IQVIA får databeskyttelsesbøde på 7 millioner euro for håndtering af helbredsoplysninger

Italiens databeskyttelsesmyndighed har givet IQVIA en bøde på 7 millioner euro, svarende til cirka 7,8 millioner dollar, for virksomhedens håndtering af patientoplysninger. IQVIAs databeskyttelsesbøde følger efter konstateringen af, at helbredsoplysninger, der blev beskrevet som anonyme, stadig kunne gøre det muligt at identificere enkeltpersoner.

Tilsynsmyndigheden, kendt som GPDP, undersøgte en database med oplysninger om omkring en million patienter. IQVIAs italienske afdeling samlede oplysningerne ved hjælp af data fra cirka 800 praktiserende læger.

Myndigheden konkluderede dog, at det ikke anonymiserede oplysningerne tilstrækkeligt at erstatte patienternes navne med unikke koder.

Detaljerede oplysninger gjorde patienter potentielt identificerbare

Ifølge tilsynsmyndigheden gjorde hver patients kode det muligt at følge vedkommendes oplysninger over tid. Kombineret med detaljerede medicinske og demografiske oplysninger skabte denne kontinuitet en risiko for genidentifikation.

Databasen indeholdt fødselsår, køn, diagnoser, symptomer, recepter, tests og vaccinationsoplysninger. Den indeholdt også lokationsdata.

Efterforskerne fandt derfor, at nogen ved hjælp af rimelige midler kunne udpege individuelle patienter og potentielt fastslå deres identitet.

Resultaterne vedrører utilstrækkelig anonymisering og praksis for databehandling. De fastslår ikke, at angribere stjal databasen, eller at nogen faktisk genidentificerede patienterne.

Tilsynsmyndigheden finder yderligere problemer med datahåndteringen

Ud over svaghederne ved anonymiseringen fandt GPDP, at IQVIA behandlede patientoplysninger uden et passende retsgrundlag. Virksomheden undlod ifølge myndigheden også at informere patienterne om denne behandling.

Derudover fandt efterforskerne, at der ikke var korrekt fastsatte eller anvendte opbevaringsperioder. Nogle oplysninger gik tilbage til 2001.

En mindre gruppe på cirka 3.300 patienter havde direkte identificerende oplysninger i databasen. Disse oplysninger omfattede navne, skatteidentifikationsnumre, adresser og kontaktoplysninger.

Samlet set udvidede disse resultater sagen ud over spørgsmålet om, hvorvidt de kodede helbredsoplysninger opfyldte standarden for anonyme oplysninger.

IQVIA får 120 dage til at håndtere resultaterne

Italienske myndigheder undersøgte IQVIAs praksis i april 2025 og traf deres afgørelse i september 2026.

Ud over IQVIAs databeskyttelsesbøde pålagde tilsynsmyndigheden virksomheden at bringe sin databehandlingspraksis i overensstemmelse med reglerne inden for 120 dage.

IQVIA leverer internationalt tjenester inden for sundhedsanalyse, teknologi og klinisk forskning. Afgørelsen vedrører dog det specifikke datasæt, som den italienske myndighed undersøgte.

Virksomheden oplyste, at dette datasæt ikke understøtter dens kliniske forskningstjenester eller kliniske forsøg, der gennemføres på vegne af sponsorer.

Virksomheden siger, at den har truffet korrigerende foranstaltninger

I sit svar anerkendte IQVIA afgørelsen og oplyste, at virksomheden forbeholder sig retten til at appellere.

Virksomheden oplyste også, at den fortsat samarbejder med tilsynsmyndigheden og allerede har taget skridt til at bringe sin praksis i overensstemmelse med myndighedens vejledning.

Samtidig henviste IQVIA til sikkerhedsforanstaltninger, herunder pseudonymisering og kryptering, som en del af sin tilgang til beskyttelse af helbredsoplysninger.

Det centrale spørgsmål er fortsat, om oplysningerne kunne identificere enkeltpersoner på trods af disse beskyttelsesforanstaltninger. I denne sag konkluderede tilsynsmyndigheden, at patientkoderne og de detaljerede supplerende oplysninger betød, at denne mulighed fortsat eksisterede.