O que foi decidido
A 23 de setembro de 2026 a autoridade italiana adotou a deliberação n.º 710 contra a IQVIA Solutions Italy S.r.l., tornada pública a 2 de outubro. A coima é de sete milhões de euros. A instrução partiu de inspeções de abril de 2025. O ficheiro abrangia cerca de um milhão de doentes de cerca de oitocentos médicos de família e servia a estudos encomendados em parte por empresas farmacêuticas. Além da coima, a Autoridade ordenou conformar o tratamento no prazo de cento e vinte dias, caso a atividade prossiga.
A defesa da empresa foi a mais comum neste domínio: os dados são anónimos, logo o RGPD não se aplica. O raciocínio é correto na forma — o considerando 26 diz justamente que o regulamento não diz respeito a informação anónima — e quase sempre errado nos factos. A questão não é se o nome lá está: é se a pessoa pode voltar a ser encontrada.
A linha que separa anónimo de pseudonimizado
No ficheiro cada doente tinha um código. Não o nome, um código. Mas esse código era estável: servia para seguir a mesma pessoa ao longo do tempo, porque é exatamente o que um estudo longitudinal tem de fazer. Um identificador que permite ligar entre si os dados da mesma pessoa não é uma medida de anonimização: é a definição de pseudonimização do artigo 4.º, n.º 5. E o dado pseudonimizado continua a ser um dado pessoal.
- O considerando 26 pede que se avaliem os meios razoavelmente suscetíveis de serem utilizados para identificar: custo, tempo, tecnologia disponível, não a impossibilidade absoluta.
- Um código estável por pessoa permite ligar acontecimentos ao longo do tempo, e é precisamente isso que torna o dado atribuível.
- Ano de nascimento, sexo, diagnósticos, prescrições e uma referência territorial, em conjunto, reduzem o grupo a pouquíssimas pessoas.
- Quem sustenta que um dado é anónimo tem de o poder demonstrar, e a demonstração é técnica: uma análise de reidentificação, não uma frase na informação.
- Se o dado não for anónimo, são precisos fundamento de licitude e informação, e nos dados de saúde também uma condição do artigo 9.º, n.º 2.
A pergunta ao fornecedor, e a resposta que não vale
Quando um fornecedor declara tratar «dados anónimos», a pergunta não é «são anónimos?» — dirá que sim. A pergunta é: «o mesmo doente tem o mesmo código em duas extrações com seis meses de intervalo?». Se a resposta for sim, os dados não são anónimos, diga o que disser o contrato. É uma pergunta técnica que se responde em trinta segundos, e separa uma declaração de uma verificação.
Há depois o lado a montante. Os dados vinham de médicos de família. Para um encarregado que assiste um consultório, um laboratório ou uma unidade de saúde, a pergunta de hoje é se alguns dos seus dados acabam em ficheiros de investigação ou de informação comercial, com que fundamento, e se os doentes o sabem. O facto de ser um terceiro a tratá-los não desloca a responsabilidade de quem os recolheu.
O que levar daqui, em concreto. A palavra «anónimo» num contrato ou num registo de atividades não é uma qualificação jurídica: é uma afirmação que tem de ser provada. Onde aparecer, vale a pena perguntar três coisas — quem a verificou, com que método, e quando. Se faltarem as três respostas, aquela linha do registo descreve um tratamento que se julga fora do RGPD e que na verdade está dentro, com tudo o que daí decorre.
Fonte oficial:Garante per la protezione dei dati personali — Dados de saúde: sete milhões de euros de coima (2 de outubro de 2026)Fonte oficial:Cybersecurity360 — Quando um dado de saúde é realmente anónimoFonte oficial:Il Sole 24 Ore — Dados de saúde, sete milhões de coima à IQVIAProcura uma ferramenta para o seu trabalho de EPD?
O DPO Workspace foi construído por um DPO certificado. 30 dias de experiência gratuita.
Começar gratuitamente
