達文西個資即時快報
盤點全球最新焦點
文章整理：林舒涵律師
審閱：孔德澔律師
監理動態：
一、 假匿名、真外洩！IQVIA醫療系統存重大疏漏，遭義大利資料保護局重罰 700 萬歐元
1. 事實：
義大利資料保護局(GPDP)對IQVIA Solutions Italy S.r.l.展開調查，起因是該公司透過合作的800多名一般科醫師所使用的醫療管理軟體外掛程式，大規模蒐集病患資料以建立「LPD」資料庫，並將其用於觀察性研究與商業用途。IQVIA 聲稱這些資料在傳輸前已經過匿名化處理，然而GPDP發現，由於外掛程式的設計與管理缺陷，導致醫師在自由文字欄位中輸入的3,370名病患（其中3,080名涉及健康資料）的直接識別個資（如姓名、生日、稅號等）遭到外洩並傳輸給第三方。調查認定，IQVIA決定資料蒐集的目的與處理手段，實為「資料控制者」，且其聲稱的「匿名資料」實為仍具有重新識別風險的「假名化資料」，因此受歐盟一般資料保護規則(GDPR)的規範。基於上述事實，GPDP裁定IQVIA的資料處理行為屬違法，依法對其處以高達700萬歐元的行政罰鍰。此外，GPDP命令IQVIA必須在120天內採取糾正措施（包含確立合法的處理依據、履行告知義務、完成影響評估、指定資料處理者等），並於2026年9月23日將此裁罰命令發布於官方網站上。
2. 違規行為：
(1) 缺乏合法處理依據：未具備適當合法基礎即處理病患之個人資料與特種個資（健康資料），違反合法性、公平性及透明度原則。
(2) 未履行告知義務：未向當事人（病患）提供隱私權聲明與事前資訊
(3) 違反資料儲存限制原則：未制定適當的資料刪除程序，病患資料保存時間過長
(4) 未依法簽署處理者協議：未將參與計畫並傳送資料的醫師（MMG）正式指定為資料處理者
(5) 違反機密性與安全性原則：未能實施適當的技術與組織安全措施，導致個資外洩
(6) 違反問責制與預設隱私原則：在設計系統與控管流程上存在疏漏，未落實預設隱私與問責制（Accountability）
(7) 未進行資料保護影響評估(DPIA)：在處理涉及高風險與大規模健康資料前，未依法事先完成影響評估
3. 裁罰理由：
(1) 錯誤規避「資料控制者」責任：IQVIA辯稱自身僅為技術與財務合作夥伴，但GPDP 認定 IQVIA為了商業利益與建置自身資料庫，實質主導軟體外掛的使用及資料萃取規格，故為資料控制者，應對所有違規行為負責
(2) 將「假名化」誤認為「匿名化」：IQVIA認定收到的資料已完全匿名，但GPDP指出，病患資料不僅帶有專屬識別碼（Pat ID），且包含長期的詳細病史（如診斷、處方等），此類「假名化資料」在結合其他合理手段後，仍有極高的「挑選 (single-out)」及重新識別風險，不能視為匿名資料。
(3) 存在系統性過失與安全漏洞：IQVIA未對負責擷取資料的軟體外掛實施嚴格的事前與事後技術檢查，導致醫師在自由文字欄位中輸入的個資被未經授權地擷取與外洩，凸顯其在個資保護設計上態度消極且存在重大疏失。
(4) 違規情節重大且涉及敏感資料：此案涉及高達800多位醫師的病患資料，影響範圍廣泛，處理的又是極度敏感的健康資料，且違規行為持續時間極長
(5) 態度輕忽（加重因素）：IQVIA身為全球健康資料庫的領導企業，卻僅依賴外部公司的通用評估便被動接受「資料已安全匿名」的假設，未主動採取防範措施，被認定為嚴重的過失行為。
參考來源： https://www.garanteprivacy.it/web/guest/home/docweb/-/docweb-display/docweb/10302112
