Che cosa è stato deciso
Il 23 settembre 2026 il Garante ha adottato il provvedimento n. 710 nei confronti di IQVIA Solutions Italy S.r.l., reso pubblico il 2 ottobre. La sanzione è di sette milioni di euro. L'istruttoria era partita da accertamenti ispettivi dell'aprile 2025. L'archivio riguardava circa un milione di pazienti di circa ottocento medici di medicina generale ed era usato per studi commissionati in parte da aziende farmaceutiche. Oltre alla sanzione, l'Autorità ha ordinato di conformare il trattamento entro centoventi giorni, se l'attività prosegue.
La difesa dell'azienda era la più comune che esista in questo campo: i dati sono anonimi, quindi il GDPR non si applica. È un ragionamento corretto nella forma — il considerando 26 dice proprio che il regolamento non riguarda le informazioni anonime — e sbagliato quasi sempre nei fatti. Il punto non è se il nome c'è o non c'è: è se la persona si può ritrovare.
La riga che separa anonimo da pseudonimizzato
Nell'archivio ogni paziente aveva un codice. Non il nome, un codice. Ma quel codice era stabile: serviva a seguire la stessa persona nel tempo, perché è esattamente quello che uno studio longitudinale deve fare. Un identificatore che permette di collegare fra loro i dati della stessa persona non è una misura di anonimizzazione: è la definizione di pseudonimizzazione dell'art. 4, punto 5. E il dato pseudonimizzato resta un dato personale.
- Il considerando 26 chiede di valutare i mezzi ragionevolmente utilizzabili per identificare: costo, tempo, tecnologia disponibile, non l'impossibilità assoluta.
- Un codice stabile per persona permette di collegare eventi nel tempo, ed è precisamente ciò che rende il dato attribuibile.
- Anno di nascita, sesso, diagnosi, prescrizioni e un riferimento territoriale, messi insieme, restringono la platea fino a pochissime persone.
- Chi sostiene che un dato è anonimo deve poterlo dimostrare, e la dimostrazione è tecnica: un'analisi di re-identificazione, non un'affermazione nell'informativa.
- Se il dato non è anonimo servono una base giuridica e un'informativa, e nel caso dei dati sanitari anche una condizione dell'art. 9, par. 2.
La domanda da fare al fornitore, e la risposta che non vale
Quando un fornitore dichiara di trattare «dati anonimi», la domanda non è «sono anonimi?» — risponderà di sì. La domanda è: «lo stesso paziente, in due estrazioni diverse a sei mesi di distanza, ha lo stesso codice?». Se la risposta è sì, i dati non sono anonimi, qualunque cosa dica il contratto. È una domanda tecnica a cui si risponde in trenta secondi, e distingue una dichiarazione da una verifica.
C'è poi la parte che riguarda chi sta a monte. I dati venivano dai medici di medicina generale. Per un DPO che assiste uno studio medico, un laboratorio o una struttura sanitaria, la domanda da porsi oggi è se qualcuno dei propri dati finisca in archivi di ricerca o di informazione commerciale, con quale base giuridica, e se i pazienti lo sappiano. Il fatto che a trattarli sia un terzo non sposta la responsabilità di chi li ha raccolti.
Che cosa portarsi via, in concreto. La parola «anonimo» in un contratto o in un registro dei trattamenti non è una qualificazione giuridica: è una dichiarazione che va provata. Dove compare, vale la pena chiedersi tre cose — chi l'ha verificata, con quale metodo, e quando. Se le tre risposte non ci sono, quella riga del registro descrive un trattamento che si crede fuori dal GDPR e invece ci sta dentro, con tutto quello che ne consegue.
Fonte ufficiale:Garante per la protezione dei dati personali — Dati sanitari: 7 milioni di euro di sanzione (2 ottobre 2026)Fonte ufficiale:Cybersecurity360 — Il Garante spiega quando un dato sanitario è davvero anonimoFonte ufficiale:Il Sole 24 Ore — Dati sanitari, sanzione a IQVIA per 7 milioni di euroStai cercando un gestionale per il tuo lavoro di DPO?
DPO Workspace e' costruito da un DPO certificato. 30 giorni di prova gratuita.
Inizia gratis
