a niente.
3. MOSSA 1 — TOGLI. Cancella le colonne che non servono. È la mossa più efficace ed è quella che quasi nessuno fa fino in fondo, perché si tiene tutto «casomai servisse». Non servirà.
4. MOSSA 2 — SOSTITUISCI. Il cliente serve come identificativo, non come persona: al posto del nome ci va un codice, CL001, CL002. Attenzione a una cosa sola: lo stesso cliente deve avere sempre lo stesso codice, altrimenti «chi ricompra» sparisce. Il codice si assegna sull'email, non sul nome: due Rossi Mario sono due persone, e la stessa persona può essere scritta in tre modi diversi.
5. MOSSA 3 — GENERALIZZA. Quello che resta e potrebbe ancora identificare qualcuno lo rendi più grosso: l'indirizzo diventa la provincia, la data di nascita diventa una fascia d'età, lo stipendio esatto diventa una fascia. Regola pratica: se una categoria contiene meno di cinque persone, non hai generalizzato, hai solo cambiato nome all'identificazione.
6. Apri i campi liberi e leggili davvero. Nelle 1.240 righe di Anna, 214 note contenevano un nome proprio: «citofonare Ferrara», «lasciare da mia sorella Rita al civico 12». O togli la colonna, o la ripulisci, o te la leggi — non c'è una quarta via.
7. Salva due file con due nomi che non si confondono: ordini-anonimi.csv, che esce, e chiave-clienti.xlsx, che non esce mai e non si allega per nessun motivo.
8. Prima di allegare, fai la controprova del totale: il file anonimo deve fare gli stessi 96.500 €. È l'errore più frequente di tutta l'operazione — si filtra, si ordina male, si perdono quaranta righe e non se ne accorge nessuno.
9. MOSSA 4 — RIPORTA INDIETRO. Quando il risultato ti dice «i clienti CL014, CL087, CL203», con CERCA.VERT sul file chiave torni ai nomi veri. Sul tuo computer, non nella chat.

MOSSA 2 — assegnare un codice stabile a ogni cliente
Nel foglio «chiave»: in colonna A l'elenco delle email senza duplicati (Dati >
Rimuovi duplicati), in B il codice, in C il nome vero.
  B2:  ="CL"&TESTO(RIF.RIGA()-1;"000")
La riga 2 diventa CL001, la riga 3 CL002, e così via.

Nel file degli ordini, per portare il codice accanto a ogni riga:
  =CERCA.VERT(D2;chiave!$A:$B;2;FALSO)
dove D2 è l'email dell'ordine. Poi copia la colonna e incollala come VALORI:
altrimenti resta una formula che punta al file con i nomi veri, e il giorno che
allegherai il file te li porterai dietro.

MOSSA 4 — tornare ai nomi veri, a lavoro finito
  =CERCA.VERT("CL014";chiave!$B:$C;2;FALSO)

CONTROPROVA — il totale deve restare identico all'originale
  =SOMMA.PIÙ.SE(E:E;B:B;">=01/07/2025";B:B;"<=30/06/2026")
Se il file anonimo non fa 96.500 €, hai perso righe per strada: fermati e
trovale, perché ogni conclusione che verrà dopo sarà sbagliata di quel tanto.

Ti allego l'esportazione ANONIMA degli ordini del mio negozio di conserve e sott'oli di Bari, da luglio 2025 a giugno 2026.

COME È FATTO QUESTO FILE
La colonna Cliente contiene un codice (CL001, CL002...), non un nome: lo stesso codice è sempre la stessa persona. Nomi, email, telefoni e indirizzi non ci sono e non te li darò. Non provare a indovinare chi sono le persone, non chiedermi i loro dati e non inventare nomi al posto dei codici nemmeno per rendere più leggibili le tabelle.

Colonne: A Ordine, B Data, C Cliente (codice), D Provincia, E Importo, F Prodotti.

PRIMA DI TUTTO
Dimmi quante righe hai letto, quanti codici cliente diversi ci sono, la prima e l'ultima data e il totale della colonna Importo. Il totale deve essere 96.500 € circa: se non lo è, fermati e dimmelo invece di proseguire.

POI FAI QUESTI QUATTRO BLOCCHI, IN QUEST'ORDINE.

1) CHI RICOMPRA
Quanti clienti hanno fatto 1 ordine, 2 ordini, 3 o più. Per ogni gruppo: quanti sono, quanto hanno speso in tutto, quanto pesano sul fatturato in percentuale, e ogni quanti giorni in media tornano.

2) DA DOVE ARRIVANO
Tabella per provincia: numero di ordini, fatturato, importo medio. Segnalami le province dove l'importo medio è più alto della media generale.

3) IL PRIMO ORDINE
Guarda solo il PRIMO ordine di ogni cliente che poi è tornato e confrontalo con il primo ordine di chi non è più tornato: c'è un prodotto o un importo che distingue i due gruppi? Se la differenza è piccola dimmi che è piccola, invece di costruirci sopra una spiegazione.

4) LA SPEDIZIONE DI DICEMBRE
Sto pensando di spendere 900 € in una spedizione promozionale a dicembre. In base a QUESTI dati: a quali gruppi di codici cliente la manderesti, quanti sono, e quanto dovrebbero spendere in media perché i 900 € rientrino.

REGOLE
- Solo questo file. Niente statistiche di settore sull'alimentare online.
- Ogni numero che scrivi devo poterlo ricalcolare: dimmi su quali righe è basato.
- Se un dato non basta per rispondere, scrivilo invece di stimarlo.

1) CHI RICOMPRA — 812 clienti
- 1 solo ordine:  601 clienti (74%) — 41.900 € (43% del fatturato)
- 2 ordini:       129 clienti (16%) — 20.600 € (21%)
- 3 o più ordini:  82 clienti (10%) — 34.000 € (35%), in media 5,1 ordini
Chi torna una seconda volta lo fa in media dopo 74 giorni; chi arriva al terzo
ordine scende a 51 giorni fra un ordine e l'altro.

3) IL PRIMO ORDINE
Chi è poi tornato aveva speso in media 84,10 € al primo ordine; chi non è più
tornato 61,40 €. Nel primo gruppo il formato «3 vasetti misti» compare in 61
casi su 211; nel secondo in 44 casi su 601. La differenza è netta e si vede
anche togliendo gli ordini sopra i 200 €.

Il numero che ha cambiato dicembre ad Anna è nella terza riga: 82 clienti su 812 — il 10% — portano il 35% del fatturato. I 900 € non li ha spesi in una spedizione a tutta la lista: ne ha spesi 340 per un pacco di Natale mandato a quegli 82, con un biglietto scritto a mano. Il resto è rimasto in cassa.

Perché ha funzionato

• «La colonna Cliente contiene un codice, non un nome» fa due cose insieme: dice che quell'identificativo è stabile — senza saperlo, «chi ricompra» non sarebbe calcolabile — e chiude in anticipo la richiesta dei dati mancanti.
• «Non inventare nomi al posto dei codici nemmeno per rendere più leggibili le tabelle» sembra una precisazione da pignoli ed è invece necessaria: capita spesso che nelle tabelle di risposta compaiano nomi verosimili al posto dei codici, per gentilezza. Un nome finto dentro un rapporto che poi giri a un collaboratore è peggio di un codice: sembra vero.
• Il totale di controllo (96.500 €) è la prova che l'anonimizzazione non si è mangiata delle righe. È l'errore più frequente dell'operazione e il più invisibile: le percentuali restano credibili anche calcolate su 1.200 righe invece che su 1.240.
• Tenere la provincia e buttare l'indirizzo non ha tolto niente all'analisi. Anna voleva sapere da dove arrivano gli ordini, non a quale numero civico: la generalizzazione, quando è fatta sul dato giusto, non costa niente in precisione.
• «Se la differenza è piccola dimmi che è piccola» è il freno all'entusiasmo. Fra due gruppi qualsiasi una differenza si trova sempre, e una spiegazione convincente pure. Quella riga distingue il caso in cui c'è un segnale dal caso in cui c'è del rumore ben raccontato.
• Il tempo delle quattro mosse: undici minuti, di cui sette spesi sulla colonna delle note. È il rapporto tipico: la parte meccanica è veloce, i campi liberi sono il lavoro vero.

Prova tu

Il modello pronto

Ti allego l'esportazione ANONIMA di {{CHE COSA: ordini, clienti, interventi, risposte}} di {{ATTIVITÀ, CITTÀ}}, dal {{DATA}} al {{DATA}}.

COME È FATTO QUESTO FILE
La colonna {{NOME COLONNA}} contiene un codice ({{ESEMPIO: CL001}}), non un nome: lo stesso codice è sempre la stessa persona. Nomi, email, telefoni e indirizzi non ci sono e non te li darò. Non provare a indovinare chi sono, non chiedermi i loro dati e non sostituire i codici con nomi verosimili nemmeno per rendere più leggibili le tabelle.

Colonne: {{ELENCO DELLE COLONNE, con la lettera e il contenuto}}.

PRIMA DI TUTTO
Dimmi quante righe hai letto, quanti codici diversi ci sono, la prima e l'ultima data e il totale della colonna {{COLONNA DEGLI IMPORTI}}. Deve essere {{TOTALE DI CONTROLLO}}: se non lo è, fermati e dimmelo.

POI, IN QUEST'ORDINE
1) {{PRIMA DOMANDA}}
2) {{SECONDA DOMANDA}}
3) {{TERZA DOMANDA}}

REGOLE
- Solo questo file: niente statistiche esterne o medie di settore.
- Ogni numero devo poterlo ricalcolare: dimmi su quali righe è basato.
- Se una differenza fra due gruppi è piccola, dimmi che è piccola invece di spiegarla.
- Se un dato non basta per rispondere, scrivilo invece di stimarlo.

Errore comune

Livello successivo