TL;DR
Med vedtak nr. 710 av 23. september 2026, kunngjort 2. oktober, ila det italienske Garante IQVIA Solutions Italy en bot på 7 millioner euro. Databasen, matet fra systemene til rundt 800 fastleger, inneholdt sykehistorien til omkring én million pasienter. Den var ikke anonym: hver pasient hadde en fast kode som gjorde det mulig å følge vedkommende over tid. IQVIA ble ansett som behandlingsansvarlig fra innsamlingen. Brudd: rettslig grunnlag og vilkår etter art. 9, informasjon, lagring (opplysninger fra 2001), legene ikke utpekt som databehandlere, ingen DPIA, sikkerhet. 120 dager på å rette opp; selskapet forbeholder seg retten til å klage.
Hva som skjedde
En tilleggsmodul i legekontorenes system hentet ut pasientopplysninger og sendte dem til selskapets database: fødselsår, kjønn, sivilstand, konsultasjoner, diagnoser, symptomer, allergier, vekt, resepter, vaksiner, prøver, sykmeldinger og lokasjonsopplysninger. Legene fikk til gjengjeld abonnementet på systemet. Opplysningene ble brukt i observasjonsstudier bestilt av legemiddelselskaper og levert i aggregert form. Tilsynene fant sted i april 2025. I mellomtiden meldte selskapet et avvik: i fritekstfelt sto navn, skattenumre og kontaktopplysninger for 3 370 pasienter, for 3 080 av dem sammen med helseopplysninger.
Hvorfor opplysningene ikke var anonyme
- DEN FASTE KODEN. Hver pasient beholdt samme identifikator gjennom hele innsamlingen: det var nettopp formålet, å følge vedkommende over tid. Det er vilkåret som gjør det mulig å skille ut en person i en gruppe, det første av de tre anonymiseringskriteriene.
- k-ANONYMITET HOLDER IKKE. Begrensningen gjaldt bare kvasi-identifikatorer. Men en rekke diagnoser, innleggelser og legemidler observert over år er selv en identifikator: store ekvivalensklasser hjelper ikke når resten av posten er unik.
- HASHING FJERNER IKKE UNIKHETEN. Å hashe koden gjør identiteten uleselig, men bevarer den entydige koblingen mellom post og person: det er laget nettopp for det.
- IKKE BARE EN MOTTAKER. EU-domstolens SRB-dom (C-413/23, 4. september 2025) sier at pseudonymiserte opplysninger kanskje ikke er personopplysninger for en mottaker som ikke kan oppheve tiltakene. IQVIA hadde selv utformet tiltakene: selskapet var behandlingsansvarlig fra innsamlingen, og evnen til å reidentifisere med rimelige midler er nok.
Å anonymisere er å behandle
Dette er poenget som gjelder alle. Anonymisering er behandling av personopplysninger og krever rettslig grunnlag. Avtalen med legene kunne ikke være det for pasientene, som ikke var part i den; for helseopplysninger trengtes også et vilkår etter art. 9, og det fantes ikke. Informasjonen, overlatt til legene, manglet elementene i art. 13. Og legene, som ikke bestemte formål og midler for operasjonen, skulle vært utpekt som databehandlere etter art. 28: også dette bruddet slo Garante fast.
De øvrige bruddene og boten
Ingen lagringstid: de eldste opplysningene var fra 2001, selv om selskapet sa at studier ikke trenger opplysninger eldre enn ti år; retningslinjene som ble lagt fram, gjaldt administrative og skattemessige dokumenter. Ingen konsekvensvurdering, utilstrekkelig sikkerhet. Selskapet har 120 dager på å bringe behandlingen i orden hvis det vil fortsette; ellers må legene selv anonymisere, med garantiene Garante har satt. Beløpet tar hensyn til antall pasienter og opplysningenes art, men også stansen i overføringene fra 2023 og samarbeidet. 26. mai 2026 hadde CNIL bøtelagt konsernets franske selskap med 5 millioner, med samme konklusjon: pseudonymisert betyr ikke anonymt.
Hva det betyr for et personvernombud
Fem kontroller
Én: ethvert datasett en klient kaller «anonymt», sjekkes for to ting — en fast identifikator og rikt innhold. Er begge til stede, er det pseudonymisert og hører hjemme i protokollen som behandling av personopplysninger. To: den som utformer anonymiseringen, er behandlingsansvarlig for den og trenger rettslig grunnlag, med art. 9 for helseopplysninger. Tre: fritekstfelt er der navn lekker ut; test dem på ekte data før uttrekk. Fire: også forskningsdatabaser trenger en skriftlig lagringstid. Fem: helseopplysninger i stor skala krever DPIA før, ikke etter. I DPO Workspace kan en behandling med særlige kategorier uten vilkår etter art. 9 ikke aktiveres.
Ser du etter et verktøy for arbeidet ditt som personvernombud?
DPO Workspace er bygget av et sertifisert personvernombud. 30 dager gratis.
Kom i gang gratis
