Anonyme opplysninger og GDPR: EDPBs tre tester og et gebyr på 7 millioner euro
EDPBs retningslinjer 02/2026 gir tre tester for anonyme data. Italias Garante ila IQVIA 7 millioner euro i gebyr for helsedata som ikke var anonyme.
Å kalle et datasett "anonymt" tar det bare ut av GDPR hvis det virkelig er det. Den 7. juli 2026 vedtok Personvernrådet (EDPB) retningslinjer 02/2026 om anonymisering for høring; høringen ble avsluttet 30. oktober 2026. Den 23. september 2026 viste den italienske tilsynsmyndigheten Garante hva som skjer når påstanden ikke holder: et gebyr på 7 millioner euro til IQVIA Solutions Italy.
EDPBs tre tester
Opplysninger er anonyme for en aktør hvis de ikke gjelder en identifisert eller identifiserbar person, med tanke på midler som med rimelig sannsynlighet vil bli brukt. Det vurderes fra hver relevant aktørs ståsted, så de samme opplysningene kan være anonyme for én og personopplysninger for en annen. De er trygt anonyme når alle tre kriteriene er oppfylt:
- Ingen isolering av poster: ingen unik kombinasjon av verdier som hører til én person.
- Ingen kobling: ingen post som kan kobles til en post om samme person i et annet datasett.
- Ingen slutning: ingen spesifikk og meningsfull konklusjon om en person kan trekkes.
Svikter ett kriterium, trengs videre analyse. Retningslinjene sier også at opplysninger som er personopplysninger for den behandlingsansvarlige, også er det for databehandleren, og at en reidentifiseringsteknikk som en partner enkelt kan leie inn en tredjepart til, regnes som et middel som med rimelig sannsynlighet vil bli brukt.
Vedtaket om IQVIA
IQVIA hadde en database med helseopplysninger om rundt én million pasienter hos 800 fastleger, brukt i studier som også legemiddelselskaper bestilte. Garante fant at opplysningene ikke var anonyme: en fast kode per pasient gjorde det mulig å følge personen over tid og, sammen med fødselsår, kjønn, diagnoser, resepter og lokasjonsdata, å skille ut og reidentifisere pasienter.
IQVIA behandlet helseopplysninger uten egnet behandlingsgrunnlag, uten å informere pasientene, uten lagringstider (opplysningene gikk tilbake til 2001), uten DPIA og uten tilstrekkelig sikkerhet. Vil selskapet fortsette, må det oppfylle kravene innen 120 dager.
Hva du kan gjøre nå
List opp datasettene dere behandler som anonyme, og test dem mot de tre kriteriene. Hvis de ikke består, behandle dem som personopplysninger: med behandlingsgrunnlag, en oppføring i protokollen over behandlingsaktiviteter og, for helseopplysninger i stort omfang, en DPIA.
Dazr Compliance fører protokollen etter artikkel 30 med behandlingsgrunnlag og vilkår etter artikkel 9 for hver aktivitet, vurderer hver aktivitet mot EDPBs ni kriterier for en DPIA og lagrer vurderingene med risikoer, tiltak og godkjenning.
Kilder
- EDPB: Guidelines 02/2026 on Anonymisation, version 1.0 (adopted 7 July 2026)
- EDPB: public consultation on Guidelines 02/2026 on Anonymisation, 8 July to 30 October 2026, and Guidelines at a Glance (October 2026)
- Garante per la protezione dei dati personali: Dati sanitari, 7 milioni di euro di sanzione (2 October 2026)
- EDPB: Italian DPA fines IQVIA EUR 7 000 000 for unlawful processing of patients' health data (9 October 2026)
Kun til informasjon, ikke juridisk rådgivning. Sist oppdatert 7. november 2026.
Finnes også på: English, Nederlands, Italiano, Deutsch, Français, Español, Polski, Português, Română, Čeština, Slovenčina, Dansk, Svenska