Të Dhënat Shëndetësore dhe Anonimizimi Fals: Gjobë 7 Milionë Euro për IQVIA — Mësimet mbi Pseudonimizimin, DPIA dhe Kërkimin Klinik sipas Ligjit 124/2024
Përmbledhje Ekzekutive për Drejtuesit e Kompanive
Autoriteti mbikëqyrës ka vendosur një gjobë administrative prej 7.000.000 eurosh ndaj kompanisë ndërkombëtare të të dhënave shëndetësore IQVIA për përpunimin e paligjshëm të të dhënave sensitive të mbi një milion pacientëve të mbledhura përmes 800 mjekëve të familjes. Baza e të dhënave, e përdorur për kërkime të porositura nga industria farmaceutike, u cilësua si pseudonimizuar dhe jo anonime, pasi ruajtja e identifikuesve unikë lejonte izolimin (singling out) dhe ri-identifikimin e pacientëve me kalimin e kohës.
1. Faktet dhe Çështja e Hetimit
Hetimi i thelluar konfirmoi se të dhënat mjekësore, përfshirë diagnozat, trajtimet terapeutike, recetat e barnave, analizat klinike dhe vendndodhjen gjeografike, transferoheshin nga sistemet e mjekëve drejt serverëve qendrorë të shoqërisë.
Mbrojtja e kompanisë pretendonte se skedarët ishin “plotësisht anonimë”. Megjithatë, ekspertiza teknike provoi se përdorimi i një kodi unik identifikues të pandryshueshëm mundësonte ndjekjen e historikut shëndetësor të të njëjtit individ në mënyrë të vazhdueshme, duke shkelur kufirin ligjor midis anonimizimit real dhe pseudonimizimit të thjeshtë.
2. Korniza Ligjore: Ligji Nr. 124/2024 dhe GDPR
Vendimi përcakton standarde thelbësore për të gjithë sektorin shëndetësor, spitalet private, laboratorët dhe kompanitë farmaceutike në Shqipëri dhe Bashkimin Evropian:
- Neni 6 i Ligjit Nr. 124/2024 dhe Neni 5 i GDPR-it (Parimet e përpunimit): Mungesa e një baze ligjore të ligjshme për ngritjen e databazës dhe tejkalimi i afateve të ruajtjes së të dhënave.
- Neni 9 i Ligjit Nr. 124/2024 dhe Neni 9 i GDPR-it (Kategoritë e veçanta të të dhënave): Të dhënat shëndetësore kërkojnë pëlqim të qartë e të shprehur (explicit consent) ose një bazë të posaçme ligjore për kërkime shkencore me garanci të forta institucionale.
- Neni 13 i Ligjit Nr. 124/2024 dhe Neni 13 i GDPR-it (Informimi i subjekteve): Pacientët nuk kishin asnjë dijeni se të dhënat e tyre mjekësore po përdoreshin për analiza tregtare dhe kërkime të palëve të treta.
- Neni 23 i Ligjit Nr. 124/2024 dhe Neni 25 i GDPR-it (Privacy by Design dhe by Default): Zgjidhje kriptografike të papërshtatshme që nuk garantonin pakthyeshmërinë e procesit të de-identifikimit.
- Neni 26 i Ligjit Nr. 124/2024 dhe Neni 28 i GDPR-it (Përpunuesi i të dhënave): Mungesa e marrëveshjeve të detyrueshme (DPA) me mjekët që transferonin informacionin shëndetësor.
- Neni 31 i Ligjit Nr. 124/2024 dhe Neni 35 i GDPR-it (Vlerësimi i Ndikimit – DPIA): Dështim në hartimin paraprak të vlerësimit të ndikimit në mbrojtjen e të dhënave për një bazë të dhënash në shkallë të gjerë me rrezik të lartë.
3. Matrica e Rreziqeve për Sektorin Shëndetësor dhe Farmaceutik
| Faktori i Rrezikut | Ashpërsia Juridike | Cënueshmëria e Zbuluar | Masa Teknike dhe Organizative e Detyrueshme |
|---|---|---|---|
| Anonimizim Fals | Kritike (Neni 9) | Identifikues persistentë që mundësojnë lidhjen e të dhënave | Zbatimi i modeleve K-anonymity, Differential Privacy ose heqja e plotë e çelësave të lidhjes |
| Zinxhiri i Furnizimit të të Dhënave | E Lartë (Neni 26) | Klinika/Mjekë që ndajnë raporte pa kontratë DPA | Nënshkrimi i DPA-ve rigoroze dhe auditime periodike të transferimeve |
| Moskryerja e DPIA | Kritike (Neni 31) | Fillimi i projekteve analitike shëndetësore pa analizë rreziku | Hartimi i detyrueshëm i DPIA me miratim zyrtar nga NMDH/DPO |
4. Plani i Veprimit Operativ EON (P0 / P1 / P2)
Faza P0 (Urgjente – Brenda 48 Orëve)
Kryeni një kontroll urgjent të të gjitha bazave të të dhënave që konsiderohen “anonime” brenda organizatës suaj. Verifikoni nëse algoritmet lejojnë izolimin e të dhënave të një individi të vetëm ose kryqëzimin me regjistrat e tjerë të jashtëm.
Faza P1 (Afatshkurtër – 30 Ditë)
Rishikoni marrëdhëniet kontraktuale me institucionet shëndetësore partnere, azhurnoni njoftimet e privatësisë (Privacy Notice) sipas Nenit 13 të Ligjit Nr. 124/2024 dhe formalizoni rolet ligjore të palëve.
Faza P2 (Afatmesëm – Konsolidim)
Zbatoni protokolle të avancuara të privatësisë diferenciale drejtpërdrejt në burim përpara integrimit të të dhënave, shoqëruar me trajnime të posaçme për ekipet teknike dhe personelin mjekësor.
