Италианският орган за защита на данните (GPDP) наложи глоба от 7 милиона евро (7,8 милиона долара) на IQVIA заради лоши практики при обработката на данни, които според агенцията са могли да изложат около един милион пациенти на риск от изтичане на данни и деанонимизация.

IQVIA е мултинационална компания, която предоставя услуги в областта на анализа на здравни данни, технологиите и клиничните изследвания. На своя уебсайт компанията твърди, че оперира в над 100 държави и обработва 68 петабайта данни и 1,2 милиарда досиета на пациенти.

Италианските власти разследваха практиките за обработка на данни на IQVIA през април 2025 г., а миналия месец решиха, че компанията не е предоставила adequate гаранции за анонимизиране на здравните данни, въпреки твърденията си.

GPDP установи, че италианското подразделение на IQVIA е създало база данни, съдържаща здравна информация за около един милион пациенти, чрез агрегиране на данни от 800 общопрактикуващи лекари.

Въпреки че компанията е използвала уникален код вместо имената на пациентите в тези записи, агенцията за защита на данните установи, че те са могли да бъдат използвани за проследяване и деанонимизиране на пациентите с течение на времето.

„Кодът, свързан с всеки пациент, направи възможно проследяването им във времето“, обясни GPDP в съобщение, публикувано в края на миналата седмица.

„В комбинация с много подробен набор от информация (година на раждане, пол, диагнози, симптоми, предписания, изследвания, ваксинации, както и данни за местоположението), той направи възможно идентифицирането на отделни пациенти и с помощта на разумни средства – тяхната повторна идентификация.“

Освен това IQVIA е обработвала данни без съответното правно основание и без да информира пациентите, което е в нарушение на GDPR (Общия регламент относно защитата на данните).

И накрая, за IQVIA се твърди, че не е установила и спазвала никакви срокове за съхранение на данните, като GPDP е открил записи, датиращи още от 2001 г.

За подгрупа от 3300 пациенти в базата данни на IQVIA компанията е включила също имена, данъчни идентификационни номера, адреси и данни за контакт.

В допълнение към глобата от 7,8 милиона долара италианските власти също така разпоредиха на компанията да приведе практиките си в съответствие в срок от 120 дни.

BleepingComputer се свърза с фирмата с въпроси относно глобата, а говорител ни изпрати следното изявление:

„IQVIA е поела ангажимент за отговорно използване на данни и информация и продължава да сътрудничи с Органа. Защитата на данните е основен приоритет за IQVIA и ние поддържаме стабилни защитни мерки, включително използването на псевдонимизация и криптиране, за да подкрепим отговорното използване на данни в здравеопазването.

IQVIA признава решението, прието от италианския орган за защита на данните, и си запазва правото да го обжалва. Наборът от данни, за който се отнася решението на италианския орган за защита на данните, не се използва от IQVIA при предоставянето на услуги за клинични изследвания и не се отнася до провеждането на клинични изпитвания от името на спонсорите.

Ние се ангажирахме градивно с италианския орган за защита на данните по време на този процес и вече предприехме стъпки за приемане на необходимите мерки за осигуряване на пълно съответствие с насоките на Органа.“