İtalya’nın gizlilik düzenleyicisi, yaklaşık bir milyon hasta hakkında bilgi içeren bir veri tabanının düzgün şekilde anonimleştirilmediği sonucuna vardıktan sonra sağlık veri şirketi IQVIA’ya 7 milyon € para cezası verdi.
IQVIA Solutions Italy, veritabanını yaklaşık 800 pratisyen hekimden toplanan bilgilerle oluşturdu. Veriler, ilaç şirketleri tarafından sipariş edilen araştırmalar da dahil olmak üzere sağlık çalışmaları için kullanıldı.
Hasta isimleri, IQVIA’nın bilgileri anonim hale getirmek için yeterli olduğunu düşünen benzersiz kodlarla değiştirildi. İtalya Veri Koruma Otoritesi ise aynı kişiyle ilişkilendirildiğini ve bu nedenle bireyin tıbbi geçmişini zamanla takip etmek için kullanılabileceğini tespit etti.
Risk arttı çünkü veritabanı her hasta hakkında kapsamlı bilgi içeriyordu. Kayıtlar doğum yılı, cinsiyet, teşhisler, semptomlar, reçeteler, tıbbi testler, aşılar ve konum bilgilerini içerebilirdi.
Düzenleyiciler, bu detayların birleştirilmesinin bireysel hastaları izole etmeyi ve makul yöntemlerle yeniden tanımlamayı mümkün kılabileceği sonucuna vardı. Sonuç olarak, bilgiler GDPR dışında gerçekten anonim bilgi yerine Avrupa gizlilik yasası tarafından korunan kişisel sağlık verileri olarak kaldı.
Soruşturma ayrıca isimler, İtalyan vergi kimlik numaraları, adresler ve iletişim bilgileri dahil olmak üzere 3.300’den fazla hastaya ait doğrudan kimlik bilgilerini ortaya çıkardı. Bu kayıtların 3.000’den fazlası sağlık bilgileriyle birlikte verildi.
Yetkililer başka birkaç gizlilik sorunu da tespit etti. IQVIA’nın uygun yasal bir dayanak olmadan sağlık bilgilerini işlediği, hastaları yeterince bilgilendirmediği ve uygun saklama süreleri belirlenmediği iddia edildi. Bazı kayıtlar 2001 yılına kadar uzanıyor.
Düzenleyici ayrıca IQVIA’nın gerekli veri koruma etki değerlendirmesini tamamlamadığını ve yeterli güvenlik önlemlerini uygulamadığını tespit etti.
IQVIA, faaliyete devam etmeyi niyetliyorsa, işleme uygulamalarını 120 gün içinde uyuma uygun hale getirmeli. Alternatif olarak, bilgiyi sağlayan doktorlar, düzenleyici tarafından belirlenen korumalar kapsamında hasta verilerini bağımsız olarak anonimleştirmek zorunda kalacak.
IQVIA, verilerin korunmasının öncelik olarak kaldığını belirtti ve takma adlar ve şifreleme gibi önlemlere dikkat çekti. Şirket, düzenleyici ile iş birliği yapmaya devam ediyor ancak karara itiraz etme hakkını saklı tuttu.
Şirket ayrıca, davada yer alan veri tabanının klinik araştırma hizmetleri veya sponsorlar için yapılan klinik denemeler için kullanılmadığını vurguladı.