TL;DR per il DPO
L'autorita' francese ha sanzionato IQVIA (5 milioni di euro) ribadendo che la pseudonimizzazione dei dati sanitari NON basta per sottrarsi al GDPR. I dati pseudonimizzati restano dati personali (considerando 26) perche' re-identificabili: la pseudonimizzazione e' una misura di sicurezza (art. 32), non una via d'uscita dal Regolamento.
I tre punti che contano
- Pseudonimizzazione diversa da anonimizzazione: la prima e' reversibile e i dati restano personali; solo l'anonimizzazione irreversibile fa uscire dal GDPR. Confonderle e' un errore costoso.
- Dati sanitari = art. 9: anche pseudonimizzati richiedono una base di trattamento idonea e misure rafforzate. La 'protezione' tecnica non cancella la categoria del dato.
- Accountability: se sostieni che un dato e' anonimo, devi poterlo dimostrare con una valutazione del rischio di re-identificazione. In assenza, si presume personale.
Cosa fare adesso, in pratica
Quando un cliente dice 'tanto sono anonimizzati', verifica davvero la re-identificabilita': chi ha la chiave? con quale sforzo si risale alla persona? Se e' solo pseudonimizzazione, il GDPR si applica per intero - base giuridica, informativa, misure, eventuale DPIA. Documenta sempre la valutazione: e' la differenza tra una scelta difendibile e una scommessa.
Perche' conta per i tuoi clienti
E' un equivoco diffusissimo in sanita', ricerca e marketing: 'li ho resi anonimi' quando in realta' sono solo pseudonimi. La conseguenza e' che si saltano adempimenti fondamentali credendo di essere fuori dal perimetro. Per un DPO e' un argomento concreto da portare a chi tratta dati sanitari o costruisce dataset 'de-identificati'.
Fonte ufficiale:CNIL (Francia) - sanzione IQVIA, giugno 2026Stai cercando un gestionale per il tuo lavoro di DPO?
DPO Workspace e' costruito da un DPO certificato. 30 giorni di prova gratuita.
Inizia gratis
