IQVIA får dataskyddsböter på 7 miljoner euro för hantering av hälsouppgifter

Italiens dataskyddsmyndighet har bötfällt IQVIA med 7 miljoner euro, motsvarande cirka 7,8 miljoner dollar, för företagets hantering av patientuppgifter. IQVIA:s dataskyddsböter följer efter slutsatsen att hälsouppgifter som beskrivits som anonyma fortfarande kunde göra det möjligt att identifiera enskilda personer.

Tillsynsmyndigheten, känd som GPDP, granskade en databas med information om ungefär en miljon patienter. IQVIA:s italienska division sammanställde uppgifterna med hjälp av data från cirka 800 allmänläkare.

Myndigheten drog dock slutsatsen att det inte räckte att ersätta patienternas namn med unika koder för att anonymisera informationen på ett tillräckligt sätt.

Detaljerade uppgifter gjorde patienter potentiellt identifierbara

Enligt tillsynsmyndigheten gjorde varje patients kod det möjligt att följa personens uppgifter över tid. I kombination med detaljerad medicinsk och demografisk information skapade denna kontinuitet en risk för återidentifiering.

Databasen innehöll födelseår, kön, diagnoser, symtom, recept, tester och vaccinationsinformation. Den innehöll även platsdata.

Utredarna konstaterade därför att någon med rimliga medel skulle kunna urskilja enskilda patienter och potentiellt fastställa deras identiteter.

Resultaten gäller bristande anonymisering och rutiner för databehandling. De fastställer inte att angripare stal databasen eller att någon faktiskt återidentifierade patienterna.

Tillsynsmyndigheten hittar ytterligare problem med datahanteringen

Utöver bristerna i anonymiseringen konstaterade GPDP att IQVIA behandlade patientinformation utan lämplig rättslig grund. Enligt myndigheten hade företaget inte heller informerat patienterna om denna behandling.

Dessutom fann utredarna att det saknades korrekt fastställda eller tillämpade lagringsperioder. Vissa uppgifter sträckte sig tillbaka till 2001.

En mindre grupp på cirka 3 300 patienter hade direkt identifierande information i databasen. Dessa uppgifter omfattade namn, skatteidentifikationsnummer, adresser och kontaktuppgifter.

Tillsammans innebar dessa resultat att ärendet omfattade mer än frågan om huruvida de kodade hälsouppgifterna uppfyllde kraven för anonym information.

IQVIA får 120 dagar på sig att åtgärda bristerna

Italienska myndigheter granskade IQVIA:s rutiner i april 2025 och fattade sitt beslut i september 2026.

Utöver IQVIA:s dataskyddsböter beordrade tillsynsmyndigheten företaget att anpassa sina rutiner för databehandling till reglerna inom 120 dagar.

IQVIA tillhandahåller internationellt tjänster inom hälsoanalys, teknik och klinisk forskning. Beslutet gäller dock den specifika datamängd som den italienska myndigheten granskade.

Företaget uppgav att denna datamängd inte används för dess kliniska forskningstjänster eller kliniska prövningar som genomförs på uppdrag av sponsorer.

Företaget uppger att korrigerande åtgärder har vidtagits

I sitt svar bekräftade IQVIA beslutet och uppgav att företaget förbehåller sig rätten att överklaga.

Företaget uppgav också att det fortsätter att samarbeta med tillsynsmyndigheten och redan har vidtagit åtgärder för att anpassa sina rutiner till myndighetens vägledning.

Samtidigt pekade IQVIA på säkerhetsåtgärder som pseudonymisering och kryptering som en del av företagets arbete med att skydda hälsouppgifter.

Den centrala frågan är fortfarande om uppgifterna kunde identifiera enskilda personer trots dessa skyddsåtgärder. I det här fallet drog tillsynsmyndigheten slutsatsen att patientkoderna och den detaljerade kompletterande informationen innebar att denna möjlighet kvarstod.