Francouzský dozorový úřad CNIL udělil pokutu ve výši 5 milionů eur společnosti IQVIA
OPERATIONS FRANCE, která se zabývá poradenstvím a klinickými studiemi v oblasti farmacie.
Společnost provozovala dva rozsáhlé digitální sklady zdravotnických dat, LRX a EMR, které čerpaly
informace od tisíců lékáren a lékařů. Ačkoliv měla společnost k provozu povolení od úřadu, inspekce
vyvolaná stížnostmi veřejnosti odhalila, že reálné zpracování dat neodpovídalo stanoveným podmínkám
a porušovalo povinnosti v oblasti transparentnosti, zabezpečení a výkonu práv subjektů údajů. Vedle
vysoké pokuty úřad nařídil zavést nápravná opatření do šesti měsíců pod hrozbou penále 10 000 eur za
každý den prodlení.
Klíčovým bodem sporu byla samotná povaha zpracovávaných dat. Společnost se hájila tvrzením, že data
v datových skladech jsou anonymizovaná, a tudíž se na ně pravidla ochrany osobních údajů nevztahují.
Dozorový úřad však toto tvrzení jednoznačně odmítl a konstatoval, že data byla pouze
pseudonymizovaná. Společnost totiž shromažďovala obrovské množství detailních informací o
pacientech, jako je rok narození, pohlaví, rodinný stav, socioekonomický status a podrobné zdravotní
údaje včetně diagnóz, symptomů či léků. Všechna tato data byla propojena unikátním identifikátorem
pacienta. Kvůli existenci tohoto identifikátoru, hloubce sbíraných dat a možnosti kombinovat je s veřejně
dostupnými zdroji bylo riziko zpětné identifikace osob příliš vysoké.
Dále u obou datových skladů chyběla opatření pro pravidelnou analýzu logů připojení, což znemožňovalo
efektivní detekci neobvyklých aktivit. I když společnost toto bezpečnostní pochybení po inspekci
napravila, nedostatky v informování subjektů údajů a chybějící postupy pro efektivní uplatnění práva na
námitku přetrvaly.
Zásadní selhání se týkalo také informační povinnosti podle článku 14 GDPR u lékárenského digitálního
skladu LRX. Inspekce v lékárnách ukázala, že žádná z nich neinformovala zákazníky o předávání jejich
údajů společnosti IQVIA. Společnost se sice smluvně spolehla na lékárníky, kteří byli v přímém kontaktu
s pacienty, úřad však zdůraznil, že odpovědnost za splnění této povinnosti nese vždy samotný správce
údajů. IQVIA navíc prováděla studie pro vlastní potřebu mimo schválený právní rámec a softwary v
lékárnách přenášely data společnosti i v případech, kdy s tím zákazníci vyjádřili nesouhlas, což zakládá
záměrné porušení ochrany dat.