Il Garante per la protezione dei dati personali ha sanzionato Iqvia Solutions Italy S.r.l. per 7 milioni di euro per il trattamento illecito di dati sanitari relativi a circa un milione di pazienti di 800 medici di medicina generale. La società, parte di un gruppo multinazionale attivo nell’analisi dei dati sanitari e nella ricerca clinica, aveva costituito una banca dati utilizzata per studi commissionati anche da aziende farmaceutiche.
Il provvedimento è arrivato al termine di un’istruttoria avviata dopo accertamenti ispettivi svolti nell’aprile 2025, alla quale è stato riunito anche il procedimento relativo a una violazione di dati personali notificata dalla stessa società. Secondo il Garante i dati trattati da Iqvia non potevano essere considerati anonimi, contrariamente a quanto sostenuto dalla società.
Il codice associato a ciascun paziente consentiva infatti di seguirne le informazioni nel tempo. A questo si aggiungeva un patrimonio di dati particolarmente dettagliato: anno di nascita, sesso, diagnosi, sintomi, prescrizioni, esami, vaccinazioni e informazioni sulla localizzazione. Un insieme di informazioni che, secondo l’Autorità, rendeva possibile isolare i singoli pazienti e, con mezzi ragionevoli, reidentificarli.
Il Garante ha inoltre ritenuto Iqvia titolare del trattamento fin dalla raccolta dei dati presso i medici. La società, rileva l’Autorità, ha trattato dati relativi alla salute senza un’idonea base giuridica e senza fornire ai pazienti un’informativa adeguata. Tra le violazioni contestate anche la mancata definizione dei tempi di conservazione: nella banca dati erano presenti informazioni risalenti al 2001. Iqvia, inoltre, non avrebbe effettuato la valutazione d’impatto sulla protezione dei dati e non avrebbe adottato misure di sicurezza adeguate.
Nella banca dati erano confluite anche informazioni direttamente identificative, tra cui nomi, codici fiscali, indirizzi e recapiti, relative a oltre 3.300 pazienti. Per più di 3.000 di questi, tali informazioni erano associate anche a dati sulla salute. Entro 120 giorni la società dovrà adeguare il trattamento alle prescrizioni del Garante, qualora intenda proseguire l’attività. In alternativa l’anonimizzazione dovrà essere effettuata autonomamente dai medici, secondo le garanzie indicate dall’Autorità.
Nel quantificare la sanzione, il Garante ha tenuto conto del numero di pazienti coinvolti, della natura dei dati trattati, della cessazione del loro invio da parte dei medici a partire dal 2023 e della collaborazione prestata dalla società durante il procedimento.
La risposta di Iqvia
Dal canto suo, Iqvia fa sapere di prendere atto della decisione adottata dall’Autorità Garante per la protezione dei dati personali e “si riserva il diritto di presentare ricorso“. La società precisa che il dataset in questione “non viene utilizzato nello svolgimento dei servizi di ricerca clinica e non è correlato alla conduzione di studi clinici per conto degli sponsor”.
“Abbiamo collaborato in modo costruttivo con il Garante per la protezione dei dati personali nel corso dell’intero procedimento – sottolinea la società – e abbiamo intrapreso iniziative volte all’adozione delle misure necessarie per assicurare il pieno allineamento alle indicazioni fornite dall’Autorità. Il Garante per la protezione dei dati personali ha riconosciuto il valore scientifico della banca dati ai fini della ricerca. Restiamo impegnati a garantire i più elevati standard di protezione dei dati, continuando al contempo a supportare attività di ricerca e innovazione fondamentali per il progresso della salute pubblica e il beneficio dei pazienti”, conclude Iqvia.
*Articolo aggiornato