La autoridad italiana de protección de datos impone a IQVIA una multa de 7 000 000 de euros por el tratamiento ilícito de datos sanitarios de pacientes

La au­to­ri­dad de pro­tec­ción de datos de Ita­lia san­cio­nó a la em­pre­sa IQVIA So­lu­tions Italy S.r.l. con una multa ad­mi­nis­tra­ti­va mi­llo­na­ria tras lle­var a cabo una in­ves­ti­ga­ción sobre un sis­te­ma que con­te­nía re­gis­tros mé­di­cos de pa­cien­tes de nu­me­ro­sos mé­di­cos ge­ne­ra­les. Dicha pes­qui­sa se ori­gi­nó tras ins­pec­cio­nes y se com­bi­nó con un pro­ce­di­mien­to re­la­cio­na­do con una no­ti­fi­ca­ción de vio­la­ción de datos per­so­na­les pre­sen­ta­da por la pro­pia com­pa­ñía.

Du­ran­te las in­da­ga­cio­nes, la au­to­ri­dad de­ter­mi­nó que la in­for­ma­ción ma­ne­ja­da no cum­plía con ser anó­ni­ma a pesar de los ar­gu­men­tos de la em­pre­sa, ya que exis­tía un iden­ti­fi­ca­dor per­sis­ten­te que per­mi­tía ras­trear a los in­di­vi­duos y, al com­bi­nar­se con múl­ti­ples de­ta­lles clí­ni­cos y per­so­na­les, fa­ci­li­ta­ba su po­si­ble reiden­ti­fi­ca­ción. Asi­mis­mo, se des­cu­brió que la en­ti­dad ope­ra­ba como res­pon­sa­ble del tra­ta­mien­to pro­ce­san­do datos de salud sin una base ju­rí­di­ca ade­cua­da, sin in­for­mar co­rrec­ta­men­te a los afec­ta­dos, sin fijar pla­zos co­rrec­tos de con­ser­va­ción, omi­tien­do la eva­lua­ción de im­pac­to y sin apli­car las me­di­das de se­gu­ri­dad ne­ce­sa­rias, ade­más de al­ma­ce­nar in­for­ma­ción que iden­ti­fi­ca­ba di­rec­ta­men­te a un grupo de pa­cien­tes.

Como con­se­cuen­cia de estas in­frac­cio­nes, se or­de­nó el pago de una multa eco­nó­mi­ca y se es­ta­ble­ció un plazo para que la or­ga­ni­za­ción ajus­te sus ope­ra­cio­nes al re­gla­men­to ge­ne­ral de pro­tec­ción de datos si desea con­ti­nuar con el pro­ce­sa­mien­to, lo cual im­pli­ca cum­plir con las obli­ga­cio­nes in­for­ma­ti­vas, es­ta­ble­cer una base legal, rea­li­zar las eva­lua­cio­nes per­ti­nen­tes y de­sig­nar a los mé­di­cos como en­car­ga­dos del tra­ta­mien­to, o bien ase­gu­rar que la ano­ni­mi­za­ción sea rea­li­za­da de ma­ne­ra in­de­pen­dien­te por los pro­fe­sio­na­les de la salud. Para cal­cu­lar el monto de la san­ción se con­si­de­ra­ron as­pec­tos como la gran can­ti­dad de per­so­nas afec­ta­das, la sen­si­bi­li­dad de los datos y ele­men­tos mi­ti­ga­do­res como la coope­ra­ción y la sus­pen­sión tem­po­ral de las trans­fe­ren­cias de in­for­ma­ción.