Garante Privacy: multa da 7 milioni a Iqvia per trattamento illecito di dati sanitari

Secondo l'Autorità, la società avrebbe trattato senza adeguate garanzie informazioni sanitarie riferite a circa un milione di pazienti, contestando l'assenza di una valida base giuridica, carenze nelle misure di sicurezza e il rischio di reidentificazione degli interessati.

Il Garante per la protezione dei dati personali ha inflitto una sanzione da sette milioni di euro a Iqvia Solutions Italy S.r.l., società appartenente a un gruppo multinazionale specializzato nell'analisi dei dati sanitari e nella ricerca clinica. Secondo l'Autorità, l'azienda "aveva costituito una banca dati con informazioni sulla salute di un milione di pazienti di 800 medici di medicina generale, utilizzata per studi commissionati anche da aziende farmaceutiche". Il provvdimento è arrivato al termine di un'istruttoria avviata dopo accertamenti ispettivi svolti nell'aprile 2025, ai quali è stato successivamente unito il procedimento realativo a una violazione di dati personali notificata dalla stessa società.

Dati non anonimo e rischio reidentificazione

Il Garante ha respinto la tesi dell'azienda secondo cui le informazioni utilizzate sarebbero state anonimizzate. Secondo l'Autorità, "il codice associato a ciascun paziente consentiva, infatti, di seguirlo nel tempo. Unito a un patrimonio informativo molto dettagliato (anno di nascita, sesso, diagnosi, sintomi, prescrizioni, esami, vaccinazioni, oltre a dati di localizzazione) rendeva possibile isolare i singoli pazienti e, con mezzi ragionevoli, reidentificarli".

Le violazioni contestate

Per il Garante, Iqvia era titolare del trattamento fin dalla fase di raccolta dei dati presso i medici di medicina generale. L'Autorità contesta alla società di aver "trattato dati sulla salute senza un'idonea base giuridica e senza informare adeguatamente i pazienti. Non ha definito i tempi di conservazione: i dati risalivano fino al 2001. Non ha effettuato la valutazione d'impatto e non ha adottato misure di sicurezza adeguate. Nella banca dati sono confluite anche informazioni identificative (nomi, codici fiscali, indirizzi, recapiti) di oltre 3.300 pazienti, di cui più di 3.000 insieme a dati sulla salute".

I tempi di adeguamento

Il Garante ha disposto che la società, qualora intenda proseguire l'attività, adegui entro 120 giorni i trattamenti effettuati alle prescrizioni dell'Autorità. "In alternativa", conclude la nota, "l'anonimizzazione dovrà essere effettuata autonomamente dai medici, secondo le garanzie indicate dal Garante. Nel quantificare la sanzione, l'Autorità ha tenuto conto del numero di pazienti coinvolti, della natura dei dati trattati e della cessazione del loro invio da parte dei medici, a partire dal 2023, e della collaborazione prestata dalla società nel corso del procedimento".