Dados anónimos e RGPD: os três critérios do CEPD e uma coima de 7 milhões de euros
As Diretrizes 02/2026 do CEPD fixam três critérios de anonimato. O Garante italiano aplicou 7 milhões de euros à IQVIA por dados de saúde não anónimos.
Chamar "anónimo" a um conjunto de dados só o retira do RGPD se o for de facto. Em 7 de julho de 2026, o Comité Europeu para a Proteção de Dados (CEPD) adotou para consulta as Diretrizes 02/2026 sobre anonimização; a consulta terminou em 30 de outubro de 2026. Em 23 de setembro de 2026, o Garante italiano mostrou o que acontece quando a afirmação não se sustenta: uma coima de 7 milhões de euros à IQVIA Solutions Italy.
Os três critérios do CEPD
Os dados são anónimos para uma entidade se não disserem respeito a uma pessoa identificada ou identificável, tendo em conta os meios suscetíveis de ser razoavelmente utilizados. A avaliação faz-se da perspetiva de cada entidade relevante: os mesmos dados podem ser anónimos para uma e pessoais para outra. São anónimos com segurança se os três critérios forem cumpridos:
- Sem isolamento de registos: nenhuma combinação única de valores pertence a uma só pessoa.
- Sem ligação: nenhum registo pode ser ligado a um registo sobre a mesma pessoa noutro conjunto de dados.
- Sem inferência: não é possível tirar nenhuma conclusão específica e significativa sobre uma pessoa.
Se um critério falhar, é necessária mais análise. As diretrizes esclarecem também que dados pessoais para o responsável pelo tratamento também o são para o subcontratante, e que uma técnica de reidentificação que um parceiro poderia simplesmente encomendar a um terceiro conta como meio suscetível de ser razoavelmente utilizado.
A decisão sobre a IQVIA
A IQVIA mantinha uma base com dados de saúde de cerca de um milhão de doentes de 800 médicos de família, usada em estudos encomendados também por farmacêuticas. O Garante concluiu que os dados não eram anónimos: um código persistente por doente permitia segui-lo ao longo do tempo e, com ano de nascimento, sexo, diagnósticos, prescrições e dados de localização, isolar e reidentificar os doentes.
A IQVIA tratou dados de saúde sem fundamento jurídico adequado, sem informar os doentes, sem prazos de conservação (os dados remontavam a 2001), sem AIPD e sem segurança adequada. Se quiser continuar, tem de cumprir no prazo de 120 dias.
O que fazer agora
Liste os conjuntos de dados que trata como anónimos e teste-os com os três critérios. Se falharem, trate-os como dados pessoais: um fundamento jurídico, uma entrada no registo das atividades de tratamento e, para dados de saúde em grande escala, uma AIPD.
O Dazr Compliance mantém o registo do artigo 30.º com o fundamento jurídico e a condição do artigo 9.º de cada atividade, verifica cada atividade com os nove critérios do CEPD para uma AIPD e guarda as AIPD com riscos, medidas e aprovação.
Fontes
- EDPB: Guidelines 02/2026 on Anonymisation, version 1.0 (adopted 7 July 2026)
- EDPB: public consultation on Guidelines 02/2026 on Anonymisation, 8 July to 30 October 2026, and Guidelines at a Glance (October 2026)
- Garante per la protezione dei dati personali: Dati sanitari, 7 milioni di euro di sanzione (2 October 2026)
- EDPB: Italian DPA fines IQVIA EUR 7 000 000 for unlawful processing of patients' health data (9 October 2026)
Apenas para informação, não constitui aconselhamento jurídico. Última atualização: 7 de novembro de 2026.
Também disponível em: English, Nederlands, Italiano, Deutsch, Français, Español, Polski, Română, Čeština, Slovenčina, Dansk, Svenska, Norsk bokmål