A Autoridade Italiana de Proteção de Dados (GPDP) multou a IQVIA em 7 milhões de euros (US$ 7,8 milhões) por práticas inadequadas de tratamento de dados. Segundo o órgão, essas falhas poderiam ter exposto e permitido a desanonimização dos dados de cerca de 1 milhão de pacientes.
A IQVIA é uma multinacional que oferece serviços de análise de dados de saúde, tecnologia e pesquisa clínica. Em seu site, a empresa afirma atuar em mais de 100 países e administrar 68 petabytes de dados e 1,2 bilhão de registros de pacientes.
As autoridades italianas investigaram as práticas de tratamento de dados da IQVIA em abril de 2025. No mês passado, concluíram que a empresa não oferecia garantias adequadas de anonimização dos dados de saúde, apesar de suas alegações.
A GPDP constatou que a divisão italiana da IQVIA criou uma base de dados com informações de saúde de cerca de 1 milhão de pacientes, reunidas a partir de dados de 800 clínicos gerais.
Embora a empresa tenha usado um código exclusivo no lugar dos nomes dos pacientes, a autoridade de proteção de dados concluiu que era possível acompanhar os registros ao longo do tempo e desanonimizar os pacientes.
“O código associado a cada paciente permitia acompanhá-lo ao longo do tempo”, explicou a GPDP em um comunicado publicado no fim da semana passada.
“Combinado a um conjunto muito detalhado de informações, como ano de nascimento, sexo, diagnósticos, sintomas, prescrições, exames, vacinas e dados de localização, o código permitia identificar pacientes específicos e, por meios razoáveis, descobrir suas identidades.”
Além disso, a IQVIA teria tratado os dados sem uma base legal adequada e sem informar os pacientes, em violação ao Regulamento Geral sobre a Proteção de Dados (RGPD).
A empresa também não teria definido nem seguido prazos de retenção de dados. A GPDP encontrou registros que remontavam a 2001.
Em um subconjunto de 3.300 pacientes da base, a IQVIA também incluiu nomes, números de identificação fiscal, endereços e dados de contato.
Além da multa de US$ 7,8 milhões, as autoridades italianas determinaram que a empresa ajuste suas práticas para cumprir as regras no prazo de 120 dias.
Um porta-voz da empresa enviou uma declaração sobre a multa.
Publicidade
Nossa audiência é formada por analistas, pentesters, decisores e entusiastas que consomem nossas notícias todo dia pelo Site, Newsletter e Instagram. Fale com quem realmente importa para o seu negócio. Anuncie aqui. Saiba mais...