Włochy nakładają 7 mln euro kary na firmę Iqvia za nieprawidłowe przetwarzanie danych medycznych

Dochodzenie i ustalenia regulatora

Włoski organ ochrony danych osobowych, Garante per la protezione dei dati personali, nałożył 2 października 2026 r. na spółkę Iqvia Solutions Italy S.r.l. karę w wysokości 7 mln euro za naruszenia dotyczące przetwarzania danych osobowych o stanie zdrowia. Działania regulacyjne były następstwem kontroli wszczętej w kwietniu 2025 r., którą później połączono z powiadomieniem o naruszeniu ochrony danych złożonym przez samą firmę. Urząd ustalił, że Iqvia stworzyła bazę danych zawierającą informacje medyczne ponad miliona pacjentów, zebrane od 800 lekarzy rodzinnych z całych Włoch, przy czym rekordy sięgały 2001 r. Organ uznał, że Iqvia działała jako administrator danych od momentu ich pierwszego pozyskania w gabinetach lekarskich. Regulator stwierdził, że firma przetwarzała wrażliwe dane medyczne bez odpowiedniej podstawy prawnej i nie przekazała pacjentom wymaganych informacji.

Ryzyko reidentyfikacji i nieanonimowe rekordy

Urząd odrzucił twierdzenia, jakoby przechowywane informacje zostały skutecznie zanonimizowane. Każdy pacjent posiadał przypisany kod śledzący, który umożliwiał ciągłą obserwację w czasie. W połączeniu ze szczegółowymi profilami medycznymi i demograficznymi (takimi jak rok urodzenia, płeć, diagnozy, objawy, recepty, badania, szczepienia i lokalizacja geograficzna) pozwalało to na identyfikację osób przy użyciu dostępnych środków. Co więcej, śledczy odkryli, że dane bezpośrednio identyfikujące ponad 3300 pacjentów trafiły do repozytorium w formie tekstowej, w tym pełne nazwiska, kody podatkowe, adresy domowe i dane kontaktowe. W ponad 3000 przypadków identyfikatory osobiste bezpośrednio towarzyszyły wrażliwej dokumentacji medycznej. Organ zauważył, że Iqvia nie ustaliła maksymalnych okresów przechowywania danych gromadzonych od 2001 r., zaniedbała przeprowadzenie wymaganej oceny skutków dla ochrony danych i utrzymywała niewystarczające zabezpieczenia techniczne.

Reakcja korporacji i zabezpieczenia danych

Iqvia oświadczyła, że przyjmuje decyzję do wiadomości, zastrzegając sobie prawo do odwołania się od kary. Firma zajmująca się analityką medyczną utrzymuje, że zbiór danych, którego dotyczy decyzja, nie jest wykorzystywany do badań klinicznych ani prób komercyjnych. Spółka zapewniła również, że współpracowała konstruktywnie podczas postępowania i wdrożyła już środki zapewniające pełną zgodność z wytycznymi nadzorczymi.

Iqvia jest zaangażowana w odpowiedzialne wykorzystywanie danych i informacji oraz kontynuuje współpracę z organem nadzorczym. Ochrona danych stanowi dla Iqvia absolutny priorytet i jest chroniona za pomocą solidnych zabezpieczeń, w tym pseudonimizacji i szyfrowania, aby wspierać odpowiedzialne wykorzystywanie danych w opiece zdrowotnej.

Harmonogram dostosowania i odpowiedzialność lekarzy

Zgodnie z decyzją, Iqvia ma 120 dni na pełne dostosowanie operacji przetwarzania danych, jeśli zamierza kontynuować pracę z repozytorium. Jeśli firma nie spełni wymogów, anonimizacja musi być przeprowadzana bezpośrednio i niezależnie przez lekarzy rodzinnych zgodnie z wytycznymi technicznymi regulatora. Ustalając karę w wysokości 7 mln euro, organ wziął pod uwagę łączną liczbę poszkodowanych pacjentów, wrażliwy charakter rekordów medycznych oraz konstruktywną pomoc udzieloną przez firmę podczas dochodzenia. Regulator uwzględnił również fakt, że lekarze rodzinni przestali przesyłać dane medyczne do Iqvia w 2023 r. Urząd potwierdził, że lekarze rodzinni nie ponoszą odpowiedzialności prawnej za praktyki przetwarzania danych ustanowione przez firmę analityczną.