Date anonime și GDPR: cele trei criterii ale CEPD și o amendă de 7 milioane de euro
Ghidurile CEPD 02/2026 stabilesc trei criterii pentru date anonime. Garante a amendat IQVIA cu 7 milioane de euro pentru date de sănătate neanonime.
Un set de date numit "anonim" iese de sub GDPR doar dacă este cu adevărat anonim. La 7 iulie 2026, Comitetul european pentru protecția datelor (CEPD) a adoptat pentru consultare Ghidurile 02/2026 privind anonimizarea; consultarea s-a încheiat la 30 octombrie 2026. La 23 septembrie 2026, autoritatea italiană Garante a arătat ce se întâmplă când afirmația nu se susține: o amendă de 7 milioane de euro pentru IQVIA Solutions Italy.
Cele trei criterii ale CEPD
Datele sunt anonime pentru o entitate dacă nu se referă la o persoană identificată sau identificabilă, ținând seama de mijloacele care pot fi utilizate în mod rezonabil. Evaluarea se face din perspectiva fiecărei entități relevante: aceleași date pot fi anonime pentru una și personale pentru alta. Sunt anonime în siguranță dacă sunt îndeplinite toate cele trei criterii:
- Fără izolarea înregistrărilor: nicio combinație unică de valori nu aparține unei singure persoane.
- Fără corelare: nicio înregistrare nu poate fi legată de o înregistrare despre aceeași persoană din alt set de date.
- Fără deducție: nu se poate trage nicio concluzie specifică și semnificativă despre o persoană.
Dacă un criteriu nu este îndeplinit, este nevoie de o analiză suplimentară. Ghidurile precizează și că datele personale pentru operator sunt personale și pentru persoana împuternicită, iar o tehnică de reidentificare pe care un partener ar putea-o comanda simplu unui terț contează ca mijloc care poate fi utilizat în mod rezonabil.
Decizia privind IQVIA
IQVIA deținea o bază cu date de sănătate ale aproximativ un milion de pacienți ai 800 de medici de familie, folosită pentru studii comandate și de companii farmaceutice. Garante a constatat că datele nu erau anonime: un cod permanent pentru fiecare pacient permitea urmărirea în timp și, împreună cu anul nașterii, sexul, diagnosticele, prescripțiile și datele de localizare, izolarea și reidentificarea pacienților.
IQVIA a prelucrat date de sănătate fără temei juridic adecvat, fără informarea pacienților, fără perioade de stocare (datele mergeau înapoi până în 2001), fără DPIA și fără securitate adecvată. Dacă vrea să continue, trebuie să se conformeze în 120 de zile.
Ce e de făcut acum
Faceți o listă a seturilor de date pe care le tratați ca anonime și testați-le după cele trei criterii. Dacă nu trec, tratați-le ca date cu caracter personal: un temei juridic, o înregistrare în registrul activităților de prelucrare și, pentru date de sănătate la scară largă, o DPIA.
Dazr Compliance ține registrul de la articolul 30 cu temeiul juridic și condiția de la articolul 9 pentru fiecare activitate, verifică fiecare activitate după cele nouă criterii CEPD pentru DPIA și păstrează DPIA-urile cu riscuri, măsuri și aprobare.
Surse
- EDPB: Guidelines 02/2026 on Anonymisation, version 1.0 (adopted 7 July 2026)
- EDPB: public consultation on Guidelines 02/2026 on Anonymisation, 8 July to 30 October 2026, and Guidelines at a Glance (October 2026)
- Garante per la protezione dei dati personali: Dati sanitari, 7 milioni di euro di sanzione (2 October 2026)
- EDPB: Italian DPA fines IQVIA EUR 7 000 000 for unlawful processing of patients' health data (9 October 2026)
Doar cu titlu informativ, nu constituie consultanță juridică. Ultima actualizare: 7 noiembrie 2026.
Disponibil și în: English, Nederlands, Italiano, Deutsch, Français, Español, Polski, Português, Čeština, Slovenčina, Dansk, Svenska, Norsk bokmål