Sicurezza e privacy
Il Garante per la protezione dei dati personali ha sanzionato IQVIA Solutions Italy S.r.l. per 7 milioni di euro. Lo ha reso noto l’Autorità con un comunicato stampa del 2 ottobre 2026. Al centro del provvedimento c’è una banca dati con informazioni sulla salute di un milione di pazienti seguiti da 800 medici di medicina generale, che per l’Autorità non erano anonime come la società sosteneva.
Che cosa ha fatto IQVIA e come è partita l’istruttoria
Secondo il Garante privacy, la società fa parte di un gruppo multinazionale attivo nell’analisi dei dati sanitari e nella ricerca clinica. Aveva costituito una banca dati con informazioni sanitarie di un milione di pazienti, usata per studi commissionati anche da aziende farmaceutiche.
Il provvedimento, il n. 710 del 23 settembre 2026, chiude un’istruttoria nata da accertamenti ispettivi svolti ad aprile 2025. All’istruttoria è stato riunito il procedimento su una violazione di dati personali notificata dalla stessa società.
Perché per il Garante i dati non erano anonimi
Secondo l’Autorità, il punto decisivo è il codice associato a ciascun paziente: permetteva di seguirlo nel tempo. Combinato con un patrimonio informativo molto dettagliato, rendeva possibile isolare i singoli pazienti e reidentificarli con mezzi ragionevoli.
I dati comprendevano:
- anno di nascita e sesso;
- diagnosi e sintomi;
- prescrizioni ed esami;
- vaccinazioni;
- dati di localizzazione.
L’Autorità ha inoltre ritenuto IQVIA titolare del trattamento fin dalla raccolta dei dati presso i medici.
Le violazioni contestate
Il Garante privacy elenca diverse mancanze. La società ha trattato dati sulla salute senza un’idonea base giuridica e senza informare adeguatamente i pazienti. Non ha definito i tempi di conservazione: i dati risalivano fino al 2001. Il Garante contesta inoltre:
- nessuna valutazione d’impatto;
- misure di sicurezza non adeguate;
- presenza nella banca dati di informazioni identificative (nomi, codici fiscali, indirizzi, recapiti) di oltre 3.300 pazienti, di cui più di 3.000 insieme a dati sulla salute.
Cosa deve fare ora la società
Entro 120 giorni IQVIA dovrà adeguare il trattamento, se intende proseguire l’attività, attenendosi alle prescrizioni dell’Autorità. In alternativa, l’anonimizzazione dovrà essere effettuata autonomamente dai medici, secondo le garanzie indicate dal Garante.
Come è stata calcolata la sanzione
Nel quantificare l’importo, l’Autorità ha considerato il numero di pazienti coinvolti e la natura dei dati trattati. Ha tenuto conto anche del fatto che i medici hanno smesso di inviare i dati a partire dal 2023 e della collaborazione prestata dalla società durante il procedimento.
