Anonymné údaje a GDPR: tri kritériá EDPB a pokuta 7 miliónov eur
Usmernenia EDPB 02/2026 stanovujú tri kritériá anonymity. Taliansky Garante uložil IQVIA pokutu 7 miliónov eur za zdravotné údaje, ktoré neboli anonymné.
Označiť súbor údajov za "anonymný" ho vyníma z GDPR len vtedy, keď anonymný naozaj je. Európsky výbor pre ochranu údajov (EDPB) prijal 7. júla 2026 na konzultáciu usmernenia 02/2026 o anonymizácii; konzultácia sa skončila 30. októbra 2026. Taliansky úrad Garante 23. septembra 2026 ukázal, čo sa stane, keď tvrdenie neobstojí: pokuta 7 miliónov eur pre IQVIA Solutions Italy.
Tri kritériá EDPB
Údaje sú pre určitý subjekt anonymné, ak sa netýkajú identifikovanej alebo identifikovateľnej osoby, so zreteľom na prostriedky, ktoré budú s primeranou pravdepodobnosťou použité. Posudzuje sa to z pohľadu každého relevantného subjektu: tie isté údaje môžu byť pre jedného anonymné a pre iného osobné. Bezpečne anonymné sú, keď sú splnené všetky tri kritériá:
- Žiadne vyčlenenie záznamu: žiadna jedinečná kombinácia hodnôt nepatrí jednej osobe.
- Žiadne prepojenie: žiadny záznam nemožno prepojiť so záznamom o tej istej osobe v inom súbore údajov.
- Žiadne odvodenie: o osobe nemožno vyvodiť žiadny konkrétny a významný záver.
Ak jedno kritérium zlyhá, je potrebná ďalšia analýza. Usmernenia tiež uvádzajú, že údaje osobné pre prevádzkovateľa sú osobné aj pre sprostredkovateľa a že technika opätovnej identifikácie, ktorú by partner mohol jednoducho zadať tretej strane, sa počíta medzi prostriedky použiteľné s primeranou pravdepodobnosťou.
Rozhodnutie o IQVIA
IQVIA viedla databázu so zdravotnými údajmi približne milióna pacientov 800 všeobecných lekárov, používanú na štúdie zadávané aj farmaceutickými firmami. Garante zistil, že údaje neboli anonymné: trvalý kód pacienta umožňoval jeho sledovanie v čase a spolu s rokom narodenia, pohlavím, diagnózami, predpismi a údajmi o polohe aj vyčlenenie a opätovnú identifikáciu pacientov.
IQVIA spracúvala zdravotné údaje bez vhodného právneho základu, bez informovania pacientov, bez lehôt uchovávania (údaje siahali do roku 2001), bez DPIA a bez primeraného zabezpečenia. Ak chce pokračovať, musí spracúvanie do 120 dní zosúladiť.
Čo robiť teraz
Spíšte súbory údajov, ktoré považujete za anonymné, a otestujte ich podľa troch kritérií. Ak neobstoja, zaobchádzajte s nimi ako s osobnými údajmi: s právnym základom, záznamom v evidencii spracovateľských činností a pri zdravotných údajoch vo veľkom rozsahu s DPIA.
Dazr Compliance vedie záznamy podľa článku 30 s právnym základom a podmienkou podľa článku 9 pri každej činnosti, preveruje každú činnosť podľa deviatich kritérií EDPB pre DPIA a uchováva DPIA s rizikami, opatreniami a schválením.
Zdroje
- EDPB: Guidelines 02/2026 on Anonymisation, version 1.0 (adopted 7 July 2026)
- EDPB: public consultation on Guidelines 02/2026 on Anonymisation, 8 July to 30 October 2026, and Guidelines at a Glance (October 2026)
- Garante per la protezione dei dati personali: Dati sanitari, 7 milioni di euro di sanzione (2 October 2026)
- EDPB: Italian DPA fines IQVIA EUR 7 000 000 for unlawful processing of patients' health data (9 October 2026)
Len na informačné účely, nejde o právne poradenstvo. Naposledy aktualizované 7. novembra 2026.
K dispozícii aj v jazyku: English, Nederlands, Italiano, Deutsch, Français, Español, Polski, Português, Română, Čeština, Dansk, Svenska, Norsk bokmål