IQVIA因未告知患者即追蹤其健康資料倉庫遭罰500萬歐元

IQVIA Operations France是健康分析集團IQVIA的法國分支，經營兩個經法國國家資訊與自由委員會（CNIL）授權的健康資料倉庫：LRX自2018年起接收約14,000家藥局的調劑資料，EMR自2021年起接收約2,000至3,000名醫師的病歷資料。每位患者獲配一組唯一識別碼，將購藥、診斷、症狀、體重、疫苗與病假串連成單一縱貫紀錄——IQVIA自家宣傳手冊即標榜「2,000萬名去識別化患者長期追蹤」——這些資料供售予製藥實驗室的研究使用。

2021年，電視節目《Cash Investigation》揭露藥局客戶的資料在當事人不知情下流向IQVIA；France Assos Santé向CNIL申訴，CNIL遂對該公司及合作藥局進行檢查。調查發現：兩個倉庫均無人定期分析連線日誌，異常存取因此無從察覺；EMR未啟用多因素驗證、患者告知內容不正確，且無有效的反對途徑。受查的四家巴黎藥局中，無一家告知客戶其資料流向IQVIA——此告知義務雖由IQVIA委由藥師執行，但IQVIA作為控管者仍須負責。

更嚴重的是，IQVIA嵌入藥局軟體的模組即使在藥師選擇退出後仍能擷取患者資料——違反GDPR第25條「設計即保護資料」原則——且部分研究在LRX上進行，完全缺乏法律依據。程序進行中，IQVIA主張資料已去識別化、GDPR不適用，並援引歐盟法院（CJEU）2025年SRB判決。CNIL駁回此主張：每位患者一組唯一識別碼、資料深度，加上可結合公開來源重新識別，使該資料屬假名化而非去識別化——且在此之前，IQVIA從未爭執其處理的是個人資料。

2026年5月26日，CNIL限制委員會以健康資料的敏感性、受影響人數達數千萬及該公司的市場地位為由，對IQVIA Operations France處以500萬歐元罰款。

500萬歐元罰款，另附六個月內須履行之命令，逾期每日可強制執行10,000歐元

患者告知義務被外包給藥師，卻無任何機制查核是否落實——多年來的資料流動中，沒有一家藥局實際發出告知。

安全防護止於大門：連線日誌從未分析，EMR也未啟用多因素驗證，倉庫內部的濫用因此無從察覺。

退出機制只存在於紙上，軟體設計卻凌駕其上，即使當事人拒絕仍照樣擷取資料——法遵從未內建於資料處理流程。

2018年與2021年的授權條件被當成紙面文件，而非監管機關有朝一日會據以查核的持續性義務。

附有個人識別碼的假名化資料並非去識別化資料；GDPR仍然適用。授權是底線，不是許可證——包括你委由合作夥伴執行的告知與退出機制。

該罰款於2026年5月28日以SAN-2026-008號決議公開。IQVIA在程序期間已修補安全漏洞，委員會對此予以肯認，但命令仍然有效：更正EMR的患者告知、使反對機制真正有效、確保藥局確實告知客戶、停止不合規的LRX研究，並停止在當事人拒絕後仍擷取資料——六個月後逾期每日可強制執行10,000歐元。IQVIA表示已知悉，並保留向最高行政法院（Conseil d'État）提起上訴的權利。此裁決出爐之際，正值歐盟法院SRB判決後「去識別化」定義爭議方酣之時。