IQVIA, 환자에게 알리지 않고 추적한 건강 데이터 웨어하우스로 500만 유로 벌금

건강 분석 그룹 IQVIA의 프랑스 법인인 IQVIA Operations France는 CNIL(프랑스 정보자유위원회)의 승인을 받은 두 개의 건강 데이터 웨어하우스를 운영했다. 하나는 2018년부터 약 14,000개 약국의 조제 데이터를 공급받는 LRX이고, 다른 하나는 2021년부터 약 2,000~3,000명 의사의 기록을 공급받는 EMR이다. 각 환자에게는 구매, 진단, 증상, 체중, 백신, 병가를 하나의 종단 기록으로 연결하는 고유 식별자가 부여된다 — IQVIA 자체 브로슈어는 '시간에 걸쳐 추적된 2,000만 명의 익명화된 환자'를 광고했다 — 그리고 이 데이터는 제약 실험실에 판매되는 연구에 공급된다.

2021년 TV 프로그램 Cash Investigation은 약국 고객의 데이터가 고객의 인지 없이 IQVIA로 흘러가는 것을 보여주었다. France Assos Santé가 CNIL에 민원을 제기했고, CNIL은 회사와 협력 약국을 조사했다. 조사 결과: 두 웨어하우스 모두에서 아무도 접속 로그를 정기적으로 분석하지 않아 비정상적 접근이 발견되지 않을 수 있었다. EMR에는 다중 인증이 없었고, 환자 고지문이 부정확했으며, 효과적인 이의 제기 수단이 없었다. 점검한 파리 약국 네 곳 중 어느 곳도 고객에게 데이터가 IQVIA로 간다는 사실을 알리지 않았다 — 이는 IQVIA가 약사에게 위임했지만 컨트롤러로서 여전히 책임지는 고지 의무였다.

더 나쁜 것은, IQVIA가 약국 소프트웨어에 삽입한 모듈이 약사가 거부 의사를 밝힌 경우에도 환자 데이터를 추출할 수 있었다는 점이다 — 이는 설계에 의한 데이터 보호를 규정한 GDPR 제25조 위반이며, 일부 연구는 어떤 법적 틀도 없이 LRX에서 실행되었다. 절차 과정에서 IQVIA는 데이터가 익명이며 GDPR이 적용되지 않는다고 주장하며 CJEU의 2025년 SRB 판결을 인용했다. CNIL은 이를 거부했다: 환자별 고유 식별자, 데이터의 깊이, 공개 출처를 결합한 재식별 가능성은 데이터를 익명이 아닌 가명으로 만든다 — 그리고 그때까지 IQVIA는 개인 데이터 처리에 대해 이의를 제기한 적이 없었다.

2026년 5월 26일 CNIL의 제한위원회는 건강 데이터의 민감성, 영향을 받은 수천만 명의 사람, 회사의 시장 지위를 이유로 IQVIA Operations France에 500만 유로의 벌금을 부과했다.

500만 유로 벌금, 지연 1일당 10,000유로로 집행 가능한 6개월 시정 명령 포함

환자 고지는 이행 여부를 검증할 메커니즘 없이 약사에게 외주화되었다 — 수년간의 데이터 흐름에도 단 한 곳의 약국도 고지문을 전달하지 않았다.

보안은 정문에서 멈췄다: 접속 로그는 한 번도 분석되지 않았고 EMR에는 다중 인증이 없었으므로, 웨어하우스 내부의 오용은 보이지 않았을 것이다.

거부 의사는 서류상으로만 존재했지만 소프트웨어 설계가 이를 무시하여 거부 후에도 데이터를 추출했다 — 준수는 파이프라인에 내장된 적이 없었다.

승인 조건은 2018년과 2021년의 서류로 취급되었지, 규제 당국이 언젠가 감사할 지속적 의무로 취급되지 않았다.

개인별 ID가 있는 가명화된 데이터는 익명이 아니다; GDPR은 여전히 적용된다. 승인은 최저 기준이지 면허가 아니다 — 파트너에게 위임한 고지와 거부 의사 수단을 포함해서.

벌금은 2026년 5월 28일 심의 SAN-2026-008로 공개되었다. IQVIA는 절차 중 보안 격차를 해결했고 위원회는 이를 인정했지만, 시정 명령은 남아 있다: EMR 환자 고지문을 수정하고, 이의 제기를 효과적으로 만들고, 약국이 실제로 고객에게 알리도록 하고, 비준수 LRX 연구를 중단하고, 거부에도 불구한 추출을 중단하라 — 6개월 후부터 1일당 10,000유로로 집행 가능하다. IQVIA는 이를 받아들이고 Conseil d'État에 항소할 권리를 유보했다. 이 판결은 CJEU의 SRB 결정 이후 '익명'의 의미를 둘러싼 논쟁 한복판에서 나왔다.