L’ente regolatore italiano sulla privacy ha multato la società di dati sanitari IQVIA di 7 milioni di euro dopo aver concluso che un database contenente informazioni su circa un milione di pazienti non era stato correttamente anonimizzato.
IQVIA Solutions Italy ha costruito il database utilizzando informazioni raccolte da circa 800 medici di base. I dati sono stati utilizzati per studi sanitari, inclusa la ricerca commissionata da aziende farmaceutiche.
I nomi dei pazienti sono stati sostituiti con codici unici, che IQVIA ha ritenuto sufficienti a rendere l’anonimo delle informazioni. L’Autorità per la Protezione dei Dati italiana non era d’accordo, rilevando che ogni codice rimaneva associato alla stessa persona e poteva quindi essere utilizzato per seguire la storia clinica di un individuo nel tempo.
Il rischio aumentava perché il database conteneva informazioni estese su ogni paziente. I registri potevano includere anno di nascita, sesso, diagnosi, sintomi, prescrizioni, test medici, vaccinazioni e informazioni sulla località.
I regolatori hanno concluso che combinare questi dettagli potrebbe rendere possibile isolare singoli pazienti e potenzialmente riidentificarli con mezzi ragionevoli. Di conseguenza, le informazioni sono rimaste dati sanitari personali protetti dalla legge europea sulla privacy, piuttosto che informazioni veramente anonime al di fuori del GDPR.
L’indagine ha inoltre scoperto informazioni identificative dirette appartenenti a più di 3.300 pazienti, tra cui nomi, numeri di identificazione fiscale italiana, indirizzi e dati di contatto. Oltre 3.000 di questi documenti erano accompagnati da informazioni sanitarie.
Le autorità hanno individuato diversi altri problemi di privacy. IQVIA avrebbe elaborato informazioni sanitarie senza una base legale adeguata, non ha informato adeguatamente i pazienti e non aveva stabilito periodi di conservazione adeguati. Alcuni documenti risalgono al 2001.
L’ente regolatore ha inoltre rilevato che IQVIA non aveva completato la valutazione d’impatto richiesta sulla protezione dei dati e non aveva implementato misure di sicurezza sufficienti.
IQVIA deve adeguare le proprie pratiche di elaborazione entro 120 giorni se intende continuare l’attività. In alternativa, i medici che forniscono le informazioni dovrebbero anonimizzare indipendentemente i dati dei pazienti secondo le tutele stabilite dal regolatore.
IQVIA ha dichiarato che la protezione dei dati rimane una priorità e ha segnalato garanzie come pseudonimizzazione e crittografia. L’azienda continua a collaborare con l’ente regolatore ma si è riservata il diritto di fare appello contro la decisione.
L’azienda ha inoltre sottolineato che il database coinvolto nel caso non viene utilizzato per i suoi servizi di ricerca clinica né per studi clinici condotti per gli sponsor.