TL;DR
Com a deliberação n.º 710, de 23 de setembro de 2026, comunicada a 2 de outubro, o Garante italiano aplicou à IQVIA Solutions Italy uma coima de 7 milhões de euros. A base de dados alimentada pelo software de cerca de 800 médicos de família continha a história clínica de cerca de um milhão de doentes. Não era anónima: cada doente tinha um código estável que permitia segui-lo no tempo. A IQVIA foi considerada responsável desde a recolha. Infrações: fundamento jurídico e condição do art. 9.º, informação, conservação (dados desde 2001), falta de designação dos médicos como subcontratantes, ausência de AIPD, segurança. 120 dias para se adequar; a empresa reserva-se o direito de recorrer.
O que aconteceu
Um módulo instalado no software de gestão dos consultórios extraía os dados dos doentes e enviava-os para a base de dados da empresa: ano de nascimento, sexo, estado civil, consultas, diagnósticos, sintomas, alergias, peso, prescrições, vacinas, exames, certificados de incapacidade e dados de localização. Em troca, os médicos recebiam a assinatura do software. Os dados alimentavam estudos observacionais encomendados por farmacêuticas e entregues de forma agregada. As inspeções decorreram em abril de 2025. Entretanto, a empresa notificou uma violação: em campos de texto livre tinham ficado nomes, números fiscais e contactos de 3 370 doentes, 3 080 deles juntamente com dados de saúde.
Porque os dados não eram anónimos
- O CÓDIGO ESTÁVEL. Cada doente mantinha o mesmo identificador durante toda a recolha: servia precisamente para o seguir no tempo. É a condição que permite isolar uma pessoa num grupo, o primeiro dos três critérios da anonimização.
- A k-ANONIMIDADE NÃO CHEGA. A restrição incidia apenas sobre os quase-identificadores. Mas uma sequência de diagnósticos, internamentos e medicamentos observada ao longo de anos é ela própria um identificador: classes de equivalência amplas não servem se o resto do registo for único.
- O HASH NÃO ELIMINA A UNICIDADE. Cifrar o código torna a identidade ilegível, mas mantém a associação unívoca entre um registo e uma pessoa: é feito precisamente para isso.
- NÃO UM SIMPLES DESTINATÁRIO. O acórdão SRB do Tribunal de Justiça (C-413/23, 4 de setembro de 2025) diz que dados pseudonimizados podem não ser pessoais para quem os recebe sem poder remover as medidas. A IQVIA tinha concebido essas medidas: era responsável desde a recolha, e basta a capacidade de reidentificar por meios razoáveis.
Anonimizar é tratar
É o ponto que vale para todos. A anonimização é um tratamento de dados pessoais e exige fundamento jurídico. O contrato com os médicos não o podia ser para os doentes, que dele não eram parte; para os dados de saúde era ainda necessária uma condição do art. 9.º, e não havia. A informação, delegada nos médicos, não continha os elementos do art. 13.º. E os médicos, que não decidiam finalidades nem meios da operação, deviam ter sido designados subcontratantes nos termos do art. 28.º: o Garante constatou também essa infração.
As outras infrações e a coima
Nenhum prazo de conservação: os dados mais antigos eram de 2001, embora a empresa afirmasse que os estudos não precisam de dados com mais de dez anos; a política apresentada dizia respeito a documentação administrativa e fiscal. Sem avaliação de impacto, com medidas de segurança inadequadas. A empresa tem 120 dias para adequar o tratamento se quiser continuar; caso contrário, a anonimização terá de ser feita pelos próprios médicos, com as garantias fixadas pelo Garante. No montante pesaram o número de doentes e a natureza dos dados, mas também a cessação dos envios desde 2023 e a colaboração. A 26 de maio de 2026 a CNIL tinha aplicado 5 milhões à sociedade francesa do grupo, com a mesma conclusão: pseudonimizado não quer dizer anónimo.
O que significa para um EPD
Cinco verificações
Primeira: qualquer conjunto de dados que o cliente chame «anónimo» deve ser analisado quanto a duas coisas — um identificador estável e um conteúdo rico. Se existirem ambos, está pseudonimizado e entra no registo como tratamento de dados pessoais. Segunda: quem concebe a anonimização é o seu responsável e precisa de fundamento jurídico, com o art. 9.º para dados de saúde. Terceira: os campos de texto livre são por onde escapam os nomes; devem ser testados com dados reais antes da extração. Quarta: também as bases de investigação precisam de um prazo de conservação escrito. Quinta: dados de saúde em grande escala exigem AIPD antes, não depois. No DPO Workspace um tratamento com categorias especiais e sem condição do art. 9.º não pode ser ativado.
Procura uma ferramenta para o seu trabalho de EPD?
O DPO Workspace foi construído por um DPO certificado. 30 dias de experiência gratuita.
Começar gratuitamente
