Garante Privacy sanziona IQVIA Solutions Italy per 7 milioni di euro per trattamento illecito di dati sanitari

Contesto

Il Garante Privacy italiano ha condotto un'indagine su IQVIA Solutions Italy S.r.l., parte di un gruppo multinazionale attivo nell'analisi di dati sanitari e nella ricerca clinica. L'indagine si è concentrata su un database contenente informazioni sanitarie relative a circa un milione di pazienti di 800 medici di base, utilizzato anche per studi commissionati da aziende farmaceutiche. L'accertamento, scaturito da ispezioni condotte nell'aprile 2025, è stato unito a un procedimento riguardante un data breach notificato dalla stessa IQVIA.

L'Autorità ha riscontrato che i dati non erano anonimi come sostenuto da IQVIA. Un identificatore persistente assegnato a ciascun paziente permetteva il tracciamento nel tempo e, combinato con informazioni dettagliate (anno di nascita, sesso, diagnosi, sintomi, prescrizioni, esami, vaccinazioni e dati di localizzazione), rendeva possibile l'identificazione e la potenziale re-identificazione degli interessati con mezzi ragionevolmente disponibili. IQVIA, in qualità di titolare del trattamento, ha trattato i dati sanitari senza una base giuridica appropriata, senza fornire informazioni adeguate ai pazienti, senza stabilire periodi di conservazione idonei, senza condurre una valutazione d'impatto sulla protezione dei dati e senza implementare misure di sicurezza adeguate. Il database conteneva anche informazioni direttamente identificative per circa 3.370 pazienti, inclusi dati sanitari per circa 3.080 di essi.

Perché conta

Il trattamento illecito di dati sanitari di circa un milione di pazienti può comportare sanzioni amministrative elevate, come i 7 milioni di euro inflitti a IQVIA Solutions Italy S.r.l. Le organizzazioni che trattano dati di categoria speciale devono garantire una base giuridica appropriata, fornire informazioni complete agli interessati ed eseguire una valutazione d'impatto sulla protezione dei dati (DPIA) per evitare multe severe. È cruciale verificare l'efficacia dei processi di anonimizzazione e delle misure di sicurezza adottate, o si rischia di dover ristrutturare le operazioni entro termini perentori, oltre alla sanzione.

Cosa fare

• Identificare una base giuridica appropriata per il trattamento dei dati sanitari.
• Adempiere agli obblighi di informazione verso i pazienti.
• Effettuare una valutazione d'impatto sulla protezione dei dati (DPIA).
• Nominare i medici di base come responsabili del trattamento, se si intende proseguire il trattamento.
• Realizzare il processo di anonimizzazione in modo indipendente da parte dei medici di base, seguendo le garanzie specificate dall'Autorità, in alternativa alla conformità.

Cosa evitare

• Affermare l'anonimizzazione dei dati quando un identificatore persistente e altre informazioni permettono la re-identificazione degli interessati.
• Non stabilire periodi di conservazione appropriati per i dati sanitari.
• Omettere la conduzione di una valutazione d'impatto sulla protezione dei dati (DPIA) quando il trattamento presenta un rischio elevato.

Implicazioni pratiche

Le organizzazioni del settore sanitario e della ricerca che analizzano grandi volumi di dati di pazienti devono affrontare la complessità della gestione di informazioni sensibili. Il caso evidenzia che tecniche come la pseudonimizzazione possono non bastare per definire i dati come anonimi se la re-identificazione è fattibile con mezzi ragionevoli. La piena responsabilità del titolare del trattamento richiede una verifica continua della legalità del trattamento, delle informative fornite agli interessati e dell'adeguatezza delle misure di sicurezza e delle DPIA.

Errori da evitare

• Confidare nell'anonimizzazione dichiarata senza una verifica tecnica accurata sulla possibilità di re-identificazione.
• Sottovalutare l'importanza di una base giuridica esplicita e documentata per il trattamento di dati di categoria speciale.
• Trascurare l'implementazione di misure di sicurezza adeguate per la protezione dei dati sanitari, specialmente in caso di database complessi.

Domande di self-assessment

• I dati sanitari che trattiamo sono davvero anonimi secondo i principi del GDPR, o c'è un rischio di re-identificazione con mezzi ragionevoli?
• Abbiamo una base giuridica valida e documentata per ogni trattamento di dati di categoria speciale, come i dati sanitari?
• Le nostre informative sulla privacy sono chiare, complete e fornite in modo adeguato a tutti gli interessati, specialmente ai pazienti?
• Abbiamo condotto le Valutazioni d'Impatto sulla Protezione dei Dati (DPIA) per tutti i trattamenti ad alto rischio e implementato le mitigazioni necessarie?

Riferimenti

Normativa nazionale: GDPR Art. 5 (Principi applicabili al trattamento di dati personali) · GDPR Art. 9 (Trattamento di categorie particolari di dati personali) · GDPR Art. 13 (Informazioni da fornire qualora i dati personali siano raccolti presso l'interessato) · GDPR Art. 25 (Protezione dei dati fin dalla progettazione e per impostazione predefinita) · GDPR Art. 28 (Responsabile del trattamento) · GDPR Art. 35 (Valutazione d'impatto sulla protezione dei dati)