TL;DR
Met besluit nr. 710 van 23 september 2026, bekendgemaakt op 2 oktober, heeft de Italiaanse Garante IQVIA Solutions Italy een boete van 7 miljoen euro opgelegd. De databank, gevoed door de software van zo'n 800 huisartsen, bevatte de medische geschiedenis van ongeveer een miljoen patiënten. Ze was niet anoniem: elke patiënt had een vaste code waarmee hij in de tijd te volgen was. IQVIA gold vanaf de verzameling als verwerkingsverantwoordelijke. Overtredingen: rechtsgrond en voorwaarde van art. 9, informatie, bewaring (gegevens vanaf 2001), artsen niet als verwerkers aangewezen, geen DPIA, beveiliging. 120 dagen om aan te passen; het bedrijf behoudt zich beroep voor.
Wat er gebeurde
Een uitbreiding in de praktijkbeheersoftware haalde patiëntgegevens op en stuurde ze naar de databank van het bedrijf: geboortejaar, geslacht, burgerlijke staat, consulten, diagnoses, symptomen, allergieën, gewicht, voorschriften, vaccinaties, onderzoeken, ziekteverklaringen en locatiegegevens. In ruil kregen de artsen het software-abonnement. De gegevens voedden observationele studies in opdracht van farmaceutische bedrijven, geleverd in geaggregeerde vorm. De inspecties waren in april 2025. Intussen meldde het bedrijf een datalek: in vrije tekstvelden stonden namen, fiscale nummers en contactgegevens van 3.370 patiënten, bij 3.080 van hen samen met gezondheidsgegevens.
Waarom de gegevens niet anoniem waren
- DE VASTE CODE. Elke patiënt hield gedurende de hele verzameling dezelfde identificator: daar diende die juist voor, om hem in de tijd te volgen. Dat is de voorwaarde om iemand uit een groep te kunnen lichten, het eerste van de drie anonimiseringscriteria.
- k-ANONIMITEIT IS NIET GENOEG. De beperking werkte alleen op quasi-identificatoren. Maar een reeks diagnoses, opnames en medicijnen over jaren is zelf een identificator: grote equivalentieklassen helpen niet als de rest van het record uniek is.
- HASHEN NEEMT DE UNICITEIT NIET WEG. De code hashen maakt de identiteit onleesbaar, maar houdt de eenduidige koppeling tussen record en persoon intact: daar is het voor gemaakt.
- GEEN GEWONE ONTVANGER. Het SRB-arrest van het Hof van Justitie (C-413/23, 4 september 2025) zegt dat gepseudonimiseerde gegevens voor een ontvanger die de maatregelen niet kan opheffen, mogelijk geen persoonsgegevens zijn. IQVIA had die maatregelen zelf ontworpen: het was verwerkingsverantwoordelijke vanaf de verzameling, en het vermogen om met redelijke middelen te heridentificeren volstaat.
Anonimiseren is verwerken
Dit is het punt dat voor iedereen geldt. Anonimisering is een verwerking van persoonsgegevens en heeft een rechtsgrond nodig. Het contract met de artsen kon dat voor de patiënten niet zijn, want zij waren geen partij; voor gezondheidsgegevens was ook een voorwaarde van art. 9 nodig, en die was er niet. De informatie, overgelaten aan de artsen, bevatte de elementen van art. 13 niet. En de artsen, die niet over doel en middelen van de operatie beslisten, hadden als verwerkers onder art. 28 moeten worden aangewezen: ook die overtreding stelde de Garante vast.
De andere overtredingen en de boete
Geen bewaartermijn: de oudste gegevens dateerden van 2001, terwijl het bedrijf verklaarde dat studies geen gegevens ouder dan tien jaar nodig hebben; het overgelegde beleid ging over administratieve en fiscale stukken. Geen effectbeoordeling, ontoereikende beveiliging. Het bedrijf heeft 120 dagen om de verwerking aan te passen als het wil doorgaan; anders moeten de artsen zelf anonimiseren, met de waarborgen van de Garante. In de hoogte wogen het aantal patiënten en de aard van de gegevens mee, maar ook de stopzetting van de leveringen sinds 2023 en de medewerking. Op 26 mei 2026 had de CNIL de Franse vennootschap van de groep 5 miljoen boete gegeven, met dezelfde conclusie: gepseudonimiseerd is niet anoniem.
Wat het betekent voor een FG
Vijf controles
Eén: elke dataset die een cliënt 'anoniem' noemt, toetsen op twee dingen — een vaste identificator en rijke inhoud. Zijn beide aanwezig, dan is hij gepseudonimiseerd en hoort hij in het register als verwerking van persoonsgegevens. Twee: wie de anonimisering ontwerpt, is daarvoor verantwoordelijk en heeft een rechtsgrond nodig, bij gezondheidsgegevens met art. 9. Drie: vrije tekstvelden zijn waar namen doorsijpelen; test ze op echte gegevens vóór de export. Vier: ook onderzoeksdatabanken hebben een vastgelegde bewaartermijn nodig. Vijf: gezondheidsgegevens op grote schaal vragen een DPIA vooraf, niet achteraf. In DPO Workspace kan een verwerking met bijzondere categorieën zonder voorwaarde van art. 9 niet worden geactiveerd.
Zoekt u een hulpmiddel voor uw dagelijkse werk als FG?
DPO Workspace is gebouwd door een gecertificeerde functionaris voor gegevensbescherming. 30 dagen gratis.
Gratis starten
