Protecția datelor: 3 criterii care decid dacă datele sunt cu adevărat anonime — și, implicit, dacă legea li se aplică

Comitetul European pentru Protecția Datelor a adoptat ghidul privind anonimizarea, care propune un test în trei criterii pentru a stabili când un set de date iese complet din domeniul de aplicare al regulilor de protecție a datelor.

Întrebarea nu este academică: dacă datele sunt anonime, întregul regim — temei legal, drepturi ale persoanei vizate, notificarea incidentelor, transferuri — încetează să se aplice. Din 23 august, când intră în vigoare Legea nr. 195/2024, care transpune integral GDPR, aceeași linie de demarcație devine operațională și în Republica Moldova, iar practica europeană va fi principalul reper de interpretare.

Testul propus verifică trei condiții cumulative: absența izolării înregistrărilor, absența posibilității de corelare și absența inferenței. Dacă toate trei sunt îndeplinite, datele pot fi considerate anonime; dacă vreuna nu este, e nevoie de analiză suplimentară. Ghidul admite două moduri de aplicare — o abordare contextuală, care ia în calcul diferențele de capacitate între entitățile care ar putea identifica persoana, și una simplificată, care le ignoră. A doua depășește standardul legal și poate duce operatorul să trateze drept neanonime date care, pentru anumite entități, chiar sunt anonime, dar oferă mai multă siguranță.

Documentul reia și clarifică noțiunea de persoană identificabilă: o persoană este identificabilă dacă poate fi distinsă de altele într-un context determinat, prin mijloace susceptibile a fi utilizate în mod rezonabil, astfel încât să poată fi tratată diferit. Evaluarea se face din perspectiva entității relevante și în lumina tuturor factorilor obiectivi. Ghidul integrează hotărârea Curții de Justiție a Uniunii Europene în cauza C-413/23 P, EDPS v. SRB, din 4 septembrie 2025. Textul este supus consultării publice până la 30 octombrie 2026 — fereastră în care operatorii și consultanții pot transmite observații. În aceeași plenară au fost adoptate ghidul privind web scraping-ul în contextul inteligenței artificiale generative și versiunea finală a ghidului privind tehnologiile blockchain.

Din 23 august, operatorii din Republica Moldova răspund sub Legea nr. 195/2024, care aduce aceeași arhitectură — evaluare de impact, registru al activităților de prelucrare, notificare a incidentelor. Cazul arată concret cum arată reacția corectă atunci când breșa se produce la un furnizor, iar contractul cu acesta devine principalul instrument de apărare. Pentru servicii de conformare la noua lege privind protecția datelor: office@bercu.legal | +37379950617

Sursa: Comitetul European pentru Protecția Datelor (EDPB); EDPB — text integral