TL;DR
Italian Garante määräsi 23.9.2026 tehdyllä ja 2.10. julkistetulla päätöksellä nro 710 IQVIA Solutions Italylle 7 miljoonan euron seuraamusmaksun. Noin 800 yleislääkärin ohjelmistoista kerätty tietokanta sisälsi noin miljoonan potilaan sairaushistorian. Se ei ollut anonyymi: jokaisella potilaalla oli pysyvä koodi, jolla häntä voitiin seurata ajassa. IQVIA katsottiin rekisterinpitäjäksi keruusta alkaen. Rikkomukset: oikeusperuste ja 9 artiklan edellytys, informointi, säilytys (tietoja vuodesta 2001), lääkäreitä ei nimetty käsittelijöiksi, ei vaikutustenarviointia, tietoturva. 120 päivää korjata; yhtiö varaa oikeuden valittaa.
Mitä tapahtui
Vastaanottojen hallintaohjelmistoon asennettu lisäosa poimi potilastiedot ja lähetti ne yhtiön tietokantaan: syntymävuosi, sukupuoli, siviilisääty, käynnit, diagnoosit, oireet, allergiat, paino, lääkemääräykset, rokotukset, tutkimukset, sairauslomatodistukset sekä sijaintitiedot. Vastineeksi lääkärit saivat ohjelmistotilauksen. Tietoja käytettiin lääkeyhtiöiden tilaamiin havainnoiviin tutkimuksiin, jotka toimitettiin yhdistettyinä. Tarkastukset tehtiin huhtikuussa 2025. Sillä välin yhtiö ilmoitti tietoturvaloukkauksesta: vapaatekstikenttiin oli päätynyt 3 370 potilaan nimiä, verotunnisteita ja yhteystietoja, joista 3 080 yhdessä terveystietojen kanssa.
Miksi tiedot eivät olleet anonyymeja
- PYSYVÄ KOODI. Jokaisella potilaalla oli sama tunniste koko keruun ajan: juuri siksi, että häntä voitaisiin seurata ajassa. Se on edellytys henkilön erottamiselle ryhmästä, anonymisoinnin kolmesta kriteeristä ensimmäinen.
- k-ANONYMITEETTI EI RIITÄ. Rajoitus koski vain lähes tunnistavia tietoja. Mutta vuosien ajan havaittu diagnoosien, sairaalajaksojen ja lääkkeiden sarja on itsessään tunniste: suuret ekvivalenssiluokat eivät auta, jos tietueen muu osa on ainutkertainen.
- TIIVISTE EI POISTA AINUTKERTAISUUTTA. Koodin tiivistäminen tekee henkilöllisyydestä lukukelvottoman mutta säilyttää tietueen ja henkilön yksiselitteisen yhteyden: se on tehty juuri sitä varten.
- EI PELKKÄ VASTAANOTTAJA. Unionin tuomioistuimen SRB-tuomio (C-413/23, 4.9.2025) toteaa, etteivät pseudonymisoidut tiedot välttämättä ole henkilötietoja vastaanottajalle, joka ei voi purkaa suojatoimia. IQVIA oli itse suunnitellut suojatoimet: se oli rekisterinpitäjä keruusta alkaen, ja kyky tunnistaa uudelleen kohtuullisin keinoin riittää.
Anonymisointi on käsittelyä
Tämä koskee kaikkia. Anonymisointi on henkilötietojen käsittelyä ja vaatii oikeusperusteen. Sopimus lääkärien kanssa ei voinut olla peruste potilaiden osalta, koska he eivät olleet sopimuksen osapuolia; terveystiedoille tarvittiin lisäksi 9 artiklan edellytys, eikä sellaista ollut. Lääkäreille siirretystä informoinnista puuttuivat 13 artiklan tiedot. Ja lääkärit, jotka eivät päättäneet toiminnan tarkoituksista ja keinoista, olisi pitänyt nimetä 28 artiklan mukaisiksi käsittelijöiksi: myös tämän rikkomuksen Garante totesi.
Muut rikkomukset ja seuraamus
Ei säilytysaikaa: vanhimmat tiedot olivat vuodelta 2001, vaikka yhtiö totesi, etteivät tutkimukset tarvitse yli kymmenen vuotta vanhoja tietoja; esitetty käytäntö koski hallinnollisia ja verotusasiakirjoja. Ei vaikutustenarviointia, riittämättömät turvatoimet. Yhtiöllä on 120 päivää saattaa käsittely kuntoon, jos se haluaa jatkaa; muuten lääkärien on anonymisoitava itse Garanten asettamin takein. Määrään vaikuttivat potilaiden määrä ja tietojen luonne, mutta myös siirtojen lopettaminen vuodesta 2023 ja yhteistyö. CNIL oli 26.5.2026 määrännyt konsernin ranskalaiselle yhtiölle 5 miljoonaa samalla johtopäätöksellä: pseudonymisoitu ei tarkoita anonyymia.
Mitä se tarkoittaa tietosuojavastaavalle
Viisi tarkistusta
Yksi: jokainen aineisto, jota asiakas kutsuu ”anonyymiksi”, tarkistetaan kahden asian osalta — pysyvä tunniste ja runsas sisältö. Jos molemmat ovat olemassa, aineisto on pseudonymisoitu ja kuuluu selosteeseen henkilötietojen käsittelynä. Kaksi: anonymisoinnin suunnittelija on sen rekisterinpitäjä ja tarvitsee oikeusperusteen, terveystiedoissa 9 artiklan mukaisesti. Kolme: vapaatekstikentät ovat kohta, josta nimet vuotavat; ne on testattava oikeilla tiedoilla ennen poimintaa. Neljä: myös tutkimustietokannat tarvitsevat kirjatun säilytysajan. Viisi: laajamittaiset terveystiedot vaativat vaikutustenarvioinnin etukäteen, ei jälkikäteen. DPO Workspacessa käsittelyä, jossa on erityisiä tietoryhmiä ilman 9 artiklan edellytystä, ei voi aktivoida.
Etsitkö työkalua tietosuojavastaavan työhösi?
DPO Workspace on sertifioidun tietosuojavastaavan rakentama. 30 päivää maksutta.
Aloita maksutta
