목록
CNIL은 2026년 5월 26일 공개된 SAN-2026-008 결의에 따라 IQVIA OPERATIONS FRANCE에 5백만 유로의 벌금을 부과했습니다(제한 형성은 2026년 3월 26일에 회의를 개최했습니다). 이 절차는 미국 IQVIA 그룹의 자회사가 운영하는 두 개의 건강 데이터 창고를 대상으로 하였습니다: 2018년에 허가받고 약 14,000개의 프랑스 약국이 데이터를 제공하는 LRX와 2021년에 허가받고 수천 명의 의사가 데이터를 제공하는 EMR. 이 결의는 처리된 데이터가 수천만 명의 사람들에 관한 것이라고 결론지었습니다 - 출생 연도, 성별, 처방, 진단, 증상, 알레르기, 사회 직업적 요소 및 고유한 치료 경로 식별자. CNIL의 공식 성명에 따르면, 규제 기관은 동시에 6개월 이내에 준수를 명령했으며, 지연 시 하루당 10,000유로의 벌금을 부과할 예정입니다. 이 회사는 항소할 권리를 보유하고 있습니다. 벌금은 RGPD의 83조에 명시된 전 세계 연간 총매출의 4% 상한선에 미치지 못합니다.
IQVIA를 넘어서는 범위: 102개 운영자가 동일한 아키텍처 공유
2025년 9월 1일 기준, esante.gouv.fr 포털에는 CNIL에서 허가한 125개의 건강 데이터 창고가 등록되었으며, 이는 102개의 별도 주체 - 제약 출판사, 공공 연구 기관, 보험 플랫폼, 병원 구조에 의해 관리됩니다. 모두 동일한 기술적 구성 요소에 의존합니다: 환자 데이터의 가명화로, 이는 2차 사용을 위한 것입니다. IQVIA에 대한 규제 기관의 논리는 - 가명화는 키를 보유한 엔터티에게 익명화가 아니라는 것 - 구조적으로 아키텍처의 특성을 대상으로 하며, 특정 사례에 국한되지 않습니다. CNIL은 이미 건강 데이터 보호 프로젝트를 통해 건강 데이터를 명시적인 교리의 축으로 삼았으며, 2026년 5월 26일의 결의는 이 교리적 기반을 법적 자격으로 확장하고, 101개의 다른 운영자 각각을 구조적으로 노출시킵니다. 각 장치의 기술적 아키텍처에 따라 초기 컨트롤러로서의 해석에 대응합니다. 이는 제약 산업, 보험 또는 공공 연구에 해당합니다.
가명화: 초기 컨트롤러의 자격으로 따라잡힌 아키텍처 구성 요소
창고를 운영하는 IT 관리자에게 가명화는 기술적 계층입니다: 한쪽에는 암호화된 대응 테이블, 다른 쪽에는 파생 데이터 세트입니다. IQVIA의 방어는 이 분리에 기초했으며, CJUE C-413/23 P EDPS 대 SRB 2025년 9월 4일 판결에 의존했습니다 - 데이터 보호에 대한 유럽 감독기구인 EDPS가 단일 해체 위원회, 은행권 기관을 상대로 한 것입니다. 이 판결은 RGPD와 유사한 유니온 기관에 적용되는 2018/1725 규정의 준거 체계입니다. 룩셈부르크 법원은 가명화가 관찰자에 대한 상대적 지위라고 판결했습니다: 엔터티가 재식별 키를 보유하는 한, 데이터는 여전히 개인적 특성을 지닙니다 - CNIL은 이를 RGPD에 적용하여 4(1)조와 4(5)조의 병행 정의를 통해 적용합니다. "가명화 조치는 상관 위험을 줄이는 것일 뿐... 이를 제거하는 것은 아니다"라고 제한 형성은 결론지었습니다. 창고의 주체에게 아키텍처의 결과는 명확합니다: 대응 테이블이 운영 범위 내에 있는 한, 개인 데이터의 체계가 전체 시스템에 적용되며, 여전히 직접 식별자를 포함하는 영역에만 국한되지 않습니다. 이 자격의 기반에는 다섯 가지 기술적 및 절차적 위반이 추가되었습니다: 관련 당사자에 대한 정보 부족, 실질적으로 비활성화된 반대권, EMR 창고에 대한 다중 인증 부재, 정기적으로 분석되지 않은 연결 로그, 부정확한 정보 공지 - 또한 어떤 통제된 약국도 고객에게 전송을 알리지 않았다는 점이 추가되었습니다. SRB 판결이 명확히하고 CNIL 결정이 해결하지 않는 아키텍처의 뉘앙스가 남아있습니다: 수신자가 식별 가능한 사람과 데이터를 연결할 수 있는 합리적으로 사용 가능한 수단을 보유하지 않는 경우, 가명화된 데이터는 그에게 개인 데이터로 간주되지 않습니다. 즉, 동일한 체인의 두 구성 요소는 키에 대한 접근에 따라 다른 체계에 속할 수 있습니다. 제재는 초기 컨트롤러로서 IQVIA를 대상으로 하며; 테이블에 대한 접근 없이 추출물을 받는 제3자에게 적용 가능한 체계를 예측하지 않습니다.
기술 팀의 준비 창을 정의하는 두 가지 규제적 수평선
오늘날 창고를 운영하는 IT 관리자 또는 CTO에게 제3자 수신자의 지위는 두 가지 기한에 따라 운영 준비 창을 제한합니다. 2025년 2월 11일의 EU 규정 2025/327은 유럽 건강 데이터 공간을 설립하여, 2029년 3월에 2차 사용 부분의 적용을 시작하여, 제3자 - 학술 연구, 제약 산업, 공공 기관에 의한 가명화된 데이터 접근의 기술적 조건을 구체적으로 조직합니다. ActuIA는 미래 EEDS의 다섯 가지 표준 사용 사례를 협상 단계에서부터 상세히 설명하였습니다. 이 부분이 적용되지 않는 한, 각 아웃바운드 흐름 - 추출, 제3자 API, 프로젝트 공유는 SRB 판결에 비추어 RGPD를 기반으로 사례별로 조정되어야 합니다. 다른 수평선은 교리적입니다: 유럽 데이터 보호 위원회(EDPB)는 SRB의 기여를 01/2025 가명화에 대한 지침에 통합하기 위한 논의 문서를 기반으로 2025년 12월 12일에 이해 관계자 이벤트를 개최했습니다. SAN-2026-008 결의는 키를 보유한 처리 책임자에게 적용되는 체계를 설정합니다; 키에 대한 접근 없이 제3자에게의 흐름에 대해서는 EDPB 01/2025 지침이 답변을 제공할 것이며, 2025년 말에 공개된 이후 12~18개월의 일반적인 일정에 따라 완성되며, 2027년이 가장 빠른 시점입니다.