Dati sanitari non anonimi: il Garante multa IQVIA per 7 milioni

Il Garante per la protezione dei dati personali ha sanzionato IQVIA Solutions Italy S.r.l. con una multa di 7 milioni di euro per il trattamento illecito di dati sanitari relativi a circa un milione di pazienti. Come riporta Diritto.it, la società appartiene a un gruppo multinazionale attivo nell'analisi dei dati sanitari e nella ricerca clinica.

Al centro della vicenda c'è una banca dati, denominata LPD (Longitudinal Patient Database), alimentata con informazioni raccolte presso 800 medici di medicina generale e utilizzata anche per studi commissionati da aziende farmaceutiche. Il provvedimento numero 710 del 23 settembre 2026 è scaturito da un'ispezione condotta dall'Autorità nell'aprile 2025, alla quale è stato poi riunito un secondo procedimento relativo a una violazione di dati personali che la stessa IQVIA aveva notificato.

Il nodo centrale della contestazione riguarda la natura dei dati raccolti: anno di nascita, sesso, diagnosi, sintomi, prescrizioni, esami, vaccinazioni e localizzazione dei pazienti, ciascuno associato a un codice identificativo. Secondo il Garante, questo insieme di informazioni, pur presentato dall'azienda come anonimo, permetteva in realtà di isolare i singoli pazienti e di reidentificarli con mezzi ragionevoli: si trattava quindi soltanto di pseudonimizzazione, non di vera anonimizzazione. Il codice associato a ciascun assistito ne consentiva infatti il tracciamento nel tempo.

L'Autorità ha stabilito che IQVIA debba essere considerata titolare del trattamento fin dal momento della raccolta dei dati presso i medici di famiglia, contestando anche la mancata designazione dei camici bianchi come responsabili del trattamento per questa specifica iniziativa. Sono state inoltre riscontrate carenze sulla base giuridica utilizzata per il trattamento di dati così delicati, sull'informativa fornita ai pazienti, sulla valutazione d'impatto (DPIA) che avrebbe dovuto precedere l'operazione e sulle misure di sicurezza adottate. Il Garante ha inoltre rilevato che l'azienda non aveva definito tempi di conservazione: alcuni dati risalivano fino al 2001.

Il provvedimento dispone che, entro 120 giorni, la società debba adeguare il trattamento alle prescrizioni dell'Autorità qualora intenda proseguire l'attività. In alternativa, l'anonimizzazione dei dati dovrà essere effettuata autonomamente dai medici di famiglia, secondo le garanzie indicate dal Garante, che ha anche stabilito che non sarà più IQVIA a determinare le modalità di pseudonimizzazione.

Nel fissare l'importo della sanzione, il Garante ha tenuto conto del numero elevato di pazienti coinvolti e della particolare natura sensibile dei dati trattati, ma anche di elementi attenuanti come la cessazione, a partire dal 2023, dell'invio dei dati da parte dei medici e la collaborazione prestata dall'azienda nel corso dell'istruttoria. Dopo la decisione è arrivata la replica di IQVIA Italia, che ha preso atto del provvedimento riservandosi il diritto di presentare ricorso e precisando che il database in questione non viene utilizzato nello svolgimento dei servizi di ricerca clinica per gli sponsor.