7 mln euro kary dla IQVIA za niezgodne z RODO przetwarzanie danych o zdrowiu pacjentów

Włoski organ ochrony danych osobowych (Garante per la protezione dei dati personali) nałożył na spółkę IQVIA Solutions Italy S.r.l. administracyjną karę pieniężną w wysokości 7 mln euro za niezgodne z RODO przetwarzanie danych dotyczących zdrowia pacjentów. Postępowanie wykazało m.in., że dane, które spółka uznawała za anonimowe, w rzeczywistości umożliwiały identyfikowanie poszczególnych osób. Organ stwierdził również uchybienia dotyczące podstawy prawnej przetwarzania, obowiązków informacyjnych, bezpieczeństwa danych oraz oceny skutków dla ochrony danych.

Decyzję w sprawie wydano 23 września 2026 r. i opublikowano w komunikacie Europejskiej Rady Ochrony Danych (EROD) z 9 października 2026 r.

Dane około miliona pacjentów objęte postępowaniem

IQVIA Solutions Italy S.r.l. należy do międzynarodowej grupy działającej w obszarze analizy danych dotyczących zdrowia oraz badań klinicznych. Postępowanie włoskiego organu dotyczyło bazy danych zawierającej informacje o stanie zdrowia około miliona pacjentów pozostających pod opieką 800 lekarzy podstawowej opieki zdrowotnej. Dane wykorzystywano do prowadzenia analiz i badań, również na zlecenie przedsiębiorstw farmaceutycznych. Kontrola została przeprowadzona w następstwie inspekcji z kwietnia 2025 r. Postępowanie połączono ze sprawą dotyczącą naruszenia ochrony danych osobowych, które IQVIA zgłosiła organowi nadzorczemu.

Dane uznane za anonimowe umożliwiały identyfikację pacjentów

Jednym z najważniejszych ustaleń włoskiego organu było zakwestionowanie twierdzenia spółki, że przetwarzane dane zostały skutecznie zanonimizowane. Każdemu pacjentowi przypisano trwały identyfikator, który pozwalał na śledzenie jego danych w czasie. W połączeniu ze szczegółowymi informacjami, takimi jak rok urodzenia, płeć, diagnozy, objawy, przepisane leki, wyniki badań, szczepienia oraz dane dotyczące lokalizacji, identyfikator umożliwiał wyodrębnienie konkretnych osób i potencjalne ustalenie ich tożsamości przy wykorzystaniu środków, które można było racjonalnie uznać za dostępne.

Organ stwierdził ponadto, że baza zawierała informacje umożliwiające bezpośrednią identyfikację około 3370 pacjentów, w tym dane dotyczące zdrowia około 3080 osób. Ustalenia te pokazują znaczenie prawidłowego rozróżniania anonimizacji i pseudonimizacji. Samo zastąpienie danych identyfikacyjnych kodem lub przypisanie osobie trwałego identyfikatora nie oznacza, że dane przestają być danymi osobowymi. Jeżeli możliwe jest wyodrębnienie osoby lub ponowne ustalenie jej tożsamości przy użyciu racjonalnie dostępnych środków, dane nadal podlegają ochronie na gruncie RODO.

Stwierdzone naruszenia RODO

Włoski organ uznał, że IQVIA, występując w charakterze administratora danych, przetwarzała dane dotyczące zdrowia bez odpowiedniej podstawy prawnej i nie zapewniała pacjentom wymaganych informacji. Stwierdzono również brak określenia odpowiednich okresów przechowywania danych, nieprzeprowadzenie oceny skutków dla ochrony danych oraz niewdrożenie wystarczających środków bezpieczeństwa. Sprawa dotyczyła zatem kilku istotnych obowiązków administratora wynikających z RODO, w szczególności:

• Zasad przetwarzania danych osobowych – w tym zgodności przetwarzania z prawem, rzetelności i przejrzystości oraz ograniczenia przechowywania danych.
• Przetwarzania danych dotyczących zdrowia – należących do szczególnych kategorii danych osobowych, których przetwarzanie jest co do zasady zabronione, chyba że zachodzi jedna z przesłanek określonych w art. 9 RODO.
• Obowiązku informacyjnego – polegającego na przekazaniu osobom, których dane dotyczą, wymaganych informacji o przetwarzaniu.
• Ochrony danych w fazie projektowania i domyślnej ochrony danych – zgodnie z art. 25 RODO.
• Oceny skutków dla ochrony danych – wymaganej w przypadkach, w których przetwarzanie może powodować wysokie ryzyko naruszenia praw lub wolności osób fizycznych.
• Prawidłowego określenia ról podmiotów uczestniczących w przetwarzaniu – w tym obowiązków wynikających z relacji między administratorem, a podmiotem przetwarzającym.
  
  

Kara pieniężna i obowiązki naprawcze

Włoski organ nałożył na IQVIA Solutions Italy S.r.l. karę pieniężną w wysokości 7 mln euro. Przy ustalaniu jej wysokości uwzględniono m.in. dużą liczbę osób, których dane dotyczyły, oraz szczególny charakter informacji o zdrowiu. Jako okoliczności łagodzące wzięto pod uwagę m.in. wstrzymanie przekazywania danych przez lekarzy podstawowej opieki zdrowotnej oraz współpracę spółki z organem w toku postępowania.

Organ wskazał również warunki dalszego prowadzenia zakwestionowanego przetwarzania. Jeżeli IQVIA zamierza je kontynuować, musi w ciągu 120 dni dostosować je do wymogów RODO. Obejmuje to w szczególności ustalenie odpowiedniej podstawy prawnej, realizację obowiązków informacyjnych wobec pacjentów, przeprowadzenie oceny skutków dla ochrony danych oraz powierzenie lekarzom podstawowej opieki zdrowotnej roli podmiotów przetwarzających. Alternatywnie proces anonimizacji powinien być przeprowadzany niezależnie przez lekarzy, zgodnie z zabezpieczeniami określonymi przez włoski organ nadzorczy.

Znaczenie decyzji dla ochrony danych dotyczących zdrowia

Sprawa IQVIA zwraca uwagę na szczególne wymagania związane z wykorzystywaniem danych o zdrowiu do celów analitycznych i badawczych. Nawet jeśli przetwarzanie służy opracowywaniu analiz lub wspieraniu badań, administrator musi wykazać jego zgodność z RODO, w tym istnienie odpowiedniej podstawy prawnej, spełnienie obowiązków informacyjnych i wdrożenie adekwatnych zabezpieczeń. Istotnym wnioskiem jest również konieczność weryfikowania skuteczności stosowanych metod anonimizacji. Ocena nie może ograniczać się do stwierdzenia, że bezpośrednie identyfikatory zostały usunięte lub zastąpione kodami. Należy uwzględnić możliwość łączenia informacji, śledzenia danych w czasie oraz ponownego ustalenia tożsamości pacjentów.

Decyzja przypomina, że odpowiedzialność za zgodność przetwarzania spoczywa na administratorze, który powinien być w stanie wykazać przestrzeganie zasad ochrony danych. W przypadku informacji o zdrowiu, których ujawnienie lub niewłaściwe wykorzystanie może szczególnie dotkliwie ingerować w prywatność osób fizycznych, znaczenie mają zarówno właściwe podstawy prawne, jak i rzetelna ocena ryzyka, odpowiednie zabezpieczenia oraz przejrzyste zasady przetwarzania.

Źródło:

Komunikat Włoskiego Organu Nadzorczego

COMUNICATO STAMPA – Dati sanitari: 7 milioni di euro di sanzione – Garante Privacy