551/69 (IT) ประจำวันตุลาคมที่ 7 ตุลาคม 2569
หน่วยงานคุ้มครองข้อมูลส่วนบุคคลของอิตาลี หรือ GPDP มีคำสั่งปรับบริษัท IQVIA เป็นเงิน 7 ล้านยูโร หรือประมาณ 7.8 ล้านดอลลาร์สหรัฐ จากกรณีมีแนวปฏิบัติด้านการประมวลผลข้อมูลที่ไม่เหมาะสม และอาจทำให้ข้อมูลสุขภาพของผู้ป่วยประมาณ 1 ล้านรายเสี่ยงต่อการถูกเปิดเผยหรือถูกระบุตัวตนย้อนหลังได้ โดย IQVIA เป็นบริษัทที่ให้บริการด้านการวิเคราะห์ข้อมูลสุขภาพ เทคโนโลยี และการวิจัยทางคลินิก ซึ่งระบุว่าดำเนินงานในกว่า 100 ประเทศ และจัดการข้อมูลขนาดใหญ่ รวมถึงข้อมูลผู้ป่วยจำนวนมาก
จากการตรวจสอบพบว่า IQVIA สาขาอิตาลีได้สร้างฐานข้อมูลที่รวบรวมข้อมูลสุขภาพของผู้ป่วยประมาณ 1 ล้านรายจากแพทย์ปฏิบัติทั่วไปประมาณ 800 ราย แม้บริษัทจะใช้รหัสเฉพาะแทนชื่อผู้ป่วยในฐานข้อมูลดังกล่าว แต่ GPDP เห็นว่ารหัสนั้นยังสามารถใช้ติดตามบุคคลตลอดช่วงเวลาได้ เมื่อประกอบกับรายละเอียดจำนวนมาก เช่น ปีเกิด เพศ การวินิจฉัย อาการ ใบสั่งยา การตรวจทางการแพทย์ การฉีดวัคซีน และข้อมูลพื้นที่ อาจทำให้สามารถแยกแยะผู้ป่วยรายบุคคลและนำไปสู่การระบุตัวตนซ้ำได้ด้วยวิธีการที่สมเหตุสมผล
นอกจากนี้ GPDP ระบุว่า IQVIA ประมวลผลข้อมูลโดยไม่มีฐานทางกฎหมายที่เหมาะสม และไม่ได้แจ้งให้ผู้ป่วยทราบ ซึ่งเป็นการละเมิดข้อกำหนดของ GDPR อีกทั้งยังไม่กำหนดหรือปฏิบัติตามระยะเวลาเก็บรักษาข้อมูลอย่างชัดเจน โดยพบข้อมูลย้อนหลังถึงปี 2544 สำหรับผู้ป่วยบางส่วนจำนวนประมาณ 3,300 ราย ฐานข้อมูลของ IQVIA ยังมีชื่อ หมายเลขประจำตัวผู้เสียภาษี ที่อยู่ และข้อมูลติดต่อรวมอยู่ด้วย นอกจากค่าปรับดังกล่าว หน่วยงานอิตาลียังสั่งให้บริษัทปรับปรุงแนวปฏิบัติให้สอดคล้องกับกฎหมายภายใน 120 วัน