Dati anonimi e GDPR: i tre criteri dell'EDPB e una sanzione da 7 milioni di euro
Le Linee guida EDPB 02/2026 fissano tre criteri per i dati anonimi. Il Garante ha sanzionato IQVIA per 7 milioni: i dati sanitari non erano anonimi.
Definire "anonimo" un insieme di dati lo porta fuori dal GDPR solo se lo è davvero. Il 7 luglio 2026 il Comitato europeo per la protezione dei dati (EDPB) ha adottato per la consultazione le Linee guida 02/2026 sull'anonimizzazione; la consultazione si è chiusa il 30 ottobre 2026. Il 23 settembre 2026 il Garante privacy ha mostrato cosa succede quando l'affermazione non regge: una sanzione di 7 milioni di euro a IQVIA Solutions Italy (provvedimento n. 710).
I tre criteri dell'EDPB
I dati sono anonimi per un soggetto se non si riferiscono a una persona identificata o identificabile, considerando i mezzi di cui è ragionevolmente probabile l'utilizzo. La valutazione si fa dal punto di vista di ciascun soggetto rilevante: gli stessi dati possono essere anonimi per uno e personali per un altro. Sono anonimi con sicurezza se tutti e tre i criteri sono rispettati:
- Nessun isolamento dei record: nessuna combinazione unica di valori riferita a una sola persona.
- Nessun collegamento: nessun record collegabile a un record sulla stessa persona in un altro insieme di dati.
- Nessuna inferenza: nessuna conclusione specifica e significativa su una persona.
Se un criterio non è soddisfatto, serve un'analisi ulteriore. Le linee guida chiariscono anche che i dati personali per il titolare lo sono anche per il responsabile del trattamento, e che una tecnica di reidentificazione che un partner potrebbe semplicemente affidare a un terzo conta come mezzo ragionevolmente utilizzabile.
Il provvedimento su IQVIA
IQVIA gestiva una banca dati con informazioni sulla salute di circa un milione di pazienti di 800 medici di medicina generale, usata per studi commissionati anche da aziende farmaceutiche. Per il Garante i dati non erano anonimi: il codice associato a ciascun paziente permetteva di seguirlo nel tempo e, insieme ad anno di nascita, sesso, diagnosi, prescrizioni e dati di localizzazione, di isolare e reidentificare i pazienti.
IQVIA ha trattato dati sanitari senza un'idonea base giuridica, senza informare i pazienti, senza tempi di conservazione (i dati risalivano al 2001), senza valutazione d'impatto e senza misure di sicurezza adeguate. Se vuole proseguire, deve adeguarsi entro 120 giorni.
Cosa fare ora
Elencate gli insiemi di dati che trattate come anonimi e verificateli con i tre criteri. Se non li superano, trattateli come dati personali: una base giuridica, una voce nel registro dei trattamenti e, per dati sanitari su larga scala, una DPIA.
Dazr Compliance tiene il registro dell'articolo 30 con base giuridica e condizione dell'articolo 9 per ogni attività, verifica ogni attività sui nove criteri EDPB per la DPIA e conserva le DPIA con rischi, misure e approvazione.
Fonti
- EDPB: Guidelines 02/2026 on Anonymisation, version 1.0 (adopted 7 July 2026)
- EDPB: public consultation on Guidelines 02/2026 on Anonymisation, 8 July to 30 October 2026, and Guidelines at a Glance (October 2026)
- Garante per la protezione dei dati personali: Dati sanitari, 7 milioni di euro di sanzione (2 October 2026)
- EDPB: Italian DPA fines IQVIA EUR 7 000 000 for unlawful processing of patients' health data (9 October 2026)
A scopo informativo, non costituisce consulenza legale. Ultimo aggiornamento: 7 novembre 2026.
Disponibile anche in: English, Nederlands, Deutsch, Français, Español, Polski, Português, Română, Čeština, Slovenčina, Dansk, Svenska, Norsk bokmål