IQVIA、患者に知らせず追跡する健康データウェアハウスで500万ユーロの罰金

健康分析グループIQVIAのフランス法人であるIQVIA Operations Franceは、CNIL（フランス情報処理・自由全国委員会）が認可した2つの健康データウェアハウスを運営していた。LRXは2018年以降、約14,000の薬局から調剤データの供給を受け、EMRは2021年以降、約2,000〜3,000人の医師の記録から供給を受けていた。各患者には固有の識別子が付与され、購入、診断、症状、体重、ワクチン、病欠が1つの縦断的記録に結び付けられる——IQVIA自身のパンフレットは「経時的に追跡された2,000万人の匿名化患者」を宣伝していた——そしてそのデータは製薬研究所に販売される研究に供されていた。

2021年、テレビ番組『Cash Investigation』は、薬局の顧客のデータが顧客の知らないうちにIQVIAへ流れていることを明らかにした。France Assos SantéがCNILに苦情を申し立て、CNILは同社と提携薬局を検査した。調査結果は次のとおり。どちらのウェアハウスでも接続ログを定期的に分析する者がおらず、異常なアクセスは見過ごされる状態だった。EMRには多要素認証がなく、患者向け通知は不正確で、異議を述べる効果的な手段もなかった。検査したパリの薬局4軒のうち、顧客にデータがIQVIAへ渡ることを伝えた薬局は1軒もなかった——これはIQVIAが薬剤師に委任しながらも管理者として依然として負う通知義務であった。

さらに悪いことに、IQVIAが薬局のソフトウェアに組み込んだモジュールは、薬剤師がオプトアウトした場合でも患者データを抽出できた——これはGDPR第25条（設計によるデータ保護）への違反であり、一部の研究は法的枠組みの外でLRX上で実施されていた。手続き中、IQVIAはデータは匿名でありGDPRは適用されないと主張し、CJEU（欧州連合司法裁判所）の2025年SRB判決を引用した。CNILはこれを退けた。患者ごとの固有識別子、データの深度、および公開情報源を組み合わせた再識別の可能性により、データは匿名ではなく仮名化されている——そしてそれまでIQVIAは個人データの取扱いについて一度も争ったことがなかった。

2026年5月26日、CNILの制限委員会はIQVIA Operations Franceに500万ユーロの罰金を科し、健康データの機微性、影響を受けた数千万人、および同社の市場での地位を理由として挙げた。

500万ユーロの罰金、および遅延1日につき10,000ユーロで執行可能な6か月間の命令

患者への通知は、それが実際に行われたかを検証する仕組みなしに薬剤師に外部委託されていた——長年のデータフローの中で、通知を届けた薬局は1軒もなかった。

セキュリティは玄関先で止まっていた。接続ログは一度も分析されず、EMRにはMFAがなかったため、ウェアハウス内部での不正利用は見えないままだった。

オプトアウトは紙の上には存在したが、ソフトウェアの設計がそれを覆し、拒否後でもデータを抽出していた——コンプライアンスはパイプラインに組み込まれていなかった。

認可条件は、規制当局がいつか監査する継続的義務ではなく、2018年と2021年からの書類仕事として扱われていた。

個人ごとのIDを持つ仮名化データは匿名ではない。GDPRは依然として適用される。認可は下限であり、免許ではない——パートナーに委任した通知やオプトアウトも含めて。

罰金は2026年5月28日に審議SAN-2026-008として公表された。IQVIAは手続き中にセキュリティ上の欠陥を修正し、委員会はこれを認めたが、命令は残っている。EMRの患者通知を是正すること、異議申立てを効果的にすること、薬局が実際に顧客に通知することを確保すること、非準拠のLRX研究を停止すること、拒否にもかかわらず抽出することを停止すること——これらは6か月後に1日につき10,000ユーロで執行可能である。IQVIAはこれを承知し、コンセイユ・デタへの上訴権を留保した。この判決は、CJEUのSRB判決後に「匿名」とは何かをめぐる争いの最中に下された。