De Italiaanse privacytoezichthouder heeft het zorgdatabedrijf IQVIA €7 miljoen beboet, nadat was vastgesteld dat een database met informatie over ongeveer een miljoen patiënten niet correct geanonimiseerd was.
IQVIA Solutions Italië bouwde de database op basis van informatie verzameld van ongeveer 800 huisartsen. De gegevens werden gebruikt voor gezondheidszorgstudies, waaronder onderzoek in opdracht van farmaceutische bedrijven.
De namen van patiënten werden vervangen door unieke codes, wat IQVIA voldoende achtte om de informatie anoniem te maken. De Italiaanse Gegevensbeschermingsautoriteit was het daar niet mee eens en stelde vast dat elke code aan dezelfde persoon bleef gekoppeld en daarom gebruikt kon worden om de medische geschiedenis van een individu in de loop van de tijd te volgen.
Het risico nam toe omdat de database uitgebreide informatie over elke patiënt bevatte. Dossiers konden geboortejaar, geslacht, diagnoses, symptomen, recepten, medische tests, vaccinaties en locatiegegevens bevatten.
Toezichthouders concludeerden dat het combineren van deze details het mogelijk zou kunnen maken individuele patiënten te isoleren en mogelijk op redelijke wijze te heridentificeren. Als gevolg daarvan bleef de informatie persoonlijke gezondheidsgegevens die door de Europese privacywetgeving werden beschermd, in plaats van echt anonieme informatie buiten de AVG.
Het onderzoek bracht ook direct identificerende informatie aan het licht van meer dan 3.300 patiënten, waaronder namen, Italiaanse belastingnummers, adressen en contactgegevens. Meer dan 3.000 van die dossiers werden vergezeld van gezondheidsinformatie.
De autoriteiten identificeerden verschillende andere privacyproblemen. IQVIA zou gezondheidsinformatie hebben verwerkt zonder een passende juridische basis, patiënten niet adequaat hebben geïnformeerd en geen juiste bewaartermijnen vastgesteld. Sommige dossiers dateren uit 2001.
De toezichthouder stelde ook vast dat IQVIA de vereiste effectrapportage op het gebied van gegevensbescherming niet had afgerond en niet voldoende beveiligingsmaatregelen had ingevoerd.
IQVIA moet binnen 120 dagen haar verwerkingspraktijken in overeenstemming brengen als het van plan is de activiteit voort te zetten. Alternatief zouden artsen die de informatie verstrekken patiëntengegevens onafhankelijk moeten anonimiseren onder waarborgen die door de toezichthouder zijn vastgesteld.
IQVIA zei dat het beschermen van gegevens een prioriteit blijft en wees op waarborgen zoals pseudonymisatie en encryptie. Het bedrijf blijft samenwerken met de toeziener, maar heeft het recht voorbehouden om in beroep te gaan tegen de beslissing.
Het bedrijf benadrukte ook dat de database die bij de zaak betrokken is, niet wordt gebruikt voor zijn klinische onderzoeksdiensten of klinische proeven die voor sponsors worden uitgevoerd.