داده پزشکی کدگذاری‌شده ناشناس نیست؛ جریمه IQVIA

این مقاله در حال بازبینی حقوقی است.

تعریف: ناشناس‌سازی داده‌های سلامت فرایندی است که پس از آن، اطلاعات پزشکی دیگر با هیچ وسیله معقولی به فرد مشخصی قابل انتساب نباشد؛ در این صورت داده از شمول مقررات عمومی حفاظت از داده اروپا (GDPR) خارج می‌شود. در مقابل، داده مستعار (pseudonymised) داده‌ای است که شناسه‌های مستقیم آن، مانند نام، با کد جایگزین شده اما هنوز با اطلاعات اضافی قابل انتساب است و داده شخصی باقی می‌ماند. در ۲ اکتبر ۲۰۲۶، مرجع حفاظت از داده ایتالیا (Garante) اعلام کرد که با تصمیم شماره ۷۱۰ مورخ ۲۳ سپتامبر ۲۰۲۶، شرکت IQVIA Solutions Italy را به دلیل همین تمایز ۷ میلیون یورو جریمه کرده است.

شرکت‌های تحلیل داده سلامت، پژوهشگران و توسعه‌دهندگان هوش مصنوعی پزشکی معمولاً با یک فرض کار می‌کنند: اگر نام و کد ملی را حذف کنیم، داده «ناشناس» است. رأی IQVIA این فرض را به چالش می‌کشد. این مقاله واقعیات پرونده، استدلال Garante، نسبت آن با رأی مشهور SRB دیوان دادگستری اتحادیه اروپا و وضعیت ایران را بررسی می‌کند.

بیان قابل نقل: حذف نام بیمار کافی نیست؛ اگر کد ثابت بیمار امکان دنبال کردن او در طول زمان را بدهد، داده هنوز شخصی است.

پرونده IQVIA: واقعیات

طبق اطلاعیه مطبوعاتی Garante:

• IQVIA، بخشی از یک گروه چندملیتی فعال در تحلیل داده سلامت و پژوهش بالینی، پایگاه داده‌ای با اطلاعات سلامت یک میلیون بیمار از ۸۰۰ پزشک عمومی ساخته بود که برای مطالعات، از جمله مطالعات سفارش شرکت‌های دارویی، استفاده می‌شد؛
• رسیدگی پس از بازرسی‌های آوریل ۲۰۲۵ آغاز شد و پرونده یک نشت داده که خود شرکت گزارش کرده بود نیز به آن ضمیمه شد؛
• داده‌ها به سال ۲۰۰۱ بازمی‌گشت و مدت نگهداری تعریف نشده بود؛
• اطلاعات هویتی (نام، کد مالیاتی، نشانی و اطلاعات تماس) بیش از ۳٬۳۰۰ بیمار، که بیش از ۳٬۰۰۰ مورد آن همراه با داده سلامت بود، نیز وارد پایگاه شده بود.

چرا داده‌ها ناشناس نبودند؟

Garante می‌گوید کدی که به هر بیمار اختصاص یافته بود، امکان دنبال کردن او در طول زمان را می‌داد. این کد، همراه با مجموعه بسیار دقیقی از اطلاعات شامل سال تولد، جنسیت، تشخیص، علائم، نسخه‌ها، آزمایش‌ها، واکسیناسیون و داده‌های موقعیت مکانی، امکان جدا کردن تک‌تک بیماران و، با وسایل معقول، بازشناسایی آنان را فراهم می‌کرد. Garante همچنین IQVIA را از همان مرحله جمع‌آوری داده نزد پزشکان، کنترل‌کننده (titolare) پردازش دانست.

بیان قابل نقل: در رأی IQVIA، ترکیب «کد ثابت + جزئیات بالینی + موقعیت مکانی» همان چیزی است که داده مستعار را از داده ناشناس جدا می‌کند.

تخلفات و میزان جریمه

طبق متن تصمیم، Garante نقض این مواد GDPR را احراز کرد: بندهای (a)، (e) و (f) ماده ۵(۱) و ماده ۵(۲)، و مواد ۹، ۱۳، ۲۵، ۲۸، ۳۲ و ۳۵؛ یعنی اصول قانونی بودن و شفافیت، محدودیت نگهداری، یکپارچگی و محرمانگی، مسئولیت‌پذیری، پردازش داده‌های حساس، اطلاع‌رسانی، حفاظت از داده از طریق طراحی، رابطه با پردازشگر، امنیت و ارزیابی اثر.

Garante سقف جریمه را بر اساس گردش مالی گروه IQVIA Holdings محاسبه کرد، زیرا شرکت ایتالیایی تماماً متعلق به شرکت مادر آمریکایی است و با استناد به رویه دیوان دادگستری اروپا، فرض «واحد اقتصادی واحد» را پذیرفت. سقف ۴ درصد گردش مالی جهانی بود، اما با در نظر گرفتن عوامل تخفیف، از جمله سنجش‌های قبلی ریسک بازشناسایی، توقف ارسال داده از سوی پزشکان از ۲۰۲۳، نبود سابقه تخلف و همکاری شرکت، مبلغ ۷ میلیون یورو تعیین شد. انتشار تصمیم در سایت Garante نیز به‌عنوان مجازات تبعی مقرر شد.

دفاع IQVIA: رأی SRB

IQVIA به رأی ۴ سپتامبر ۲۰۲۵ دیوان دادگستری اتحادیه اروپا در پرونده C-413/23 P (معروف به رأی SRB) استناد کرد. طبق نقل Garante، دیوان در این رأی گفته است که داده مستعار در همه موارد و برای همه اشخاص داده شخصی محسوب نمی‌شود، زیرا مستعارسازی ممکن است، بسته به اوضاع پرونده، عملاً مانع شود که اشخاصی غیر از کنترل‌کننده بتوانند فرد را شناسایی کنند.

پاسخ Garante دو بخش داشت:

1. تداوم رویه: به نظر Garante، دیوان نخواسته از رویه قبلی خود، از جمله رأی Breyer (C-582/14)، فاصله بگیرد و ارزیابی همچنان موردی است.
2. IQVIA گیرنده ساده نیست: IQVIA صرفاً دریافت‌کننده داده مستعار نبود؛ کنترل‌کننده کل پردازش، از جمله سازمان‌دهی خود فرایند مستعارسازی، بود. بنابراین موقعیت او با موقعیت گیرنده در پرونده SRB تفاوت دارد.

بیان قابل نقل: رأی SRB در را برای «ناشناس بودن نسبی» باز کرد، اما Garante نشان داد این در به روی کسی که خودش فرایند مستعارسازی را طراحی کرده باز نمی‌شود.

رهنمودهای هیئت اروپایی حفاظت از داده

Garante به دو سند هیئت اروپایی حفاظت از داده (EDPB) استناد کرد:

• رهنمود ۰۱/۲۰۲۵ درباره مستعارسازی که به گفته Garante روشن کرده داده مستعار داده شخصی است و اگر کنترل‌کننده یا دیگران بتوانند آن را به افراد بازگردانند، مشمول GDPR باقی می‌ماند؛
• رهنمود ۰۲/۲۰۲۶ درباره ناشناس‌سازی که طبق نقل Garante در ۷ ژوئیه ۲۰۲۶ تصویب و به مشورت عمومی گذاشته شده و سه ریسک را معیار قرار می‌دهد: جداسازی (singling out)، پیوندپذیری (linkability) و استنتاج (inference).

دستورهای اصلاحی: نقشه راه فنی

بخش جالب تصمیم، دستورهای عملی آن است. Garante به IQVIA ۱۲۰ روز فرصت داد تا اگر قصد ادامه فعالیت دارد، مبنای قانونی مناسب پیدا کند، به بیماران اطلاع دهد، ارزیابی اثر انجام دهد و پزشکان را پردازشگر تعیین کند. راه جایگزین این است که خود پزشکان ناشناس‌سازی را انجام دهند، با این شرایط:

1. مستعارسازی مستقل: IQVIA نباید روش مستعارسازی را تعیین کند؛ پزشکان باید با عنصر تصادفی کافی کدگذاری کنند تا کد از دید IQVIA بی‌معنا و غیرقابل بازگشت باشد.
2. k-ناشناسی با حداقل ۱۰: شبه‌شناسه‌ها باید طوری تعمیم یابند که هر «کلاس هم‌ارزی» دست‌کم ۱۰ نفر داشته باشد.
3. متغیرهای باقی‌مانده: متغیرهایی که IQVIA می‌تواند مشاهده کند و به شناسایی کمک می‌کنند، یا باید در محاسبه کلاس‌ها وارد شوند، یا با روش‌هایی مانند محاسبه چندطرفه امن پردازش شوند، یا حذف شوند.

بیان قابل نقل: در رأی IQVIA، Garante برای ناشناس‌سازی یک عدد مشخص تعیین کرد: هیچ گروه هم‌ارزی کمتر از ۱۰ نفر.

پیامد برای هوش مصنوعی پزشکی و پژوهش

به نظر نگارنده، این رأی برای سه گروه اهمیت دارد: شرکت‌هایی که از سوابق پزشکی برای آموزش مدل‌های هوش مصنوعی استفاده می‌کنند؛ واسطه‌های داده که داده «ناشناس» را به شرکت‌های دارویی می‌فروشند؛ و پزشکان و بیمارستان‌هایی که افزونه‌های نرم‌افزاری را بدون ارزیابی نقش خود نصب می‌کنند. درس اصلی این است که ادعای ناشناس بودن باید با سنجش واقعی ریسک بازشناسایی پشتیبانی شود. برای ابعاد مسئولیت، مسئولیت هوش مصنوعی در پزشکی را ببینید.

نگاه تطبیقی: ایران

ایران قانون جامع حفاظت از داده شخصی ندارد؛ طبق گزارش پیوست (۳۰ مهر ۱۴۰۳)، لایحه دولت در حال بررسی بود و طرحی مشابه در مجلس اعلام وصول شده بود و در منابع بررسی‌شده خبری از تصویب نهایی یافت نشد. با این حال دو قاعده موجود مرتبط است:

• ماده ۵۸ قانون تجارت الکترونیکی: ذخیره، پردازش یا توزیع داده‌پیام‌های راجع به وضعیت جسمانی، روانی یا جنسی اشخاص بدون رضایت صریح آنان «به هر عنوان غیرقانونی است». ماده ۵۹ نیز شرایطی مانند مشخص بودن هدف، تناسب و حق دسترسی و اصلاح را مقرر می‌کند.
• ماده ۶۴۸ قانون مجازات اسلامی (تعزیرات): پزشکان، جراحان، ماماها، داروفروشان و همه کسانی که به مناسبت شغل محرم اسرار می‌شوند، اگر در غیر موارد قانونی اسرار مردم را افشا کنند، به ۴۵ روز و ۱۲ ساعت تا شش ماه حبس یا جزای نقدی محکوم می‌شوند.

در منابع بررسی‌شده، تعریف قانونی «ناشناس‌سازی» یا معیار فنی مشابه k≥10 در حقوق ایران یافت نشد. پرسش اینکه آیا ارسال داده کدگذاری‌شده بیمار به شرکت پژوهشی «افشای سر» محسوب می‌شود یا نه، پاسخ قطعی ندارد و باید با وکیل متخصص بررسی شود. برای داده‌های حساس دیگر، حریم خصوصی بیومتریک را ببینید.

پرسش‌های متداول

تفاوت داده مستعار و داده ناشناس چیست؟

در داده مستعار شناسه مستقیم با کد جایگزین می‌شود اما بازشناسایی با اطلاعات اضافی ممکن است و داده شخصی باقی می‌ماند. داده ناشناس با هیچ وسیله معقولی قابل انتساب به فرد نیست.

جریمه IQVIA چقدر و برای چه بود؟

۷ میلیون یورو، طبق تصمیم شماره ۷۱۰ مورخ ۲۳ سپتامبر ۲۰۲۶ Garante، برای پردازش داده سلامت یک میلیون بیمار بدون مبنای قانونی، اطلاع‌رسانی، مدت نگهداری، ارزیابی اثر و امنیت کافی.

آیا رأی SRB داده مستعار را از GDPR خارج کرد؟

نه به‌طور کلی. طبق نقل Garante، دیوان گفته داده مستعار ممکن است برای برخی گیرندگان شخصی نباشد، اما ارزیابی موردی است و برای کنترل‌کننده‌ای که مستعارسازی را سازمان می‌دهد صدق نمی‌کند.

معیار k≥10 در رأی IQVIA یعنی چه؟

یعنی شبه‌شناسه‌ها باید طوری تعمیم یابند که هر ترکیب ویژگی‌ها دست‌کم میان ۱۰ نفر مشترک باشد تا هیچ بیماری قابل جداسازی نباشد.

در ایران استفاده از پرونده پزشکی برای پژوهش هوش مصنوعی آزاد است؟

خیر. ماده ۵۸ قانون تجارت الکترونیکی پردازش داده وضعیت جسمانی و روانی بدون رضایت صریح را غیرقانونی می‌داند و ماده ۶۴۸ تعزیرات افشای اسرار پزشکی را جرم می‌شمارد. با کارشناسان آرتیلا مشورت کنید.

جمع‌بندی

رأی Garante علیه IQVIA یکی از روشن‌ترین تصمیم‌های ۲۰۲۶ درباره ناشناس‌سازی داده‌های سلامت است: کد ثابت بیمار همراه با جزئیات بالینی و موقعیت مکانی داده را مستعار نگه می‌دارد، نه ناشناس؛ رأی SRB راه فرار عمومی نیست؛ و ناشناس‌سازی واقعی معیارهای فنی قابل سنجش، مانند کلاس‌های هم‌ارزی دست‌کم ۱۰ نفره، می‌خواهد. برای ایران که قانون جامع داده ندارد، این رأی دست‌کم یک چارچوب فکری برای پژوهشگران و شرکت‌های سلامت دیجیتال فراهم می‌کند. این مقاله اطلاع‌رسانی است و جایگزین مشاوره حقوقی نیست.

منابع

• Garante per la protezione dei dati personali, Comunicato stampa – Dati sanitari: 7 milioni di euro di sanzione (2 Oct 2026): https://www.garanteprivacy.it/home/docweb/-/docweb-display/docweb/10302141
• Garante per la protezione dei dati personali, Provvedimento del 23 settembre 2026 [doc. web n. 10302112]: https://www.garanteprivacy.it/home/docweb/-/docweb-display/docweb/10302112
• MLex, IQVIA receives €7m Italian GDPR fine over coded patient records (2 Oct 2026): https://www.mlex.com/mlex/articles/2533355/iqvia-receives-7m-italian-gdpr-fine-over-coded-patient-records
• عدالت‌سرا، ماده ۵۸ قانون تجارت الکترونیکی: https://edalatsara.com/rules/قانون-تجارت-الکترونیکی/ماده-58
• عدالت‌سرا، ماده ۵۹ قانون تجارت الکترونیکی: https://edalatsara.com/rules/قانون-تجارت-الکترونیکی/ماده-59
• لالکس، ماده ۶۴۸ قانون مجازات اسلامی (تعزیرات): https://lawlex.ir/laws/taazirat/648
• پیوست، طرح «حفاظت از داده‌های شخصی» در مجلس اعلام وصول شد؛ لایحه دولت همچنان در حال بررسی (۳۰ مهر ۱۴۰۳): https://peivast.com/p/212052