A autoridade italiana de proteção de dados multa a IQVIA em EUR 7 milhões por processar dados de saúde não anonimizados de um milhão de pacientes
Multa: EUR 7 milhões
A autoridade italiana de proteção de dados multou a IQVIA Solutions Italy S.r.l. em EUR 7 milhões por processar dados de saúde não anonimizados de um milhão de pacientes. A autoridade italiana de proteção de dados concluiu que os dados utilizados pela IQVIA, incluindo informações de 800 médicos de clínica geral, não eram anônimos, conforme alegado pela empresa. Esta decisão, n.710 de 23 de setembro de 2026, seguiu uma investigação e uma notificação de violação de dados pessoais.
A autoridade italiana de proteção de dados determinou que os dados, apesar das afirmações da empresa, não eram anônimos porque um código associado a cada paciente permitia o rastreamento ao longo do tempo. Este código, combinado com um conjunto de informações altamente detalhadas, incluindo ano de nascimento, sexo, diagnóstico, sintomas, prescrições, exames, vacinações e dados de localização, tornou possível isolar pacientes individuais e reidentificá-los usando meios razoáveis. A autoridade também concluiu que a IQVIA atuou como controladora de dados desde a fase inicial de coleta de dados de médicos de clínica geral. A IQVIA processou dados de saúde sem uma base legal adequada e não informou adequadamente os pacientes. A empresa não definiu períodos de retenção de dados, com alguns dados datando de 2001, nem realizou uma AIPD ou implementou medidas de segurança adequadas. O banco de dados também continha informações de identificação, como nomes, códigos fiscais, endereços e detalhes de contato para mais de 3.300 pacientes, com mais de 3.000 deles vinculados a dados de saúde. A IQVIA deve agora cumprir os requisitos da autoridade italiana de proteção de dados dentro de 120 dias, caso pretenda continuar a processar esses dados, ou garantir que a anonimização seja realizada pelos médicos de clínica geral de acordo com as diretrizes da autoridade italiana de proteção de dados. A autoridade italiana de proteção de dados considerou o número de pacientes, a natureza dos dados, a cessação do envio de dados pelos médicos a partir de 2023 e a cooperação da empresa ao determinar a multa.
A autoridade italiana de proteção de dados escrutinizou as alegações de anonimização da IQVIA para dados de saúde, garantindo que os titulares dos dados não pudessem ser reidentificados.
Título original: COMUNICATO STAMPA - Dati sanitari: il Garante privacy sanziona IQVIA per 7 milioni di euro. Non anonimi i dati di un milione di pazienti di 800 medici di famiglia
- Quem isso vincula
- A IQVIA Solutions Italy S.r.l. está legalmente vinculada por esta decisão de execução sob a lei italiana de proteção de dados.
- O que mudou
- A IQVIA Solutions Italy S.r.l. deve agora cessar o processamento de dados de saúde não anonimizados ou garantir a conformidade com os requisitos de anonimização e processamento da autoridade italiana de proteção de dados dentro de 120 dias da decisão n.710.
- O que verificar
- Organizações que processam dados de saúde devem revisar suas metodologias de anonimização para garantir que atendam a limites rigorosos de reidentificação, especialmente ao combinar múltiplos pontos de dados.
- O que isso não significa
- Esta decisão não significa que todo o processamento de dados de saúde seja proibido, mas sim enfatiza as condições rigorosas para anonimização e base legal ao lidar com dados pessoais sensíveis.
Envie isto para sua equipe
A autoridade italiana de proteção de dados multou a IQVIA Solutions Italy S.r.l. em EUR 7 milhões por processar dados de saúde não anonimizados, decidindo que a reidentificação de pacientes era possível e exigindo conformidade dentro de 120 dias.