O regulador de privacidade da Itália multou a empresa de dados de saúde IQVIA em €7 milhões após concluir que um banco de dados contendo informações sobre cerca de um milhão de pacientes não foi devidamente anonimizado.
A IQVIA Solutions Itália construiu o banco de dados utilizando informações coletadas de aproximadamente 800 médicos de família. Os dados foram usados para estudos em saúde, incluindo pesquisas encomendadas por empresas farmacêuticas.
Os nomes dos pacientes foram substituídos por códigos únicos, que a IQVIA considerou suficientes para tornar as informações anônimas. A Autoridade de Proteção de Dados da Itália discordou, constatando que cada código permanecia associado à mesma pessoa e, portanto, poderia ser usado para acompanhar o histórico médico de um indivíduo ao longo do tempo.
O risco aumentava porque o banco de dados continha informações extensas sobre cada paciente. Os registros podiam incluir ano de nascimento, sexo, diagnósticos, sintomas, prescrições, exames médicos, vacinações e informações de localização.
Os reguladores concluíram que combinar esses dados poderia possibilitar isolar pacientes individuais e, potencialmente, reidentificá-los por meios razoáveis. Como resultado, as informações permaneceram dados pessoais de saúde protegidos pela legislação europeia de privacidade, em vez de informações verdadeiramente anônimas fora do GDPR.
A investigação também revelou informações diretamente identificativas pertencentes a mais de 3.300 pacientes, incluindo nomes, números de identificação fiscal italianos, endereços e dados de contato. Mais de 3.000 desses registros foram acompanhados por informações de saúde.
As autoridades identificaram vários outros problemas de privacidade. A IQVIA supostamente processava informações de saúde sem uma base legal adequada, não informou adequadamente os pacientes e não estabeleceu períodos adequados de retenção. Alguns registros datam de 2001.
O regulador também constatou que a IQVIA não havia completado a avaliação de impacto exigida para a proteção de dados e não implementou medidas de segurança suficientes.
A IQVIA deve colocar suas práticas de processamento em conformidade dentro de 120 dias se pretende continuar a atividade. Alternativamente, os médicos que fornecem as informações terão que anonimizar os dados dos pacientes de forma independente sob as salvaguardas estabelecidas pelo regulador.
A IQVIA afirmou que proteger os dados continua sendo uma prioridade e apontou salvaguardas como pseudônimo e criptografia. A empresa continua cooperando com o regulador, mas reservou o direito de recorrer da decisão.
A empresa também ressaltou que o banco de dados envolvido no caso não é utilizado para seus serviços de pesquisa clínica ou para ensaios clínicos conduzidos para patrocinadores.