Dati sanitari, il Garante della privacy sanziona Iqvia per 7 milioni di euro
Il Garante per la protezione dei dati personali ha inflitto una sanzione di 7 milioni di euro a Iqvia Solutions Italy S.r.l., parte di un gruppo multinazionale specializzato nell'analisi dei dati sanitari e nella ricerca clinica. La società aveva creato una banca dati contenente informazioni sulla salute di un milione di pazienti, raccolte da 800 medici di medicina generale, utilizzata per studi commissionati anche da aziende farmaceutiche.
Il provvedimento è scaturito da un'istruttoria avviata dopo accertamenti ispettivi condotti ad aprile 2025, che hanno incluso un procedimento relativo a una violazione di dati personali segnalata dalla stessa azienda. Secondo il Garante, i dati non erano anonimi come sostenuto da Iqvia; il codice associato a ciascun paziente permetteva di seguirlo nel tempo, e insieme a informazioni dettagliate come anno di nascita, sesso, diagnosi e prescrizioni, consentiva di identificare i singoli pazienti.
L'Autorità ha stabilito che Iqvia fosse titolare del trattamento dei dati fin dalla raccolta, evidenziando che la società ha trattato informazioni sanitarie senza una base giuridica adeguata e senza informare correttamente i pazienti. Inoltre, non sono stati definiti i tempi di conservazione dei dati, alcuni dei quali risalivano fino al 2001, e non è stata effettuata una valutazione d'impatto né adottate misure di sicurezza appropriate.
Entro 120 giorni, Iqvia dovrà adeguare il trattamento dei dati per poter continuare l'attività, oppure i medici dovranno procedere autonomamente all'anonimizzazione, seguendo le indicazioni del Garante. La sanzione tiene conto del numero di pazienti coinvolti, della natura dei dati trattati e della cessazione dell'invio dei dati da parte dei medici a partire dal 2023, nonché della collaborazione della società durante il procedimento.
