Anonyme data og GDPR: EDPB's tre test og en bøde på 7 millioner euro
EDPB's retningslinjer 02/2026 giver tre test for anonyme data. Italiens Garante gav IQVIA en bøde på 7 mio. euro for sundhedsdata, der ikke var anonyme.
At kalde et datasæt "anonymt" fører det kun uden for GDPR, hvis det virkelig er det. Den 7. juli 2026 vedtog Det Europæiske Databeskyttelsesråd (EDPB) retningslinjer 02/2026 om anonymisering til høring; høringen sluttede den 30. oktober 2026. Den 23. september 2026 viste den italienske tilsynsmyndighed Garante, hvad der sker, når påstanden ikke holder: en bøde på 7 millioner euro til IQVIA Solutions Italy.
EDPB's tre test
Data er anonyme for en enhed, hvis de ikke vedrører en identificeret eller identificerbar person, set i forhold til de midler, der med rimelig sandsynlighed vil blive brugt. Det vurderes ud fra hver relevant enheds perspektiv, så de samme data kan være anonyme for én og personoplysninger for en anden. De er sikkert anonyme, når alle tre kriterier er opfyldt:
- Ingen isolering af poster: ingen unik kombination af værdier, der hører til én person.
- Ingen sammenkobling: ingen post, der kan kobles til en post om samme person i et andet datasæt.
- Ingen udledning: der kan ikke drages en specifik og meningsfuld konklusion om en person.
Fejler ét kriterium, kræves yderligere analyse. Retningslinjerne siger også, at data, der er personoplysninger for den dataansvarlige, også er det for databehandleren, og at en genidentifikationsteknik, som en partner blot kunne hyre en tredjepart til, tæller som et middel, der med rimelig sandsynlighed vil blive brugt.
Afgørelsen om IQVIA
IQVIA havde en database med helbredsoplysninger om ca. en million patienter hos 800 praktiserende læger, brugt til studier, som også medicinalvirksomheder bestilte. Garante fandt, at data ikke var anonyme: en fast kode pr. patient gjorde det muligt at følge personen over tid og, sammen med fødselsår, køn, diagnoser, recepter og lokaliseringsdata, at udskille og genidentificere patienter.
IQVIA behandlede helbredsoplysninger uden passende retsgrundlag, uden at oplyse patienterne, uden opbevaringsperioder (data gik tilbage til 2001), uden konsekvensanalyse og uden tilstrækkelig sikkerhed. Vil virksomheden fortsætte, skal den overholde reglerne inden for 120 dage.
Hvad du kan gøre nu
Lav en liste over de datasæt, I behandler som anonyme, og test dem mod de tre kriterier. Fejler de, så behandl dem som personoplysninger: med retsgrundlag, en post i fortegnelsen over behandlingsaktiviteter og, ved helbredsoplysninger i stort omfang, en konsekvensanalyse (DPIA).
Dazr Compliance fører fortegnelsen efter artikel 30 med retsgrundlag og betingelse efter artikel 9 for hver aktivitet, screener hver aktivitet mod EDPB's ni kriterier for en DPIA og opbevarer konsekvensanalyserne med risici, foranstaltninger og godkendelse.
Kilder
- EDPB: Guidelines 02/2026 on Anonymisation, version 1.0 (adopted 7 July 2026)
- EDPB: public consultation on Guidelines 02/2026 on Anonymisation, 8 July to 30 October 2026, and Guidelines at a Glance (October 2026)
- Garante per la protezione dei dati personali: Dati sanitari, 7 milioni di euro di sanzione (2 October 2026)
- EDPB: Italian DPA fines IQVIA EUR 7 000 000 for unlawful processing of patients' health data (9 October 2026)
Kun til orientering, ikke juridisk rådgivning. Senest opdateret 7. november 2026.
Findes også på: English, Nederlands, Italiano, Deutsch, Français, Español, Polski, Português, Română, Čeština, Slovenčina, Svenska, Norsk bokmål