Anonymní údaje a GDPR: tři kritéria EDPB a pokuta 7 milionů eur

Zveřejněno 7. listopadu 2026 · Autor: Floris Lindenaar

Pokyny EDPB 02/2026 stanoví tři kritéria anonymity. Italský Garante uložil IQVIA pokutu 7 milionů eur za zdravotní údaje, které anonymní nebyly.

Označit soubor dat za "anonymní" ho vyjme z GDPR jen tehdy, když anonymní opravdu je. Dne 7. července 2026 přijal Evropský sbor pro ochranu osobních údajů (EDPB) ke konzultaci pokyny 02/2026 k anonymizaci; konzultace skončila 30. října 2026. Dne 23. září 2026 italský úřad Garante ukázal, co se stane, když tvrzení neobstojí: pokuta 7 milionů eur pro IQVIA Solutions Italy.

Tři kritéria EDPB

Údaje jsou pro určitý subjekt anonymní, pokud se netýkají identifikované nebo identifikovatelné osoby, s ohledem na prostředky, které budou s rozumnou pravděpodobností použity. Posuzuje se to z pohledu každého relevantního subjektu: tytéž údaje mohou být pro jednoho anonymní a pro jiného osobní. Bezpečně anonymní jsou, když jsou splněna všechna tři kritéria:

• Žádné vyčlenění záznamu: žádná jedinečná kombinace hodnot nepatří jedné osobě.
• Žádné propojení: žádný záznam nelze propojit se záznamem o téže osobě v jiném souboru dat.
• Žádné odvození: o osobě nelze vyvodit žádný konkrétní a významný závěr.

Pokud jedno kritérium selže, je potřeba další analýza. Pokyny také uvádějí, že údaje osobní pro správce jsou osobní i pro zpracovatele a že technika opětovné identifikace, kterou by partner mohl jednoduše zadat třetí straně, se počítá mezi prostředky použitelné s rozumnou pravděpodobností.

Rozhodnutí o IQVIA

IQVIA vedla databázi se zdravotními údaji zhruba milionu pacientů 800 praktických lékařů, používanou pro studie zadávané i farmaceutickými firmami. Garante shledal, že údaje anonymní nebyly: trvalý kód pacienta umožňoval jeho sledování v čase a spolu s rokem narození, pohlavím, diagnózami, předpisy a údaji o poloze i vyčlenění a opětovnou identifikaci pacientů.

IQVIA zpracovávala zdravotní údaje bez vhodného právního základu, bez informování pacientů, bez dob uložení (údaje sahaly do roku 2001), bez DPIA a bez přiměřeného zabezpečení. Pokud chce pokračovat, musí zpracování do 120 dnů uvést do souladu.

Co dělat teď

Sepište soubory dat, které považujete za anonymní, a otestujte je podle tří kritérií. Pokud neobstojí, zacházejte s nimi jako s osobními údaji: s právním základem, záznamem v evidenci činností zpracování a u zdravotních údajů ve velkém rozsahu s DPIA.

Dazr Compliance vede záznamy podle článku 30 s právním základem a podmínkou podle článku 9 u každé činnosti, prověřuje každou činnost podle devíti kritérií EDPB pro DPIA a uchovává DPIA s riziky, opatřeními a schválením.

Zdroje

• EDPB: Guidelines 02/2026 on Anonymisation, version 1.0 (adopted 7 July 2026)
• EDPB: public consultation on Guidelines 02/2026 on Anonymisation, 8 July to 30 October 2026, and Guidelines at a Glance (October 2026)
• Garante per la protezione dei dati personali: Dati sanitari, 7 milioni di euro di sanzione (2 October 2026)
• EDPB: Italian DPA fines IQVIA EUR 7 000 000 for unlawful processing of patients' health data (9 October 2026)

Pouze pro informaci, nejde o právní poradenství. Naposledy aktualizováno 7. listopadu 2026.

Témata: GDPR, Anonymizace, EDPB, Itálie, Zdravotní údaje

K dispozici také v jazyce: English, Nederlands, Italiano, Deutsch, Français, Español, Polski, Português, Română, Slovenčina, Dansk, Svenska, Norsk bokmål