TL;DR
Con la resolución n.º 710 de 23 de septiembre de 2026, comunicada el 2 de octubre, el Garante italiano multó a IQVIA Solutions Italy con 7 millones de euros. La base de datos alimentada por los programas de unos 800 médicos de familia contenía la historia clínica de cerca de un millón de pacientes. No era anónima: cada paciente tenía un código estable que permitía seguirlo en el tiempo. IQVIA fue considerada responsable desde la recogida. Infracciones: base jurídica y condición del art. 9, información, conservación (datos desde 2001), falta de designación de los médicos como encargados, ausencia de EIPD, seguridad. 120 días para adecuarse; la empresa se reserva el recurso.
Qué ocurrió
Un complemento instalado en el programa de gestión de las consultas extraía los datos de los pacientes y los enviaba a la base de datos de la empresa: año de nacimiento, sexo, estado civil, visitas, diagnósticos, síntomas, alergias, peso, prescripciones, vacunas, pruebas, bajas médicas y datos de localización. A cambio, los médicos recibían la suscripción al programa. Los datos alimentaban estudios observacionales encargados por farmacéuticas y entregados de forma agregada. Las inspecciones fueron en abril de 2025. Entretanto, la empresa notificó una violación: en campos de texto libre habían acabado nombres, códigos fiscales y contactos de 3.370 pacientes, de 3.080 de ellos junto con datos de salud.
Por qué los datos no eran anónimos
- EL CÓDIGO ESTABLE. Cada paciente conservaba el mismo identificador durante toda la recogida: servía precisamente para seguirlo en el tiempo. Es la condición que permite singularizar a una persona dentro de un grupo, el primero de los tres criterios de la anonimización.
- LA k-ANONIMIDAD NO BASTA. La restricción solo actuaba sobre los cuasiidentificadores. Pero una secuencia de diagnósticos, ingresos y fármacos observada durante años es en sí un identificador: clases de equivalencia amplias no sirven si el resto del registro es único.
- EL HASH NO ELIMINA LA UNICIDAD. Cifrar el código hace ilegible la identidad, pero mantiene intacta la asociación unívoca entre un registro y una persona: está hecho precisamente para eso.
- NO UN SIMPLE DESTINATARIO. La sentencia SRB del Tribunal de Justicia (C-413/23, 4 de septiembre de 2025) dice que los datos seudonimizados pueden no ser personales para quien los recibe sin poder eliminar las medidas. IQVIA había diseñado esas medidas: era responsable desde la recogida, y basta la capacidad de reidentificar con medios razonables.
Anonimizar es tratar
Es el punto que vale para todos. La anonimización es un tratamiento de datos personales y necesita una base jurídica. El contrato con los médicos no podía serlo para los pacientes, que no eran parte; para los datos de salud hacía falta además una condición del art. 9, y no la había. La información, delegada en los médicos, no recogía los elementos del art. 13. Y los médicos, que no decidían fines ni medios de la operación, debían haber sido designados encargados conforme al art. 28: el Garante constató también esa infracción.
Las demás infracciones y la multa
Ningún plazo de conservación: los datos más antiguos eran de 2001, aunque la empresa afirmaba que los estudios no necesitan datos de más de diez años; la política aportada se refería a documentación administrativa y fiscal. Sin evaluación de impacto y con medidas de seguridad inadecuadas. La empresa tiene 120 días para adecuar el tratamiento si quiere continuar; si no, la anonimización deberán hacerla los propios médicos, con las garantías fijadas por el Garante. En la cuantía pesaron el número de pacientes y la naturaleza de los datos, pero también el cese de los envíos desde 2023 y la colaboración. El 26 de mayo de 2026 la CNIL había multado con 5 millones a la filial francesa del grupo, con la misma conclusión: seudonimizado no es anónimo.
Qué significa para un DPD
Cinco comprobaciones
Primera: cualquier conjunto de datos que el cliente llame «anónimo» debe examinarse buscando dos cosas — un identificador estable y un contenido rico. Si están ambas, está seudonimizado y va al registro como tratamiento de datos personales. Segunda: quien diseña la anonimización es su responsable y necesita base jurídica, con el art. 9 para datos de salud. Tercera: los campos de texto libre son por donde se escapan los nombres; hay que probarlos con datos reales antes de extraer. Cuarta: también las bases de investigación necesitan un plazo de conservación escrito. Quinta: datos de salud a gran escala exigen una EIPD antes, no después. En DPO Workspace un tratamiento con categorías especiales y sin condición del art. 9 no se puede activar.
¿Buscas una herramienta para tu trabajo de DPD?
DPO Workspace está creado por un DPD certificado. 30 días de prueba gratuita.
Empieza gratis
