IQVIA multada con 7,8 millones de dólares por no anonimizar correctamente datos de salud

La Autoridad de Protección de Datos de Italia (GPDP) ha impuesto una multa de 7 millones de euros (aproximadamente 7,8 millones de dólares) a la empresa multinacional IQVIA por prácticas inadecuadas en el tratamiento de datos que, según el organismo, podrían haber expuesto a alrededor de un millón de pacientes a riesgos de desanonimización.

IQVIA se dedica al análisis de datos sanitarios, tecnología e investigación clínica, y afirma operar en más de 100 países, gestionando 68 petabytes de datos y 1.200 millones de registros de pacientes.

La investigación de las autoridades italianas sobre las prácticas de IQVIA comenzó en abril de 2025. El mes pasado se concluyó que la compañía no ofrecía garantías adecuadas de anonimización de datos de salud, a pesar de sus afirmaciones.

La GPDP determinó que la división italiana de IQVIA había creado una base de datos con información sanitaria de aproximadamente un millón de pacientes, agregando datos de 800 médicos de cabecera. Aunque la empresa utilizaba un código único en lugar del nombre de los pacientes, la agencia consideró que esos códigos permitían rastrear y desanonimizar a los pacientes a lo largo del tiempo.

El código asociado a cada paciente permitía seguirlos en el tiempo. Combinado con un conjunto muy detallado de información (año de nacimiento, sexo, diagnósticos, síntomas, prescripciones, pruebas, vacunaciones, así como datos de localización), hacía posible singularizar a pacientes individuales y, utilizando medios razonables, reidentificarlos.

Además, IQVIA trató datos sin una base legal apropiada y sin informar a los pacientes, lo que infringe el Reglamento General de Protección de Datos (RGPD). La GPDP también señaló que la empresa no estableció ni respetó plazos de conservación de datos, encontrando registros que se remontan hasta 2001.

En un subconjunto de 3.300 pacientes de la base de datos de IQVIA, la compañía incluía además nombres, números de identificación fiscal, direcciones y datos de contacto.

Junto con la multa de 7,8 millones de dólares, las autoridades italianas ordenaron a la empresa ajustar sus prácticas a la normativa en un plazo de 120 días.

BleepingComputer contactó a la firma para preguntar sobre la sanción, y un portavoz proporcionó la siguiente declaración:

IQVIA está comprometida con el uso responsable de datos e información y continúa cooperando con la Autoridad. Proteger los datos es una prioridad central para IQVIA, y mantenemos salvaguardas sólidas, incluido el uso de seudonimización y cifrado, para apoyar el uso responsable de datos en el ámbito sanitario. IQVIA reconoce la decisión adoptada por la Autoridad Italiana de Protección de Datos y se reserva el derecho de apelar. El conjunto de datos al que se refiere la decisión de la Autoridad Italiana de Protección de Datos no es utilizado por IQVIA en la realización de servicios de investigación clínica y no está relacionado con la realización de ensayos clínicos en nombre de los patrocinadores. Hemos colaborado constructivamente con la Autoridad Italiana de Protección de Datos a lo largo de este proceso y ya hemos tomado medidas para adoptar las medidas necesarias para garantizar una plena alineación con las directrices de la Autoridad.

Construya su plan de seguridad para ataques impulsados por IA

Únase a Mikko Hyppönen y líderes de seguridad de la NFL, CHANEL y Atlassian en una cumbre digital de dos horas sobre qué cambian los ataques a velocidad de IA, qué deben dejar de hacer los defensores y cómo validar, decidir, corregir y revalidar a velocidad de máquina.