TL;DR
Decyzją nr 710 z 23 września 2026 r., ogłoszoną 2 października, włoski Garante nałożył na IQVIA Solutions Italy karę 7 mln euro. Baza zasilana z programów około 800 lekarzy rodzinnych zawierała historię leczenia około miliona pacjentów. Nie była anonimowa: każdy pacjent miał stały kod pozwalający śledzić go w czasie. IQVIA uznano za administratora od chwili zbierania. Naruszenia: podstawa prawna i warunek z art. 9, informacja, przechowywanie (dane od 2001 r.), brak powierzenia lekarzom przetwarzania, brak DPIA, bezpieczeństwo. 120 dni na dostosowanie; spółka zastrzega sobie odwołanie.
Co się stało
Dodatek zainstalowany w programie do prowadzenia gabinetów wyciągał dane pacjentów i przesyłał je do bazy spółki: rok urodzenia, płeć, stan cywilny, wizyty, rozpoznania, objawy, alergie, wagę, recepty, szczepienia, badania, zwolnienia lekarskie oraz dane o lokalizacji. W zamian lekarze otrzymywali abonament na program. Dane służyły badaniom obserwacyjnym zamawianym przez firmy farmaceutyczne i przekazywanym w formie zagregowanej. Kontrole odbyły się w kwietniu 2025 r. W międzyczasie spółka zgłosiła naruszenie: w polach tekstu swobodnego znalazły się imiona, numery identyfikacyjne i dane kontaktowe 3370 pacjentów, w tym 3080 razem z danymi o zdrowiu.
Dlaczego dane nie były anonimowe
- STAŁY KOD. Każdy pacjent zachowywał ten sam identyfikator przez cały okres zbierania: służył właśnie do śledzenia go w czasie. To warunek, który pozwala wyodrębnić osobę z grupy, pierwsze z trzech kryteriów anonimizacji.
- k-ANONIMOWOŚĆ NIE WYSTARCZA. Ograniczenie dotyczyło tylko quasi-identyfikatorów. Ale ciąg rozpoznań, hospitalizacji i leków obserwowany przez lata sam jest identyfikatorem: duże klasy równoważności nic nie dają, jeśli reszta rekordu jest unikalna.
- HASZOWANIE NIE USUWA UNIKALNOŚCI. Zahaszowanie kodu czyni tożsamość nieczytelną, ale zachowuje jednoznaczne powiązanie rekordu z osobą: po to właśnie jest.
- NIE ZWYKŁY ODBIORCA. Wyrok TSUE w sprawie SRB (C-413/23, 4 września 2025 r.) mówi, że dane pseudonimizowane mogą nie być osobowe dla odbiorcy, który nie może usunąć zabezpieczeń. IQVIA te zabezpieczenia zaprojektowała: była administratorem od zbierania, a wystarcza zdolność do reidentyfikacji rozsądnymi środkami.
Anonimizacja to przetwarzanie
To punkt dotyczący wszystkich. Anonimizacja jest przetwarzaniem danych osobowych i wymaga podstawy prawnej. Umowa z lekarzami nie mogła nią być wobec pacjentów, którzy nie byli jej stroną; dla danych o zdrowiu potrzebny był też warunek z art. 9, a go nie było. Informacja, przerzucona na lekarzy, nie zawierała elementów z art. 13. A lekarze, którzy nie decydowali o celach i sposobach operacji, powinni byli zostać podmiotami przetwarzającymi z art. 28: Garante stwierdził także to naruszenie.
Pozostałe naruszenia i kara
Brak okresu przechowywania: najstarsze dane pochodziły z 2001 r., choć spółka twierdziła, że do badań nie potrzeba danych starszych niż dziesięć lat; przedstawiona polityka dotyczyła dokumentów administracyjnych i podatkowych. Brak oceny skutków, niewystarczające środki bezpieczeństwa. Spółka ma 120 dni na dostosowanie przetwarzania, jeśli chce je kontynuować; w przeciwnym razie anonimizację muszą przeprowadzać sami lekarze, z gwarancjami wskazanymi przez Garante. Na wysokość kary wpłynęły liczba pacjentów i charakter danych, ale też wstrzymanie przesyłania od 2023 r. i współpraca. 26 maja 2026 r. CNIL ukarała francuską spółkę grupy kwotą 5 mln, dochodząc do tego samego wniosku: pseudonimizowane nie znaczy anonimowe.
Co to oznacza dla IOD
Pięć kontroli
Po pierwsze: każdy zbiór, który klient nazywa „anonimowym”, trzeba sprawdzić pod dwoma kątami — stały identyfikator i bogata treść. Jeśli jest jedno i drugie, zbiór jest pseudonimizowany i trafia do rejestru jako przetwarzanie danych osobowych. Po drugie: kto projektuje anonimizację, jest jej administratorem i potrzebuje podstawy prawnej, przy danych o zdrowiu z art. 9. Po trzecie: pola tekstu swobodnego to miejsce, którędy wyciekają nazwiska; trzeba je przetestować na prawdziwych danych przed eksportem. Po czwarte: bazy badawcze też potrzebują zapisanego okresu przechowywania. Po piąte: dane o zdrowiu na dużą skalę wymagają DPIA przed, nie po. W DPO Workspace czynności z kategoriami szczególnymi bez warunku z art. 9 nie można aktywować.
Szukasz narzędzia do codziennej pracy inspektora ochrony danych?
DPO Workspace został zbudowany przez certyfikowanego IOD. 30 dni bezpłatnie.
Zacznij bezpłatnie
