IQVIA får personverngebyr på 7 millioner euro for håndtering av helseopplysninger

Italias personvernmyndighet har ilagt IQVIA et gebyr på 7 millioner euro, omtrent 7,8 millioner dollar, for selskapets håndtering av pasientopplysninger. IQVIAs personverngebyr følger etter funn som viser at helseopplysninger som ble beskrevet som anonyme, fortsatt kunne gjøre det mulig å identifisere enkeltpersoner.

Tilsynsmyndigheten, kjent som GPDP, undersøkte en database som inneholdt informasjon om rundt én million pasienter. IQVIAs italienske avdeling samlet opplysningene ved hjelp av data fra omtrent 800 allmennleger.

Myndigheten konkluderte imidlertid med at det å erstatte pasientenes navn med unike koder ikke anonymiserte informasjonen tilstrekkelig.

Detaljerte opplysninger gjorde pasienter potensielt identifiserbare

Ifølge tilsynsmyndigheten gjorde hver pasients kode det mulig å følge opplysningene deres over tid. Kombinert med detaljert medisinsk og demografisk informasjon skapte denne kontinuiteten en risiko for reidentifisering.

Databasen inneholdt fødselsår, kjønn, diagnoser, symptomer, resepter, tester og vaksinasjonsinformasjon. Den inneholdt også stedsdata.

Etterforskerne fant derfor at noen ved hjelp av rimelige midler kunne skille ut individuelle pasienter og potensielt fastslå identiteten deres.

Funnene gjelder utilstrekkelig anonymisering og praksis for databehandling. De fastslår ikke at angripere stjal databasen eller at noen faktisk reidentifiserte pasientene.

Tilsynsmyndigheten finner ytterligere problemer med datahåndteringen

I tillegg til svakhetene ved anonymiseringen fant GPDP at IQVIA behandlet pasientinformasjon uten et passende rettslig grunnlag. Ifølge myndigheten unnlot selskapet også å informere pasientene om denne behandlingen.

I tillegg fant etterforskerne at det ikke var fastsatt eller anvendt riktige oppbevaringsperioder. Noen opplysninger gikk tilbake til 2001.

En mindre gruppe på omtrent 3 300 pasienter hadde direkte identifiserende informasjon i databasen. Disse opplysningene omfattet navn, skatteidentifikasjonsnumre, adresser og kontaktopplysninger.

Til sammen utvidet disse funnene saken utover spørsmålet om hvorvidt de kodede helseopplysningene oppfylte kravene til anonym informasjon.

IQVIA får 120 dager til å rette opp funnene

Italienske myndigheter undersøkte IQVIAs praksis i april 2025 og fattet sin beslutning i september 2026.

I tillegg til IQVIAs personverngebyr påla tilsynsmyndigheten selskapet å bringe sin databehandlingspraksis i samsvar med regelverket innen 120 dager.

IQVIA tilbyr tjenester innen helseanalyse, teknologi og klinisk forskning internasjonalt. Beslutningen gjelder imidlertid det spesifikke datasettet som den italienske myndigheten undersøkte.

Selskapet opplyste at dette datasettet ikke brukes til selskapets kliniske forskningstjenester eller kliniske studier som gjennomføres på vegne av sponsorer.

Selskapet sier det har iverksatt korrigerende tiltak

I sitt svar bekreftet IQVIA beslutningen og opplyste at selskapet forbeholder seg retten til å anke.

Selskapet sa også at det fortsetter å samarbeide med tilsynsmyndigheten og allerede har iverksatt tiltak for å tilpasse praksisen til myndighetens veiledning.

Samtidig viste IQVIA til sikkerhetstiltak som pseudonymisering og kryptering som en del av selskapets tilnærming til å beskytte helseopplysninger.

Det sentrale spørsmålet er fortsatt om opplysningene kunne identifisere enkeltpersoner til tross for disse beskyttelsestiltakene. I dette tilfellet konkluderte tilsynsmyndigheten med at pasientkodene og den detaljerte tilleggsinformasjonen gjorde at denne muligheten fortsatt var til stede.