TL;DR
Con il provvedimento n. 710 del 23 settembre 2026, comunicato il 2 ottobre, il Garante ha sanzionato IQVIA Solutions Italy per 7 milioni di euro. La banca dati alimentata dai gestionali di circa 800 medici di medicina generale conteneva la storia clinica di circa un milione di pazienti. Non era anonima: ogni paziente aveva un codice stabile che ne permetteva il monitoraggio nel tempo. IQVIA è stata considerata titolare fin dalla raccolta. Violazioni accertate: base giuridica e condizione dell'art. 9, informativa, conservazione (dati dal 2001), mancata nomina dei medici come responsabili, assenza di DPIA, sicurezza. Ci sono 120 giorni per adeguarsi; la società ha annunciato che si riserva il ricorso.
Che cosa è successo
Un componente aggiuntivo installato nel software di gestione degli studi medici estraeva i dati dei pazienti e li inviava alla banca dati della società: anno di nascita, sesso, stato civile, visite, diagnosi, sintomi, allergie, peso, prescrizioni, vaccini, esami, certificati di malattia, oltre a dati di localizzazione. I medici ricevevano in cambio l'abbonamento al gestionale. I dati servivano a studi osservazionali richiesti dalle aziende farmaceutiche, consegnati in forma aggregata. Le ispezioni risalgono ad aprile 2025. Nel frattempo la società ha notificato una violazione: in campi a testo libero erano finiti nomi, codici fiscali e recapiti di 3.370 pazienti, per 3.080 dei quali insieme a dati sulla salute.
Perché i dati non erano anonimi
- IL CODICE STABILE. Ogni paziente aveva lo stesso identificativo per tutta la durata della raccolta: serviva proprio a seguirlo nel tempo. È la condizione che permette di isolare una persona in un gruppo, il primo dei tre criteri dell'anonimizzazione.
- LA k-ANONIMITÀ NON BASTA. Il vincolo agiva solo sugli attributi quasi identificativi. Ma una sequenza di diagnosi, ricoveri e farmaci osservata per anni è essa stessa un identificativo: classi di equivalenza ampie non servono se il resto del record è unico.
- L'HASH NON TOGLIE L'UNICITÀ. Cifrare il codice rende illeggibile l'identità, ma mantiene intatta l'associazione univoca fra un record e una persona: è costruito apposta per farlo.
- NON UN SEMPLICE DESTINATARIO. La sentenza SRB della Corte di giustizia (C-413/23, 4 settembre 2025) dice che dati pseudonimizzati possono non essere personali per chi li riceve senza poter rimuovere le misure. IQVIA quelle misure le aveva progettate: era titolare fin dalla raccolta, e basta la capacità di reidentificare con mezzi ragionevoli.
Anonimizzare è un trattamento
È il punto che vale per tutti. L'anonimizzazione è un trattamento di dati personali e richiede una base giuridica. Il contratto con i medici non poteva esserlo per i pazienti, che non ne erano parte; per i dati sanitari serviva anche una condizione dell'art. 9, e non c'era. L'informativa, delegata ai medici, non conteneva gli elementi dell'art. 13. E i medici, che non decidevano finalità e mezzi dell'operazione, andavano nominati responsabili ex art. 28: il Garante ha accertato anche questa violazione.
Le altre violazioni e la sanzione
Nessun termine di conservazione: i dati più vecchi risalivano al 2001, mentre la società dichiarava che per gli studi non servono dati con più di dieci anni; la policy prodotta riguardava documenti amministrativi e fiscali. Nessuna valutazione d'impatto, misure di sicurezza inadeguate. La società ha 120 giorni per adeguare il trattamento, se vuole proseguire; in alternativa l'anonimizzazione dovrà essere fatta dai medici, con le garanzie indicate dal Garante. Nel quantificare l'importo hanno pesato il numero di pazienti e la natura dei dati, ma anche lo stop agli invii dal 2023 e la collaborazione. Il 26 maggio 2026 la CNIL aveva sanzionato per 5 milioni la società francese del gruppo, arrivando alla stessa conclusione: pseudonimizzati non vuol dire anonimi.
Che cosa vuol dire per chi fa il DPO
Cinque controlli
Primo: ogni insieme di dati che il cliente chiama «anonimo» va guardato per due cose — un identificativo stabile e un contenuto ricco. Se ci sono entrambe, è pseudonimizzato e va nel registro come trattamento di dati personali. Secondo: chi progetta l'anonimizzazione ne è titolare, e serve una base giuridica, con l'art. 9 per i dati sanitari. Terzo: i campi a testo libero sono il punto da cui escono i nomi; vanno provati sui dati veri prima dell'estrazione. Quarto: anche le banche dati di ricerca hanno bisogno di un termine di conservazione scritto. Quinto: dati sanitari su larga scala vogliono una DPIA prima, non dopo. In DPO Workspace un trattamento con categorie particolari e senza condizione dell'art. 9 non si attiva.
Stai cercando un gestionale per il tuo lavoro di DPO?
DPO Workspace e' costruito da un DPO certificato. 30 giorni di prova gratuita.
Inizia gratis
