Hva som ble bestemt
Den 23. september 2026 traff det italienske tilsynet vedtak nr. 710 mot IQVIA Solutions Italy S.r.l., offentliggjort 2. oktober. Gebyret er på sju millioner euro. Saken startet etter tilsyn i april 2025. Registeret omfattet rundt en million pasienter hos om lag åtte hundre fastleger og ble brukt til studier delvis bestilt av legemiddelselskaper. I tillegg til gebyret påla tilsynet å bringe behandlingen i samsvar innen hundre og tjue dager dersom virksomheten fortsetter.
Selskapets forsvar var det vanligste på dette feltet: opplysningene er anonyme, altså gjelder ikke personvernforordningen. Resonnementet er formelt riktig — fortalepunkt 26 sier nettopp at forordningen ikke gjelder anonyme opplysninger — og nesten alltid galt i praksis. Spørsmålet er ikke om navnet står der: det er om personen kan finnes igjen.
Grensen mellom anonymt og pseudonymisert
I registeret hadde hver pasient en kode. Ikke navnet, en kode. Men koden var stabil: den tjente til å følge samme person over tid, fordi det er nettopp det en longitudinell studie må gjøre. En identifikator som gjør det mulig å knytte sammen opplysningene om samme person er ikke et anonymiseringstiltak: det er definisjonen av pseudonymisering i artikkel 4 nr. 5. Og pseudonymiserte opplysninger er fortsatt personopplysninger.
- Fortalepunkt 26 ber om en vurdering av de midler som med rimelighet kan tenkes brukt til identifisering: kostnad, tid, tilgjengelig teknologi — ikke absolutt umulighet.
- En stabil kode per person gjør det mulig å knytte hendelser sammen over tid, og det er nettopp det som gjør opplysningene henførbare.
- Fødselsår, kjønn, diagnoser, resepter og en geografisk referanse snevrer til sammen kretsen inn til svært få personer.
- Den som hevder at opplysninger er anonyme, må kunne påvise det, og påvisningen er teknisk: en reidentifiseringsanalyse, ikke en setning i personvernerklæringen.
- Er opplysningene ikke anonyme, trengs behandlingsgrunnlag og informasjon, og for helseopplysninger også et vilkår etter artikkel 9 nr. 2.
Spørsmålet til leverandøren, og svaret som ikke teller
Når en leverandør oppgir å behandle «anonyme opplysninger», er spørsmålet ikke «er de anonyme?» — svaret blir ja. Spørsmålet er: «har samme pasient samme kode i to uttrekk med seks måneders mellomrom?». Er svaret ja, er opplysningene ikke anonyme, uansett hva avtalen sier. Det er et teknisk spørsmål som besvares på tretti sekunder, og det skiller en påstand fra en kontroll.
Så er det siden oppstrøms. Opplysningene kom fra fastleger. For et personvernombud som bistår en praksis, et laboratorium eller en helsevirksomhet, er dagens spørsmål om egne opplysninger havner i forsknings- eller kredittopplysningsregistre, på hvilket grunnlag, og om pasientene vet det. At en tredjepart behandler dem, flytter ikke ansvaret til den som samlet dem inn.
Hva man tar med seg, konkret. Ordet «anonym» i en avtale eller i en behandlingsprotokoll er ingen rettslig kvalifisering: det er en påstand som må bevises. Der det dukker opp, lønner det seg å spørre om tre ting — hvem kontrollerte det, med hvilken metode, og når. Mangler de tre svarene, beskriver den linjen i protokollen en behandling man tror er utenfor forordningen og som i virkeligheten er innenfor, med alt det innebærer.
Offisiell kilde:Garante per la protezione dei dati personali — Helseopplysninger: sju millioner euro i gebyr (2. oktober 2026)Offisiell kilde:Cybersecurity360 — Når en helseopplysning virkelig er anonymOffisiell kilde:Il Sole 24 Ore — Helseopplysninger, sju millioner i gebyr til IQVIASer du etter et verktøy for arbeidet ditt som personvernombud?
DPO Workspace er bygget av et sertifisert personvernombud. 30 dager gratis.
Kom i gang gratis
