IQVIA dostala pokutu za údajně anonymní zdravotní data

Italský Garante uložil společnosti IQVIA Solutions Italy pokutu sedm milionů eur. Databáze přibližně milionu pacientů podle úřadu obsahovala osobní údaje, přestože ji firma považovala za anonymní.

Garante oznámil sankci 2. října na základě rozhodnutí č. 710 ze 23. září. Databáze společnosti IQVIA Solutions Italy obsahovala zdravotní informace přibližně milionu pacientů od zhruba 800 praktických lékařů. Sloužila mimo jiné ke studiím objednávaným farmaceutickými společnostmi. Spor se soustředil na předpoklad, na kterém zpracování stálo: firma data považovala za anonymní, dozorový úřad tento závěr odmítl.

Každému pacientovi odpovídal stálý kód, podle kterého jej bylo možné sledovat v čase. K němu se přidával rok narození, pohlaví, diagnózy, příznaky, předpisy, vyšetření, očkování a lokalizační informace. Podle úřadu tak bylo možné jednotlivce oddělit od ostatních a přiměřenými prostředky znovu identifikovat. Databáze navíc obsahovala i přímé identifikátory více než 3 300 pacientů, u více než 3 000 společně se zdravotními informacemi.

Rozdíl mezi odstraněním jména a anonymitou lze ukázat na jednoduchém modelovém příkladu. Samotný rok narození může sdílet mnoho lidí. Pokud se k němu připojí neobvyklá diagnóza, konkrétní lokalita a dlouhá posloupnost léčby, okruh možných osob se zužuje. To není tvrzení, že ke každému záznamu kdokoli okamžitě doplní jméno; vysvětluje to ale, proč je potřeba posuzovat kombinace údajů a možnosti jejich propojení, nikoli jen jednu odstraněnou kolonku.

Garante považoval IQVIA za správce už od získávání dat u lékařů. Vytkl jí chybějící odpovídající právní základ, nedostatečné informování pacientů, neurčenou dobu uchování a nedostatky v zabezpečení i posouzení vlivu. Některé záznamy sahaly do roku 2001. Jde tedy o širší soubor problémů než pouze o chybný název použité techniky ochrany dat.

Úplné rozhodnutí podrobněji rozebírá i kontrolu kvality vstupních dat. Úřad postrádal dostatečné ověřování před odesláním i po přijetí údajů, které by zachytilo volná textová pole a přímé osobní údaje. Kritizoval také pasivní převzetí obecných hodnocení anonymity bez dostatečně konkrétních a měřitelných kontrol skutečné databáze.

Chce-li firma ve zkoumaném zpracování pokračovat, má podle rozhodnutí napravit právní základ, informování, posouzení vlivu a vztah s lékaři. Alternativní cesta předpokládá, že anonymizaci provedou lékaři samostatně za určených záruk. Při kódování nesmí IQVIA určovat příslušné postupy; u kombinací nepřímých identifikátorů rozhodnutí požaduje skupiny nejméně deseti osob. Posuzovat se musí také zbývající proměnné, které mohou přispět k identifikaci. Firma má do 120 dnů od doručení rozhodnutí nápravu uskutečnit a doložit úřadu.

Požadavek na skupiny deseti osob je součástí opatření pro tento případ. Nelze jej převést na univerzální poučku, že každá databáze splňující takový počet je automaticky anonymní. Záleží i na dalších sloupcích, dostupných doplňujících informacích a způsobu předávání. Stejně tak samostatné odstranění několika nalezených jmen neřeší možnost opětovné identifikace prostřednictvím zbývajících údajů.

Pro organizace využívající zdravotní nebo jiná podrobná data je případ důvodem ověřit, zda označení „anonymní“ odpovídá skutečnému obsahu a toku informací. Praktická kontrola má zahrnovat vstupní rozhraní, volný text, kombinace atributů, uchovávání i odpovědnost za jednotlivé kroky. Potvrzení dodavatele o anonymizaci může být podkladem takového posouzení, nemělo by však nahrazovat ověření toho, co organizace skutečně přijímá a používá.