Anonyma uppgifter och GDPR: EDPB:s tre test och en sanktionsavgift på 7 miljoner euro
EDPB:s riktlinjer 02/2026 anger tre test för anonyma uppgifter. Italienska Garante gav IQVIA 7 miljoner euro i avgift för hälsodata som inte var anonyma.
Att kalla en datamängd "anonym" tar den bara utanför GDPR om den verkligen är det. Den 7 juli 2026 antog Europeiska dataskyddsstyrelsen (EDPB) riktlinjer 02/2026 om anonymisering för samråd, som stängde den 30 oktober 2026. Den 23 september 2026 visade den italienska tillsynsmyndigheten Garante vad som händer när påståendet inte håller: en sanktionsavgift på 7 miljoner euro för IQVIA Solutions Italy.
EDPB:s tre test
Uppgifter är anonyma för en aktör om de inte avser en identifierad eller identifierbar person, med hänsyn till de hjälpmedel som rimligen kan komma att användas. Det bedöms från varje relevant aktörs perspektiv, så samma uppgifter kan vara anonyma för en och personuppgifter för en annan. De är säkert anonyma när alla tre kriterier är uppfyllda:
- Ingen isolering av poster: ingen unik kombination av värden som hör till en person.
- Ingen länkning: ingen post som kan länkas till en post om samma person i en annan datamängd.
- Ingen slutledning: ingen specifik och meningsfull slutsats om en person kan dras.
Om ett kriterium inte uppfylls krävs ytterligare analys. Riktlinjerna säger också att uppgifter som är personuppgifter för den personuppgiftsansvarige också är det för personuppgiftsbiträdet, och att en återidentifieringsteknik som en partner helt enkelt kan anlita en tredje part för räknas som ett hjälpmedel som rimligen kan användas.
Beslutet om IQVIA
IQVIA hade en databas med hälsouppgifter om ungefär en miljon patienter hos 800 allmänläkare, som användes för studier som även läkemedelsföretag beställde. Garante fann att uppgifterna inte var anonyma: en beständig kod per patient gjorde det möjligt att följa personen över tid och, tillsammans med födelseår, kön, diagnoser, förskrivningar och platsuppgifter, att peka ut och återidentifiera patienter.
IQVIA behandlade hälsouppgifter utan lämplig rättslig grund, utan att informera patienterna, utan lagringstider (uppgifterna gick tillbaka till 2001), utan konsekvensbedömning och utan tillräcklig säkerhet. Vill företaget fortsätta måste det rätta sig inom 120 dagar.
Vad du kan göra nu
Lista de datamängder ni behandlar som anonyma och pröva dem mot de tre kriterierna. Om de inte klarar testet, behandla dem som personuppgifter: med rättslig grund, en post i registret över behandlingar och, för hälsouppgifter i stor skala, en konsekvensbedömning (DPIA).
Dazr Compliance håller registret enligt artikel 30 med rättslig grund och villkor enligt artikel 9 för varje behandling, prövar varje behandling mot EDPB:s nio kriterier för en DPIA och sparar konsekvensbedömningarna med risker, åtgärder och godkännande.
Källor
- EDPB: Guidelines 02/2026 on Anonymisation, version 1.0 (adopted 7 July 2026)
- EDPB: public consultation on Guidelines 02/2026 on Anonymisation, 8 July to 30 October 2026, and Guidelines at a Glance (October 2026)
- Garante per la protezione dei dati personali: Dati sanitari, 7 milioni di euro di sanzione (2 October 2026)
- EDPB: Italian DPA fines IQVIA EUR 7 000 000 for unlawful processing of patients' health data (9 October 2026)
Endast för information, inte juridisk rådgivning. Senast uppdaterad 7 november 2026.
Finns även på: English, Nederlands, Italiano, Deutsch, Français, Español, Polski, Português, Română, Čeština, Slovenčina, Dansk, Norsk bokmål