جریمه ۷٫۸ میلیون دلاری IQVIA به‌خاطر ناشناس‌سازی ناکافی داده‌های سلامت

بر اساس گزارش BleepingComputer، سازمان حفاظت از داده‌های ایتالیا (GPDP) شرکت خدمات داده‌ای IQVIA را به‌دلیل نقائص در شیوه‌های پردازش و ناشناس‌سازی اطلاعات سلامت جریمه کرده است. طبق این گزارش، شیوه‌های مورد استفاده می‌توانست دسترسی یا بازشناسایی تقریباً یک میلیون بیمار را تسهیل کند و به‌همین‌دلیل GPDP مبلغ ۷ میلیون یورو (حدود ۷٫۸ میلیون دلار) را به‌عنوان جریمه اعلام کرده است. اطلاعات این خبر بر اساس منبع اصلی (BleepingComputer) ارائه شده است.

خلاصه تحلیلی مستقل:
- پیامدها: این پرونده نشان می‌دهد که حتی شرکت‌های بزرگ حوزه سلامت که با داده‌های حساس کار می‌کنند، در صورت نبودِ کنترل‌های قویِ ناشناس‌سازی و پردازش امن، در معرض جریمه‌ها و آسیب‌های حیثیتی و قانونی قرار دارند.
- ریسک فنی: ضعف در ناشناس‌سازی (re-identification risk) می‌تواند ناشی از ترکیب نامناسب حذف شناسه‌ها، نگهداری داده‌های تکمیلی مرتبط یا فقدان سناریوهای حمله در آزمون‌های محافظتی باشد. گزارش منبع جزئیات فنی بیشتر ارائه نکرده است؛ از این رو نباید جزئیات خاصی را فرض کرد.
- توصیه‌های عملی برای کنترل‌گران و پردازش‌گران داده‌های سلامت (بر پایه بهترین‌عمل‌ها، نه ادعای منبع):
• انجام ارزیابی اثرات محافظت از داده (DPIA) پیش از پردازش مجموعه‌های حساس؛
• استفاده از تکنیک‌های قوی ناشناس‌سازی و سنجش پذیراییِ بازشناسی (مثلاً ارزیابی ریسک بازشناسی، روش‌های آماری محافظتی یا تفاضل‌زننده‌های مختلف)؛
• حداقل‌سازی داده‌ها، رمزگذاری در حال انتقال و در حالت استراحت، و کنترل دقیق دسترسی‌ها و لاگینگ؛
• بازبینی قراردادی و ممیزی‌های دوره‌ای برای زیر‌پردازش‌گران؛
• برنامه‌های پاسخ به رخداد و اطلاع‌رسانی شفاف به ناظران و ذینفعان.
- روند نظارتی: پرونده‌های این‌چنینی نشان‌دهنده حساسیت فزاینده نهادهای حفاظت داده نسبت به پردازش داده‌های پزشکی و انتظارات بالاتر از کیفیتِ ناشناس‌سازی است.

تذکر: تمامی اطلاعات خبری این نوشته بر اساس گزارش اولیه BleepingComputer است و در متن از هیچ‌گونه حدس یا افزودۀ خارج از آن گزارش استفاده نشده است.