提示：完整原文可在文章末尾"阅读原文"处获取。
医疗健康数据是GDPR框架下优先级最高、监管最严苛的特殊类别个人信息之一。临床研究、真实世界研究（RWS）、医药CRO行业，长期存在一个共性合规难题：如何从医疗机构、执业医师处合法获取患者健康数据，用于药品、医疗器械的临床分析。2026年10月9日,EDPB公示意大利数据保护局处罚IQVIA意大利子公司700万欧元一案，聚焦医药CRO行业患者健康数据采集、告知、留存、DPIA义务四大违规点，覆盖国内大量出海药企、临床研究服务商、CRO机构高频业务场景。IQVIA是全球头部医药临床研究服务商，该案处罚决定对于整个生物医药出海赛道，具备标杆性的合规指引价值，清晰划定了医师、CRO之间的数据委托处理边界，回答了临床真实世界研究中最核心的几个合规问题：谁是数据控制者、如何履行告知义务、脱敏与留存如何落地。
▍ 一、案件基础事实梳理
处罚对象为IQVIA Solutions Italy S.r.l（IQVIA意大利子公司），最终处罚决定日期为2026年9月23日，EDPB于2026年10月9日对外公示该处罚信息，罚款金额700万欧元。
业务背景：IQVIA和意大利全科医生合作，收集患者医疗健康数据，用于医药相关临床、真实世界研究分析。意大利DPA调查后认定多项持续违规：
1.处理患者健康数据，没有具备合法、有效的GDPR处理基础；
2.没有按照GDPR第13条要求，向患者充分履行告知义务，患者不清楚自己健康数据会被CRO机构收集、使用；
3.没有设置合规、明确的数据留存期限，数据留存机制缺失；
4.未依法开展数据保护影响评估（DPIA）；
5.委托关系边界混乱：全科医生直接向IQVIA交付患者健康数据，但没有将全科医生明确设置为数据处理者（processor），权责划分不清。
监管同时给出两套整改路径，IQVIA二选一：
路径一：继续开展该类健康数据处理业务，120日内完成全链路合规整改，补齐合法基础、完善患者告知、制定留存周期、完成DPIA、把全科医生规范设置为委托处理者；
路径二：由全科医生独立完成符合监管标准的匿名化处理，再交付IQVIA使用，规避个人信息管控义务。
监管在裁量罚款金额时，考量了从重情节：涉及健康敏感数据、数据主体数量规模大；同时考量从轻情节：IQVIA配合调查、全科医生已经主动暂停数据传输行为，因此在GDPR罚款上限内确定本次处罚额度。
▍ 二、监管核心法律观点拆解
（一）健康数据天然高风险，不能默认临床研究自动获得处理权限
健康数据属于GDPR第9条特殊类别个人信息，原则禁止处理。很多医药行业从业者存在误区：临床研究具备公益、科研属性，天然可以直接拿患者病历数据。意大利DPA本次裁决再次明确：科研用途不等于自动豁免，依然必须找到GDPR第9条的法定豁免基础，例如患者单独明确同意、公共卫生利益、法定医学研究保障等，不能仅凭“用于医药研究”就直接收集病历。
（二）告知义务穿透到患者，不能依托医师代为告知而简化
GDPR第12、13条的透明告知义务指向数据主体本人，也就是患者。很多CRO习惯模式：只和医生签协议，由医生口头简单和患者说明，没有标准化、清晰的告知文本，没有向患者披露CRO主体、数据用途、保存期限、患者权利（访问、删除、反对处理）。监管认定这种模式不满足透明化义务，患者知情权被架空。
（三）控制者/处理者身份边界不能模糊，医师角色必须书面固定
在医患-医疗机构-CRO三方链条中，一个关键争议点：全科医生到底是数据控制者，还是CRO的处理者？
意大利监管意见：如果IQVIA决定数据收集目的、分析方式，IQVIA属于控制者；如果医生向IQVIA提供数据，则必须通过DPA协议，将医生定义为IQVIA的委托处理者，严格限定医生只能按照IQVIA指令处理数据。本案中双方没有清晰书面约定角色，权责混乱，被单独列为一项重大违规。
换言之：不能模糊身份，角色必须书面化，不同角色对应完全不一样的合规义务。
（四）匿名化≠假名化，作为合规路径有严格门槛
监管给出备选方案：由全科医生独立完成匿名化之后再交付IQVIA。这里区分两个行业高频混淆概念：
• 假名化：仍然属于个人数据，依然受GDPR管控，只是降低风险；
• 匿名化：经过处理之后，无论使用什么附加信息，都无法再定位到特定患者，才脱离GDPR管辖。
监管明确，如果企业想走匿名化这条免责路径，匿名化操作、技术措施必须由医师侧独立完成，而不是CRO拿到原始数据之后再做脱敏。这是和很多国内CRO常规操作非常不一样的地方。
1.先锁定合法基础，优先前置获取患者单独同意
针对欧盟境内患者健康数据，用于商业化医药研究时，首选获取患者独立、单独同意，同意文件要单独签署，不能埋在就诊知情书里面捆绑。如果要援引公共卫生、医学研究豁免，需要提前论证符合成员国国内配套法律，意大利、德国等成员国对科研豁免的门槛很高。
2.完善面向患者的信息告知文件
准备独立隐私告知书，写明CRO主体、数据用途、保存期限、数据接收方、患者访问/更正/删除权利、投诉渠道，交付给患者本人，留存告知凭证，不能完全交由医生口头转达。
3.厘清多方主体角色，签署DPA
梳理药企、医院、医生、CRO、外包服务商之间数据流向，书面约定谁是控制者、谁是处理者；作为控制者的一方，和所有上游、下游处理方签署GDPR标准数据处理协议，约束处理行为。
4.建立数据留存策略
针对不同研究项目设置明确、可落地的留存期限；研究结束之后，按照约定销毁或者匿名化，禁止无期限留存患者原始健康数据。
5.高风险健康数据项目强制开展DPIA
健康数据临床研究属于GDPR典型高风险处理活动，必须提前开展数据保护影响评估，识别泄露、越权共享风险，留存评估报告；监管机构核查时会第一时间调取DPIA文档。
6.区分脱敏方案的适用场景
不要把假名化当成匿名化；如果计划依靠匿名化规避GDPR，要评估是否满足当地监管对匿名化的技术标准，部分成员国不认可CRO侧事后脱敏的方案。
IQVIA作为全球头部医药CRO遭受700万欧元罚款，给国内出海生物医药、真实世界研究服务商敲响警钟。医药行业很容易基于行业惯例、科研目的放松对健康敏感数据的管控，但欧盟各国DPA对医疗数据的审查标准一贯严苛。本案清晰展现监管审查重点：合法基础、患者知情权、数据留存、DPIA评估、多方主体权责划分。对于计划进入欧盟市场的药企、CRO机构，在搭建临床数据采集合作模式时，需要提前匹配目标成员国的执法偏好，把合规嵌入临床项目立项阶段，避免项目落地之后才发现底层数据流转模式不符合GDPR，面临高额处罚和业务停摆整改。
马军
业务领域：人工智能与数据合规、竞争法、企业出海；
扫描二维码
了解作者详情
