Qué se ha decidido
El 23 de septiembre de 2026 la autoridad italiana adoptó la resolución n.º 710 contra IQVIA Solutions Italy S.r.l., hecha pública el 2 de octubre. La sanción es de siete millones de euros. La instrucción partió de inspecciones de abril de 2025. El archivo abarcaba cerca de un millón de pacientes de unos ochocientos médicos de familia y se usaba para estudios encargados en parte por empresas farmacéuticas. Además de la sanción, la Autoridad ordenó adecuar el tratamiento en ciento veinte días si la actividad continúa.
La defensa de la empresa fue la más común en este terreno: los datos son anónimos, luego el RGPD no se aplica. El razonamiento es correcto en la forma —el considerando 26 dice justamente que el reglamento no afecta a la información anónima— y casi siempre equivocado en los hechos. La cuestión no es si está el nombre: es si la persona puede volver a encontrarse.
La línea que separa anónimo de seudonimizado
En el archivo cada paciente tenía un código. No el nombre, un código. Pero ese código era estable: servía para seguir a la misma persona en el tiempo, porque es exactamente lo que un estudio longitudinal debe hacer. Un identificador que permite enlazar entre sí los datos de la misma persona no es una medida de anonimización: es la definición de seudonimización del art. 4.5. Y el dato seudonimizado sigue siendo un dato personal.
- El considerando 26 pide valorar los medios que razonablemente puedan utilizarse para identificar: coste, tiempo, tecnología disponible, no la imposibilidad absoluta.
- Un código estable por persona permite enlazar hechos en el tiempo, y eso es precisamente lo que hace el dato atribuible.
- Año de nacimiento, sexo, diagnósticos, prescripciones y una referencia territorial, juntos, reducen el grupo a poquísimas personas.
- Quien sostiene que un dato es anónimo debe poder demostrarlo, y la demostración es técnica: un análisis de reidentificación, no una frase en la información.
- Si el dato no es anónimo hacen falta base jurídica e información, y en datos de salud también una condición del art. 9.2.
La pregunta al proveedor, y la respuesta que no vale
Cuando un proveedor declara tratar «datos anónimos», la pregunta no es «¿son anónimos?» —dirá que sí—. La pregunta es: «¿el mismo paciente tiene el mismo código en dos extracciones separadas por seis meses?». Si la respuesta es sí, los datos no son anónimos, diga lo que diga el contrato. Es una pregunta técnica que se responde en treinta segundos, y separa una declaración de una verificación.
Está además la parte de quien está aguas arriba. Los datos venían de médicos de familia. Para un DPD que asiste a una consulta, un laboratorio o un centro sanitario, la pregunta de hoy es si alguno de sus datos acaba en archivos de investigación o de información comercial, con qué base jurídica, y si los pacientes lo saben. Que los trate un tercero no desplaza la responsabilidad de quien los recogió.
Qué llevarse, en concreto. La palabra «anónimo» en un contrato o en un registro de actividades no es una calificación jurídica: es una afirmación que hay que probar. Donde aparezca, conviene preguntarse tres cosas: quién lo verificó, con qué método y cuándo. Si faltan las tres respuestas, esa línea del registro describe un tratamiento que se cree fuera del RGPD y en cambio está dentro, con todo lo que eso implica.
Fuente oficial:Garante per la protezione dei dati personali — Datos de salud: siete millones de euros de sanción (2 de octubre de 2026)Fuente oficial:Cybersecurity360 — Cuándo un dato sanitario es realmente anónimoFuente oficial:Il Sole 24 Ore — Datos sanitarios, sanción de siete millones a IQVIA¿Buscas una herramienta para tu trabajo de DPD?
DPO Workspace está creado por un DPD certificado. 30 días de prueba gratuita.
Empieza gratis
