L'Agence pour la protection des données personnelles (AZOP) de Croatie a clarifié la distinction entre données statistiques agrégées et données personnelles, dans le contexte d'une demande d'accès à des informations à des fins de recherche scientifique.

Un chercheur s'est vu refuser par un hôpital l'accès à des données statistiques agrégées pour la période 2021-2025, relatives au nombre annuel d'examens de cardiologie et aux temps d'attente moyens. L'hôpital a justifié son refus en arguant que ces données, étant dérivées de dossiers médicaux, constituaient des données de santé protégées par le RGPD. L'AZOP a précisé que le fait que des indicateurs statistiques proviennent de traitements de données personnelles ne les qualifie pas automatiquement de données personnelles. La qualification dépend de la possibilité d'identifier une personne physique. Des données à un haut niveau d'agrégation, comme celles demandées, ne sont généralement pas considérées comme des données personnelles. Le responsable du traitement doit effectuer une évaluation concrète et documentée du risque d'identification et ne peut se contenter d'invoquer l'origine des données, conformément au principe de responsabilité énoncé à l'article 5, paragraphe 2 et à l'article 24 du RGPD.

L'AZOP a également rappelé que si la finalité de recherche scientifique ne constitue pas en soi une base juridique pour obtenir des données, le refus de communiquer des informations véritablement anonymes ne peut être fondé sur le RGPD. L'autorité a souligné qu'elle n'est pas compétente pour statuer sur les litiges relatifs au droit d'accès à l'information, cette prérogative revenant au Commissaire à l'information. C'est à ce dernier qu'il appartient d'évaluer la légalité du refus de l'hôpital, y compris la réalisation d'un test de proportionnalité et d'intérêt public, et d'ordonner, le cas échéant, la communication des informations. Le demandeur peut faire appel de la décision de refus devant le Commissaire dans un délai de 15 jours.