Dane anonimowe a RODO: trzy kryteria EROD i kara 7 mln euro
Wytyczne EROD 02/2026 wskazują trzy kryteria anonimowości. Włoski Garante nałożył 7 mln euro kary na IQVIA za dane o zdrowiu, które nie były anonimowe.
Nazwanie zbioru danych "anonimowym" wyłącza go spod RODO tylko wtedy, gdy rzeczywiście jest anonimowy. 7 lipca 2026 r. Europejska Rada Ochrony Danych (EROD) przyjęła do konsultacji wytyczne 02/2026 w sprawie anonimizacji; konsultacje zakończyły się 30 października 2026 r. 23 września 2026 r. włoski organ Garante pokazał, co się dzieje, gdy to twierdzenie nie wytrzymuje sprawdzenia: kara 7 mln euro dla IQVIA Solutions Italy.
Trzy kryteria EROD
Dane są anonimowe dla danego podmiotu, jeżeli nie dotyczą zidentyfikowanej lub możliwej do zidentyfikowania osoby, przy uwzględnieniu sposobów, których wykorzystanie jest rozsądnie prawdopodobne. Ocenia się to z perspektywy każdego istotnego podmiotu: te same dane mogą być anonimowe dla jednego i osobowe dla drugiego. Są bezpiecznie anonimowe, gdy spełnione są wszystkie trzy kryteria:
- Brak wyodrębnienia rekordu: żadna unikalna kombinacja wartości nie należy do jednej osoby.
- Brak powiązania: żaden rekord nie daje się połączyć z rekordem o tej samej osobie w innym zbiorze.
- Brak wnioskowania: nie da się wyciągnąć konkretnego i istotnego wniosku o osobie.
Jeżeli któreś kryterium nie jest spełnione, potrzebna jest dalsza analiza. Wytyczne wyjaśniają też, że dane osobowe dla administratora są nimi również dla podmiotu przetwarzającego, a technika ponownej identyfikacji, którą partner mógłby po prostu zlecić osobie trzeciej, liczy się jako sposób rozsądnie prawdopodobny.
Decyzja w sprawie IQVIA
IQVIA prowadziła bazę z danymi o zdrowiu około miliona pacjentów 800 lekarzy rodzinnych, wykorzystywaną w badaniach zamawianych także przez firmy farmaceutyczne. Garante uznał, że dane nie były anonimowe: stały kod pacjenta pozwalał śledzić go w czasie, a w połączeniu z rokiem urodzenia, płcią, rozpoznaniami, receptami i danymi o lokalizacji umożliwiał wyodrębnienie i ponowną identyfikację pacjentów.
IQVIA przetwarzała dane o zdrowiu bez odpowiedniej podstawy prawnej, bez informowania pacjentów, bez okresów przechowywania (dane sięgały 2001 r.), bez oceny skutków i bez odpowiednich zabezpieczeń. Jeśli chce kontynuować, musi dostosować przetwarzanie w ciągu 120 dni.
Co zrobić teraz
Spiszcie zbiory danych traktowane jako anonimowe i sprawdźcie je według trzech kryteriów. Jeśli nie przechodzą testu, traktujcie je jako dane osobowe: z podstawą prawną, wpisem w rejestrze czynności przetwarzania i, przy danych o zdrowiu na dużą skalę, oceną skutków (DPIA).
Dazr Compliance prowadzi rejestr z art. 30 z podstawą prawną i przesłanką z art. 9 dla każdej czynności, sprawdza każdą czynność według dziewięciu kryteriów EROD dla DPIA i przechowuje oceny skutków z ryzykami, środkami i zatwierdzeniem.
Źródła
- EDPB: Guidelines 02/2026 on Anonymisation, version 1.0 (adopted 7 July 2026)
- EDPB: public consultation on Guidelines 02/2026 on Anonymisation, 8 July to 30 October 2026, and Guidelines at a Glance (October 2026)
- Garante per la protezione dei dati personali: Dati sanitari, 7 milioni di euro di sanzione (2 October 2026)
- EDPB: Italian DPA fines IQVIA EUR 7 000 000 for unlawful processing of patients' health data (9 October 2026)
Wyłącznie w celach informacyjnych, nie stanowi porady prawnej. Ostatnia aktualizacja: 7 listopada 2026.
Dostępne także w języku: English, Nederlands, Italiano, Deutsch, Français, Español, Português, Română, Čeština, Slovenčina, Dansk, Svenska, Norsk bokmål