IQVIA 이탈리아 법인이 익명이 아닌 100만 명 환자의 건강 데이터로 700만 유로 벌금

이탈리아 개인정보보호 당국인 가란테는 2026년 9월 23일 결정에서 약 800명의 일반의가 진료한 약 100만 명 환자의 건강 데이터를 보유한 데이터베이스와 관련해 IQVIA Solutions Italy S.r.l.에 700만 유로의 벌금을 부과했다. 데이터는 애드온을 통해 의사들의 진료 관리 시스템에서 추출되었으며, 각 환자에게는 시간에 따라 추적할 수 있도록 영구 식별자(Pat ID)가 부여되어 있었다. IQVIA는 이 데이터베이스를 제약회사가 의뢰한 연구에 사용했다.

가란테는 회사의 주장과 달리 데이터가 익명이 아니라고 판단했다. 영구 식별자에 출생연도, 성별, 진단, 증상, 처방, 검사, 예방접종 및 위치 데이터가 결합되어 개인을 특정하고 재식별할 수 있었다.

당국은 위반 사항을 열거했다. 적절한 법적 근거 없이 건강 데이터를 처리하고 환자에게 충분히 고지하지 않았으며, 보존 기간이 없었고(데이터는 2001년까지 거슬러 올라감), 데이터 보호 영향 평가를 하지 않았고, 보안이 불충분했으며, 일반의를 처리자로 임명하지 않았다. 또한 자유 텍스트 필드로 인해 약 3,370명의 환자가 직접 식별 가능했고, 그중 약 3,080명은 건강 데이터가 포함되어 있었는데, 이는 IQVIA 스스로 신고한 침해였다.

IQVIA는 CJEU의 C-413/23 사건 판결을 인용하며 데이터가 익명이라고 주장했고, 식별자를 개인과 연결하는 키를 보유한 적이 없다고 말했다. 가란테는 반대 결론에 도달하여 회사에 120일 내에 처리(법적 근거, 환자 정보, 영향 평가, 처리자 임명)를 준수하도록 하거나 의사들이 데이터를 직접 익명화하도록 하라고 명령했다. 감경 요소로는 의사들이 2023년부터 데이터 전송을 중단했고 IQVIA가 절차 중 협조했다는 점이 있다.

700만 유로 벌금, 120일 내에 처리를 GDPR에 맞게 하거나 의사들이 데이터를 직접 익명화하도록 해야 함

영구 환자 ID에 출생연도, 성별, 진단 및 위치가 결합되면 개인을 특정할 수 있는데도 데이터베이스가 익명이라고 주장했다.

적절한 법적 근거 없이 환자에게 충분히 고지하지 않고 건강 데이터를 처리했다.

보존 제한을 두지 않아 2001년부터 조사 시점까지 기록이 축적되게 했다.

필수 영향 평가와 적절한 보안을 생략했고, 일반의를 처리자로 공식화하지 않았다.

자동 정제가 실패했다. 자유 텍스트 필드에 약 3,370명 환자의 이름, 세금 코드 및 주소가 남아 있어 자체 침해 신고를 해야 했다.

데이터셋을 '익명화됨'이라고 부른다고 해서 익명이 되는 것은 아니다. 영구 환자 ID에 진단과 위치가 결합되면 재식별 도구가 되며, 규제 당국도 그렇게 해석한다.

IQVIA는 결정일로부터 120일 내에 처리를 GDPR 준수로 만들거나 가란테가 지정한 보호 조치에 따라 의사들에게 익명화를 맡겨야 한다. EDPB는 이 사건을 국가 결정으로 보고했다. 이는 같은 '익명화' 주장을 둘러싼 별도 분쟁에서 그룹의 프랑스 법인 IQVIA Operations France가 2026년 5월 CNIL로부터 500만 유로의 벌금을 부과받은 지 몇 달 후에 나온 것이다.