IQVIA lleva años recopilando la información de millones de estadounidenses, y Statnews acaba de hacer una investigación sobre la capacidad de la empresa para mantener la privacidad de los datos personales [1]. Dado el interés de la industria farmacéutica por acceder a las historias clínicas electrónicas de los latinoamericanos, los resultados de esta investigación pueden ser de interés para los que gestionan los sistemas de salud de la región, por eso los resumimos a continuación.

STAT descubrió que IQVIA (que resultó de la fusión de IMS Health con Quintiles) ha estado comprando durante años los datos de una empresa de informes crediticios (Experian) y los vincula a las historias clínicas de los estadounidenses, para así poder ofrecer información a las empresas farmacéuticas (tiene como clientes a las 100 empresas farmacéuticas más grandes) y a los fabricantes de dispositivos para sus campañas de marketing. Esta relación comercial entre IQVIA y Experian no se discute públicamente.

IQVIA también provee información a las principales universidades, agencias federales y medios de comunicación, y tiene unos ingresos anuales de casi US$14.000 millones.

La información que Experian vende a IQVIA es información personal y esta anonimizada, pero los empleados de IQVIA alertaron que se podía utilizar para reidentificar a las personas específicas, y protestaron porque algunos datos fluían con demasiada libertad entre sus propios archivos. Estas preocupaciones internas contrastan con la imagen que ha estado danto IQVIA como excelente protectora de información sensible, y que la ha ayudado a convertirse en líder mundial en el análisis y la venta de información de pacientes.

El problema radica en que IQVIA pasó siete años -de 2009 a 2016- sin seguir la práctica establecida de contratar una revisión de privacidad sobre su uso de los datos de Experian a un experto, lo que viola la ley federal (HIPAA) que exige revisiones periódicas de las bases de datos para garantizar que el riesgo de que se pueda reidentificar a los pacientes sea muy bajo. A partir de esos años, su recopilación de información personal no ha hecho más que acelerarse. Cuenta con una cantidad exorbitante de información que ofrece una imagen detallada de los estadounidenses: sus problemas médicos y sus recetas, sus finanzas, sus antecedentes personales y sus publicaciones en las redes sociales. Su acceso inigualable a la información personal ha colocado a la empresa en el centro de un mercado internacional de datos que muchos expertos critican como peligrosamente opaco.

Según Latanya Sweeney, profesora de Harvard y fundadora del laboratorio de privacidad de datos de la universidad “Todas estas personas están compartiendo datos sobre ti a tus espaldas y están elaborando expedientes sobre ti”, dijo. “Algunos de ellos también están tomando decisiones sobre ti y no sabes por qué. No tienes derecho a saberlo. No tienes derecho a corregirlo. Y no tienes derecho a abordarlo de ninguna manera”.

Los ejecutivos de IQVIA defendieron las prácticas de la empresa y dijeron que utilizan varios mecanismos para proteger la privacidad, incluyendo la eliminación de identificadores personales, controles internos y auditorías independientes por parte de expertos, para asegurar que la información que recopila, analiza y vende a terceros no se pueda vincular a individuos.

Sin embargo, Stat descubrió un correo electrónico de 2016 donde la empresa reconocía que el intervalo entre las revisiones de la privacidad había sido demasiado largo e indicaba que los ejecutivos habían determinado que había que hacer un nuevo análisis, “basándose en la antigüedad del análisis anterior y en el volumen de información de los consumidores disponible en ese momento”. Esta evaluación debía incluir tanto los datos que IQVIA distribuye a sus clientes como los que recibe.

IQVIA opera en un espacio poco regulado. La HIPAA, por ejemplo, sólo se aplica a los datos de salud y se centra en regular su uso por parte de ciertas organizaciones que recogen información de los pacientes, como hospitales, aseguradoras, empleadores y contratistas. IQVIA, que obtiene gran parte de su información de otros agregadores, se encuentra a menudo un paso más allá de ese marco normativo, incluso cuando obtiene datos que afectan a múltiples sectores.

El uso de los datos de Experian parece ser una excepción para IQVIA, una empresa que cotiza en bolsa y que se centra principalmente recopilar y analizar información de fuentes de salud como farmacias, médicos y aseguradoras.

El volumen de datos que circula por la empresa ha crecido exponencialmente. Según su último informe anual, ahora cuenta con 1.200 millones de registros de pacientes de todo el mundo, y capta el 93% de las prescripciones de los pacientes ambulatorios a través de los datos que le proporcionan diariamente las farmacias.

Aunque la empresa no habla públicamente de ello, Experian se ha convertido en una importante y voluminosa fuente de información. Los documentos que obtuvo STAT describen un proceso detallado de desidentificación de decenas de millones de registros que se introducen mensualmente en IQVIA. Uno de los documentos se refiere al esfuerzo por transferir datos de 170 millones de consumidores, mostrando que los datos fueron primero despojados de identificadores por Experian y luego enviados a un sitio FTP, una herramienta que se utiliza para transferir de forma segura archivos de gran tamaño. Otro documento detallaba cómo los identificadores tokenizados de Experian -un identificador tokenizado suele sustituir un nombre por una secuencia de caracteres única, como tjp78i432- se podían utilizar para vincular datos con otro cliente de Experian que recopila resultados de laboratorios clínicos.

Entre los clientes interesados en aprovechar los datos de IQVIA figura Sunovion Pharmaceuticals, una empresa farmacéutica con sede en Massachusetts que en 2016 quería aumentar las ventas de Latuda, un medicamento para tratar la esquizofrenia y la depresión bipolar. En un correo electrónico, la empresa pidió a IQVIA que averiguara detalles sobre los proveedores a los que se quería dirigir, incluyendo sus códigos postales y cuántos de sus pacientes habían tomado Latuda en 2015. También quería detalles sobre sus pacientes: el tipo de seguro que tenían, su género y edad aproximada, y su origen étnico en cuatro grupos: Caucásico, afroamericano, hispano y asiático-americano.

“Sólo pacientes de Latuda – sin filtrar por diagnóstico”, especificaba el alcance del trabajo, señalando que los detalles más granulares “podrían abordarse como parte de un proyecto separado”.

Pero el uso de los datos étnicos suscitó preocupaciones de privacidad dentro de la empresa. Se cuestionaba si había demasiadas personas con acceso a detalles sobre cómo los datos étnicos – desglosados en 33 categorías, algunas tan finas como “escocés” o “indonesio” – se estaban integrando en las cuatro categorías étnicas más amplias. Un correo electrónico señalaba que se estaba añadiendo información adicional, como el país de origen de una persona, a los expedientes de los pacientes, “lo que puede exponerlos aún más”.

Para IQVIA, lidiar con una serie de problemas de privacidad es parte del trabajo. “Vemos como una característica, no como un error, que la gente haga preguntas…Queremos que la gente plantee preguntas. Puede haber muchos momentos en los que es muy legítimo preguntarse: ‘¿Tenemos muy poca o demasiada gente con acceso a la información?”

Las empresas farmacéuticas pueden utilizar datos como los de IQVIA para diseñar campañas de marketing muy específicas que pueden resultar invasivas para los consumidores y podrían ser perjudiciales, según los expertos en privacidad de datos.

Otra empresa interesada en utilizar los datos de Experian era Dexcom, que fabrica monitores continuos de glucosa para controlar la diabetes. Un correo electrónico hacía referencia a una solicitud de Dexcom para vincular la información de Experian con las historias clínicas de 250.000 personas. Dexcom se negó a hablar de esa solicitud o de cómo se utilizó finalmente la información sobre las 250.000 personas, y se limitó a decir que la empresa tiene fuertes sistemas de protección de la privacidad y no recibe ni procesa directamente los informes de crédito de Experian.

En este tipo de acuerdos, dijo un ejecutivo de IQVIA, la empresa no vincula los registros de un individuo para generar una visión muy específica de esa persona, sino que busca identificar características comunes entre grandes grupos para ayudar a un cliente a “gastar su dinero en publicidad digital de una manera más enfocada y eficiente”. “Para ser claros”, dijo, “los datos emparejados son realmente a nivel de población, porque estamos tratando de entender las tendencias dentro de grandes poblaciones”.

Pero eso sigue creando riesgos para los individuos, así como para las comunidades más amplias, dijeron los expertos en privacidad. Más allá de las amenazas a la seguridad – entre 2015 y 2021 Experian informó múltiples violaciones de datos. Usando datos personales para la venta y el marketing, las empresas pueden dirigirse a mercados y poblaciones en función de cuánto dinero pueden ganar, en lugar de qué pacientes tienen más probabilidades de beneficiarse de determinados medicamentos o dispositivos.

En un ejemplo muy destacado y especialmente atroz, Purdue Pharma utilizó datos de IMS (antecesor de IQVIA) en la década de 1990 para orientar las ventas de OxyContin, el analgésico que contribuyó a alimentar la crisis nacional de sobredosis y muertes por opiáceos. Purdue utilizó los datos de IMS sobre los patrones de prescripción para lanzar OxyContin en 1995. Y en los correos electrónicos revisados por STAT, los ejecutivos enfatizaron la importancia de utilizar los datos para alcanzar los objetivos financieros de la compañía.

Arthur Sackler, hermano mayor de Raymond y Mortimer Sackler fundadores de Purdue Pharma fue uno de los fundadores de IMS en la década de 1950 y se le atribuye el mérito de haber revolucionado la comercialización de productos farmacéuticos a los médicos. Los tres hermanos compraron en 1952 una pequeña empresa farmacéutica (Perdue-Frederick). Al igual que ahora, la estrategia consistía en recopilar toda la información posible sobre los médicos y los pacientes para elaborar los mensajes con más probabilidades de tener repercusión y de generar más recetas. A la muerte de Arthur en 1987, los hermanos crearon Purdue Pharma.

Hoy en día tenemos datos mucho más precisos, y gracias a la publicidad digital se puede seguir a las personas hasta los sitios web que visitan y sus perfiles en las redes sociales. Las empresas que venden productos médicos pueden ahora generar mensajes especiales que tienen en cuenta las circunstancias vitales y las preferencias personales del receptor.

“Al fin y al cabo, todo es capitalismo de vigilancia”, afirma Eric Perakslis, director científico y digital de la Facultad de Medicina de la Universidad de Duke, coautor de un estudio reciente sobre estas prácticas. “Los datos se vuelven tan poderosos, ya sea para dirigir los anuncios a personas enfermas o a subconjuntos de médicos más propensos a hacer algo”.

Y dada la disponibilidad de la información personal en línea, también resulta mucho más fácil cruzar la información desidentificada con otras fuentes para localizar a las personas. Sweeney, la experta en reidentificación, ha expuesto repetidamente las vulnerabilidades de las técnicas de desidentificación en trabajos publicados desde mediados de los años noventa. En un ejemplo famoso, identificó al ex gobernador de Massachusetts, William Weld, en un conjunto de datos de servicios de salud, emparejando datos desidentificados con información disponible públicamente en un registro electoral local.

La posibilidad de eludir la desidentificación puede generar una serie de “daños ocultos” para los individuos, dijo, incluyendo la vergüenza, la discriminación y la pérdida financiera. “Hay personas que se han visto perjudicadas cuando el empleador conoce demasiados detalles sobre su historial médico personal”, dijo Sweeney. “Si tienes un empleado que está elevando mucho tus costes de atención en salud, tienes un incentivo financiero para averiguar quién es ese empleado y deshacerte de él”.

Cuando los empleados de IQVIA plantearon su preocupación por los datos de Experian y la brecha en las evaluaciones de privacidad, la empresa pareció tomárselo en serio. Los ejecutivos comenzaron a idear un plan a principios de 2016 para obtener una nueva evaluación de una empresa externa. Pero hay dudas sobre la independencia de la revisión.

Un correo electrónico indicaba que los ejecutivos habían discutido el uso de una empresa con sede en Canadá conocida como Privacy Analytics, señalando que la empresa había sido “muy complaciente” en proyectos anteriores y mostró “gran consideración por nuestras necesidades desde una perspectiva empresarial”. En 2011, el fundador de la empresa, Khaled El Emam, fue coautor de un documento legal en apoyo de IMS en un caso que se discutía en el Tribunal Supremo de EE UU que finalmente anuló una ley de Vermont que pretendía prohibir el seguimiento y la venta de datos de los prescriptores sin consentimiento.

En 2016, la relación entre las dos empresas se estrechó aún más. IQVIA compró la empresa, que proporciona servicios de anonimización de datos a clientes del sector salud y a otras empresas.