Il Garante per la protezione dei dati personali ha inflitto una sanzione di 7 milioni di euro a IQVIA Solutions Italia, azienda che si occupa di analisi avanzate, soluzioni tecnologiche e servizi di ricerca clinica. L’autorità ha accertato gravi violazioni del GDPR (Regolamento generale sula protezione dei dati), tra cui il trattamento illegale dei dati sanitari di circa un milione di pazienti.
Dati sanitari non anonimi
IQVIA ha sottoscritto un contratto con SMIG (Società Italiana di Medicina Generale e delle Cure Primarie) che prevede la raccolta dei dati dei pazienti di circa 800 Medici di Medicina Generale (MMG), aderenti a SMIG. I dati raccolti presso i MMG confluiscono in un database di IQVIA, denominato Longitudinal Patient Data (LPD), dal quale IQVIA estrae informazioni inviate a SMIG.
IQVIA si impegna ad eliminare i dati personali dei pazienti (nome, cognome, data di nascita, codice fiscale, indirizzo postale, indirizzo email e numero di telefono) prima di inviare i dati a SMIG. Ad ogni paziente viene associato un codice identificativo che, in teoria, dovrebbe garantire la privacy.
Il Garante ha invece accertato che i dati non erano anonimi, come sostenuto dalla società, in quanto il suddetto codice consentiva di seguire i pazienti nel tempo.
Unito ad un patrimonio informativo molto dettagliato (anno di nascita, sesso, diagnosi, sintomi, prescrizioni, esami, vaccinazioni, oltre a dati di localizzazione) rendeva possibile isolare i singoli pazienti e, con mezzi ragionevoli, reidentificarli.
Nella banca dati sono confluiti anche informazioni identificative (nomi, codici fiscali, indirizzi, recapiti) di oltre 3.300 pazienti, di cui più di 3.000 insieme a dati sulla salute. L’autorità sottolinea che IQVIA ha trattato dati sanitari senza un’idonea base giuridica e senza informare adeguatamente i pazienti, non ha definito i tempi di conservazione (c’erano dati del 2001), non ha effettuato la valutazione d’impatto e non ha adottato misure di sicurezza adeguate.
Per quanto detto, il Garante ha inflitto una sanzione di 7 milioni di euro. La società dovrà inoltre effettuare l’anonimizzazione dei dati entro 120 giorni e implementare altre misure correttive. Un portavoce di IQVIA ha dichiarato che rispetta la privacy e che potrebbe essere presentato ricorso.
Ti potrebbe interessare
6 ott 2026