Datos anónimos y RGPD: los tres criterios del CEPD y una multa de 7 millones de euros
Las Directrices 02/2026 del CEPD fijan tres criterios de anonimato. El Garante italiano multó a IQVIA con 7 millones por datos de salud no anónimos.
Llamar "anónimo" a un conjunto de datos solo lo saca del RGPD si realmente lo es. El 7 de julio de 2026 el Comité Europeo de Protección de Datos (CEPD) adoptó para consulta las Directrices 02/2026 sobre anonimización; la consulta cerró el 30 de octubre de 2026. El 23 de septiembre de 2026 el Garante italiano mostró qué ocurre cuando la afirmación no se sostiene: una multa de 7 millones de euros a IQVIA Solutions Italy.
Los tres criterios del CEPD
Los datos son anónimos para una entidad si no se refieren a una persona identificada o identificable, teniendo en cuenta los medios que razonablemente puedan utilizarse. Se valora desde la perspectiva de cada entidad pertinente: los mismos datos pueden ser anónimos para una y personales para otra. Son anónimos con seguridad si se cumplen los tres criterios:
- Sin aislamiento de registros: ninguna combinación única de valores que pertenezca a una persona.
- Sin vinculación: ningún registro que pueda vincularse con otro sobre la misma persona en otro conjunto de datos.
- Sin inferencia: ninguna conclusión específica y significativa sobre una persona.
Si falla un criterio, hace falta un análisis más detallado. Las directrices aclaran además que los datos personales para el responsable lo son también para su encargado, y que una técnica de reidentificación que un socio podría simplemente encargar a un tercero cuenta como medio que razonablemente puede utilizarse.
La decisión sobre IQVIA
IQVIA mantenía una base con datos de salud de alrededor de un millón de pacientes de 800 médicos de cabecera, usada para estudios encargados también por farmacéuticas. El Garante concluyó que los datos no eran anónimos: un código persistente por paciente permitía seguirlo en el tiempo y, junto con año de nacimiento, sexo, diagnósticos, prescripciones y datos de ubicación, aislar y reidentificar a los pacientes.
IQVIA trataba datos de salud sin base jurídica adecuada, sin informar a los pacientes, sin plazos de conservación (los datos se remontaban a 2001), sin EIPD y sin seguridad adecuada. Si quiere continuar, debe adecuarse en 120 días.
Qué hacer ahora
Haga una lista de los conjuntos de datos que trata como anónimos y compruébelos con los tres criterios. Si no los superan, trátelos como datos personales: una base jurídica, una entrada en su registro de actividades y, para datos de salud a gran escala, una EIPD.
Dazr Compliance lleva el registro del artículo 30 con la base jurídica y la condición del artículo 9 de cada actividad, comprueba cada actividad con los nueve criterios del CEPD para una EIPD y guarda las EIPD con sus riesgos, medidas y aprobación.
Fuentes
- EDPB: Guidelines 02/2026 on Anonymisation, version 1.0 (adopted 7 July 2026)
- EDPB: public consultation on Guidelines 02/2026 on Anonymisation, 8 July to 30 October 2026, and Guidelines at a Glance (October 2026)
- Garante per la protezione dei dati personali: Dati sanitari, 7 milioni di euro di sanzione (2 October 2026)
- EDPB: Italian DPA fines IQVIA EUR 7 000 000 for unlawful processing of patients' health data (9 October 2026)
Solo a título informativo, no es asesoramiento jurídico. Última actualización: 7 de noviembre de 2026.
También disponible en: English, Nederlands, Italiano, Deutsch, Français, Polski, Português, Română, Čeština, Slovenčina, Dansk, Svenska, Norsk bokmål