IQVIAのイタリア法人、匿名でなかった100万人分の患者健康データをめぐり700万ユーロの制裁金

イタリアのデータ保護監督機関ガランテは、2026年9月23日の決定で、IQVIA Solutions Italy S.r.l.に700万ユーロの制裁金を科した。対象は、約800人の一般開業医のおよそ100万人の患者の健康データを収めたデータベースである。データはアドオンを通じて医師の診療管理システムから抽出され、各患者には持続的識別子（Pat ID）が付されていたため、個人を経時的に追跡できる状態だった。IQVIAはこのデータベースを、製薬会社から委託された研究に使用していた。

ガランテは、会社が主張するようにデータは匿名ではなかったと認定した。持続的識別子に生年、性別、診断、症状、処方、検査、予防接種、位置データが組み合わされることで、個人を特定し再識別することが可能になっていた。

当局は次の違反を列挙した。適切な法的根拠なく、患者への十分な情報提供もなく健康データが処理されていたこと、保存期間が定められていなかったこと（データは2001年まで遡っていた）、データ保護影響評価が行われていなかったこと、セキュリティが不十分だったこと、一般開業医が処理者として任命されていなかったこと。さらにフリーテキスト欄により約3,370人の患者が直接識別可能な状態となっており、そのうち約3,080人については健康データも含まれていた。これはIQVIA自身が通知した侵害であった。

IQVIAは、CJEUの事件C-413/23判決を引用してデータは匿名であると主張し、識別子と個人を結び付ける鍵を保有したことはないと述べた。ガランテは逆の結論に達し、会社に対し、処理を法令遵守の状態にするため（法的根拠、患者への情報提供、影響評価、処理者の任命）、120日間の猶予を与え、さもなければ医師ら自身にデータを匿名化させるよう命じた。軽減要因としては、医師らが2023年からデータ送信を停止していたこと、IQVIAが手続中に協力したことが挙げられた。

700万ユーロの制裁金。処理をGDPRに適合させるか、医師ら自身にデータを匿名化させるまでの猶予は120日。

持続的な患者IDに生年、性別、診断、位置情報が加われば個人を特定できるにもかかわらず、データベースは匿名であると主張していた。

適切な法的根拠なく、患者への十分な情報提供もなく健康データを処理していた。

保存期間の制限を設けず、2001年から検査時まで記録を蓄積させていた。

義務付けられた影響評価と十分なセキュリティを欠き、一般開業医を処理者として正式に位置付けることもしていなかった。

自動の秘匿化処理が機能せず、フリーテキスト欄に約3,370人の患者の氏名、税コード、住所が残り、自ら侵害通知を行うことを余儀なくされた。

データセットを「匿名化済み」と呼んでも、そうなるわけではない。持続的な患者IDに診断や位置情報が加われば再識別の道具となり、規制当局はそのように解釈する。

IQVIAは決定から120日以内に処理をGDPR適合させるか、ガランテが定める保護措置の下で匿名化を医師らに委ねなければならない。EDPBは本件を各国の決定として報告した。これは、グループのフランス法人IQVIA Operations Franceが、同じ「匿名化」主張をめぐる並行する争いで2026年5月にCNILから500万ユーロの制裁金を科されてから数か月後のことである。