IQVIA 義大利分公司因 100 萬名病患的健康資料並非匿名而遭罰 700 萬歐元

義大利資料保護監管機關 Garante 於 2026 年 9 月 23 日的一項決定中，對 IQVIA Solutions Italy S.r.l. 處以 700 萬歐元罰款，事由是一個資料庫持有約 800 名家庭醫師、約 100 萬名病患的健康資料。這些資料是透過一個附加元件從醫師的診所管理系統中擷取，每名病患都帶有一個持續性識別碼——Pat ID——因此可以隨時間追蹤個人。IQVIA 將該資料庫用於製藥公司委託的研究。

Garante 認定這些資料並非如該公司所聲稱的匿名：持續性識別碼結合出生年份、性別、診斷、症狀、處方、檢查、疫苗接種及位置資料，使得辨識出並重新識別個人成為可能。

該機關列舉了各項違規情事：健康資料在缺乏適當法律依據且未充分告知病患的情況下遭到處理、未設保存期限（資料可追溯至 2001 年）、未進行資料保護影響評估、安全措施不足，以及家庭醫師從未被指定為處理者。自由文字欄位也讓約 3,370 名病患可直接被識別——其中約 3,080 人帶有健康資料——這正是 IQVIA 自行通報的違規事件。

IQVIA 主張這些資料是匿名的，並援引歐盟法院在 C-413/23 號案件的判決，還表示該公司從未持有可將識別碼連結至個人的金鑰。Garante 得出相反結論，並給該公司 120 天時間使處理作業符合規定——法律依據、病患告知、影響評估、指定處理者——否則須由醫師自行將資料匿名化。減輕情節包括：醫師自 2023 年起停止傳送資料，且 IQVIA 在程序期間予以配合。

700 萬歐元罰款；須在 120 天內使處理作業符合 GDPR，否則由醫師自行將資料匿名化

該公司聲稱資料庫是匿名的，然而持續性的病患 ID 加上出生年份、性別、診斷及位置，卻可辨識出個別人士。

該公司在缺乏適當法律依據且未充分告知病患的情況下處理健康資料。

該公司未設保存限制，任由紀錄從 2001 年累積至檢查之時。

該公司略過所要求的影響評估與適當安全措施，且從未將家庭醫師正式指定為處理者。

其自動清理機制失效：自由文字欄位保留了約 3,370 名病患的姓名、稅務代碼及地址，迫使該公司自行通報違規事件。

把資料集稱為「已匿名化」並不會使它真的匿名：持續性的病患 ID 加上診斷與位置，就是一套重新識別工具，而監管機關正是如此解讀。

IQVIA 自該決定起有 120 天時間使處理作業符合 GDPR，或在 Garante 指定的保障措施下將匿名化工作交由醫師執行；歐洲資料保護委員會（EDPB）將此案通報為國家決定。此事發生於數個月前，該集團的法國分公司 IQVIA Operations France 才因同一「匿名化」主張的平行爭議，於 2026 年 5 月遭法國國家資訊與自由委員會（CNIL）處以 500 萬歐元罰款。