TL;DR per il DPO
Due lezioni, entrambe applicabili domani mattina. La prima: se il software di un fornitore invia i dati comunque, il rifiuto raccolto allo sportello non esiste - e la violazione e' dell'art. 25, non dell'art. 6. La seconda: dichiarare 'i dati sono anonimi' non toglie un trattamento dal GDPR se resta una chiave di riassociazione da qualche parte.
I due archivi
IQVIA Operations France svolge attivita' di consulenza e studi per conto di laboratori farmaceutici. Per farlo si appoggia a due archivi di dati sanitari: LRX, autorizzato nel 2018, alimentato con dati raccolti presso circa 14.000 farmacie, ed EMR, autorizzato nel 2021, alimentato con dati raccolti presso diverse migliaia di medici. Sono numeri che spiegano l'importo: non e' la gravita' del singolo trattamento, e' la scala.
Il rifiuto che non arrivava a destinazione
La contestazione piu' concreta riguarda il funzionamento del software gestionale installato nelle farmacie: trasmetteva i dati dei clienti a IQVIA anche quando il cliente si era opposto. La CNIL la qualifica come violazione dell'art. 25, protezione dei dati fin dalla progettazione.
Perche' l'art. 25 e non l'art. 6
La distinzione non e' formale. Se il problema fosse la base giuridica, si correggerebbe cambiando l'informativa o raccogliendo un consenso. Qui il problema e' che il sistema non era stato progettato per rispettare la scelta della persona: la funzione di rifiuto esisteva sulla carta e non produceva effetti nel flusso dati. Nessuna informativa migliore avrebbe sanato quel difetto.
E' il tipo di difetto che un DPO non trova leggendo le procedure, perche' le procedure dicono che il rifiuto viene rispettato. Si trova solo chiedendo: cosa succede tecnicamente quando l'operatore spunta 'il paziente si oppone'? Dove va quel flag? Chi lo legge?
Anonimi o pseudonimi
IQVIA ha sostenuto che i dati contenuti negli archivi fossero anonimi e quindi fuori dall'ambito di applicazione del GDPR. La CNIL ha respinto l'argomento: i dati sono pseudonimi, non anonimi. E' la stessa linea di faglia che ha attraversato il caso olandese di Enschede il mese scorso, con esito opposto: li' l'autorita' ha perso perche' non aveva dimostrato la riconducibilita', qui il titolare ha perso perche' ha affermato l'anonimato senza reggerne l'onere.
Cosa fare adesso, in pratica
1) Per ogni cliente che dichiara di trattare dati anonimi, chiedi dove sta la chiave di riassociazione. Se esiste da qualche parte - anche presso un terzo, anche 'solo per il supporto tecnico' - il dato e' pseudonimo e il GDPR si applica per intero. 2) Verifica i flussi di rifiuto e opposizione a livello tecnico, non documentale: fai una prova con un caso reale e segui il dato. 3) Se il cliente usa un gestionale verticale fornito da terzi, l'art. 25 grava comunque su di lui come titolare: chiedi al fornitore la documentazione di come e' implementata l'opposizione, e mettila agli atti. 4) Gli archivi di dati sanitari autorizzati anni fa vanno riesaminati: un'autorizzazione del 2018 non copre come il sistema funziona nel 2026.
Stai cercando un gestionale per il tuo lavoro di DPO?
DPO Workspace e' costruito da un DPO certificato. 30 giorni di prova gratuita.
Inizia gratis
