TL;DR
Genom beslut nr 710 av den 23 september 2026, offentliggjort den 2 oktober, påförde italienska Garante IQVIA Solutions Italy en sanktionsavgift på 7 miljoner euro. Databasen, matad från systemen hos omkring 800 allmänläkare, innehöll sjukhistorien för ungefär en miljon patienter. Den var inte anonym: varje patient hade en fast kod som gjorde det möjligt att följa personen över tid. IQVIA ansågs vara personuppgiftsansvarig från insamlingen. Överträdelser: rättslig grund och villkor enligt art. 9, information, lagring (uppgifter från 2001), läkarna inte utsedda till biträden, ingen konsekvensbedömning, säkerhet. 120 dagar att rätta till; bolaget förbehåller sig rätten att överklaga.
Vad som hände
En tilläggsmodul i mottagningarnas journalsystem tog ut patientuppgifter och skickade dem till bolagets databas: födelseår, kön, civilstånd, besök, diagnoser, symtom, allergier, vikt, recept, vaccinationer, undersökningar, sjukintyg samt platsuppgifter. I gengäld fick läkarna abonnemanget på systemet. Uppgifterna användes i observationsstudier beställda av läkemedelsbolag och levererade i aggregerad form. Inspektionerna genomfördes i april 2025. Under tiden anmälde bolaget en personuppgiftsincident: i fritextfält fanns namn, skattenummer och kontaktuppgifter för 3 370 patienter, för 3 080 av dem tillsammans med hälsouppgifter.
Varför uppgifterna inte var anonyma
- DEN FASTA KODEN. Varje patient behöll samma identifierare under hela insamlingen: det var just syftet, att följa personen över tid. Det är villkoret som gör det möjligt att särskilja en person i en grupp, det första av de tre anonymiseringskriterierna.
- k-ANONYMITET RÄCKER INTE. Begränsningen gällde bara kvasi-identifierare. Men en följd av diagnoser, vårdtillfällen och läkemedel som observerats i åratal är i sig en identifierare: stora ekvivalensklasser hjälper inte om resten av posten är unik.
- HASHNING TAR INTE BORT UNIKHETEN. Att hasha koden gör identiteten oläslig men bevarar den entydiga kopplingen mellan post och person: den är byggd för just det.
- INTE BARA EN MOTTAGARE. EU-domstolens SRB-dom (C-413/23, 4 september 2025) säger att pseudonymiserade uppgifter kanske inte är personuppgifter för en mottagare som inte kan häva åtgärderna. IQVIA hade själv utformat åtgärderna: bolaget var personuppgiftsansvarigt från insamlingen, och förmågan att återidentifiera med rimliga medel räcker.
Att anonymisera är att behandla
Det är poängen som gäller alla. Anonymisering är behandling av personuppgifter och kräver rättslig grund. Avtalet med läkarna kunde inte vara det för patienterna, som inte var part i det; för hälsouppgifter krävdes också ett villkor enligt art. 9, och något sådant fanns inte. Informationen, som lämnats åt läkarna, saknade uppgifterna i art. 13. Och läkarna, som inte bestämde ändamål och medel för åtgärden, borde ha utsetts till biträden enligt art. 28: även den överträdelsen konstaterade Garante.
De övriga överträdelserna och avgiften
Ingen lagringstid: de äldsta uppgifterna var från 2001, trots att bolaget uppgav att studier inte behöver uppgifter äldre än tio år; den policy som lämnades in gällde administrativa och skattemässiga handlingar. Ingen konsekvensbedömning, otillräckliga säkerhetsåtgärder. Bolaget har 120 dagar att rätta behandlingen om det vill fortsätta; annars måste läkarna själva anonymisera, med de skyddsåtgärder Garante angett. Beloppet speglar antalet patienter och uppgifternas art, men också att överföringarna stoppades 2023 och bolagets samarbete. Den 26 maj 2026 hade CNIL påfört koncernens franska bolag 5 miljoner, med samma slutsats: pseudonymiserat betyder inte anonymt.
Vad det betyder för ett dataskyddsombud
Fem kontroller
Ett: varje datamängd som en klient kallar ”anonym” granskas för två saker — en fast identifierare och rikt innehåll. Finns båda är den pseudonymiserad och hör hemma i registret som behandling av personuppgifter. Två: den som utformar anonymiseringen är personuppgiftsansvarig för den och behöver rättslig grund, med art. 9 för hälsouppgifter. Tre: fritextfält är där namn läcker ut; testa dem på riktiga data före uttaget. Fyra: även forskningsdatabaser behöver en nedskriven lagringstid. Fem: hälsouppgifter i stor skala kräver konsekvensbedömning före, inte efter. I DPO Workspace kan en behandling med särskilda kategorier utan villkor enligt art. 9 inte aktiveras.
Söker du ett verktyg för ditt arbete som dataskyddsombud?
DPO Workspace är byggt av ett certifierat dataskyddsombud. 30 dagar gratis.
Börja gratis
