Anonieme gegevens onder de AVG: de drie toetsen van de EDPB en een boete van 7 miljoen euro
EDPB-richtsnoeren 02/2026 geven drie toetsen voor anonieme gegevens. De Italiaanse Garante beboette IQVIA met 7 miljoen euro voor niet-anonieme zorgdata.
Een dataset "anoniem" noemen haalt hem alleen buiten de AVG als hij dat echt is. Op 7 juli 2026 nam het Europees Comité voor gegevensbescherming (EDPB) Richtsnoeren 02/2026 over anonimisering aan voor consultatie, die op 30 oktober 2026 sloot. Op 23 september 2026 liet de Italiaanse Garante zien wat er gebeurt als die claim niet klopt: een boete van 7 miljoen euro voor IQVIA Solutions Italy.
De drie toetsen van de EDPB
Gegevens zijn anoniem voor een partij als ze niet betrekking hebben op een geïdentificeerde of identificeerbare persoon, met de middelen die redelijkerwijs zullen worden gebruikt. Dat wordt beoordeeld vanuit elke relevante partij, dus dezelfde gegevens kunnen voor de een anoniem en voor de ander persoonsgegevens zijn. Ze zijn veilig anoniem als aan alle drie de criteria is voldaan:
- Geen isolatie van records: geen unieke combinatie van waarden die bij één persoon hoort.
- Geen koppeling: geen record dat kan worden gekoppeld aan een record over dezelfde persoon in een andere dataset.
- Geen afleiding: er valt geen specifieke en betekenisvolle conclusie over een persoon te trekken.
Faalt één criterium, dan is verdere analyse nodig. Volgens de richtsnoeren zijn gegevens die voor een verwerkingsverantwoordelijke persoonsgegevens zijn, dat ook voor de verwerker, en telt een heridentificatietechniek die een partner eenvoudig door een derde kan laten uitvoeren als middel dat redelijkerwijs zal worden gebruikt.
Het besluit over IQVIA
IQVIA had een database met gezondheidsgegevens van ongeveer een miljoen patiënten van 800 huisartsen, gebruikt voor onderzoek dat ook farmaceutische bedrijven bestelden. Volgens de Garante waren de gegevens niet anoniem: een vaste code per patiënt maakte volgen in de tijd mogelijk en, met geboortejaar, geslacht, diagnoses, voorschriften en locatiegegevens, ook het isoleren en heridentificeren van patiënten.
IQVIA verwerkte gezondheidsgegevens zonder passende grondslag, zonder patiënten te informeren, zonder bewaartermijnen (de gegevens gingen terug tot 2001), zonder DPIA en zonder passende beveiliging. Wil het bedrijf doorgaan, dan moet het binnen 120 dagen aan de regels voldoen.
Wat u nu kunt doen
Zet de datasets op een rij die u als anoniem behandelt en toets ze aan de drie criteria. Falen ze, behandel ze dan als persoonsgegevens: een grondslag, een vermelding in uw verwerkingsregister en, bij gezondheidsgegevens op grote schaal, een DPIA.
Dazr Compliance houdt het register van verwerkingsactiviteiten (artikel 30) bij met de grondslag en de voorwaarde van artikel 9 per activiteit, toetst elke activiteit aan de negen EDPB-criteria voor een DPIA en bewaart de DPIA's met hun risico's, maatregelen en goedkeuring.
Bronnen
- EDPB: Guidelines 02/2026 on Anonymisation, version 1.0 (adopted 7 July 2026)
- EDPB: public consultation on Guidelines 02/2026 on Anonymisation, 8 July to 30 October 2026, and Guidelines at a Glance (October 2026)
- Garante per la protezione dei dati personali: Dati sanitari, 7 milioni di euro di sanzione (2 October 2026)
- EDPB: Italian DPA fines IQVIA EUR 7 000 000 for unlawful processing of patients' health data (9 October 2026)
Ter informatie, geen juridisch advies. Laatst bijgewerkt op 7 november 2026.
Ook beschikbaar in: English, Italiano, Deutsch, Français, Español, Polski, Português, Română, Čeština, Slovenčina, Dansk, Svenska, Norsk bokmål