Un’ampia indagine condotta dal Garante per la protezione dei dati personali ha rivelato che Iqvia Solutions Italy ha conservato e, involontariamente, esposto in chiaro informazioni sanitarie di più di un milione di pazienti, provenienti da 800 medici di medicina generale. I dati, raccolti sin dal 2001, comprendevano anno di nascita, sesso, diagnosi, prescrizioni, esami e vaccinazioni, tutti reperibili senza alcuna forma di anonimizzazione.
La violazione ha coinvolto anche dati identificativi – nome, codice fiscale, indirizzo e recapiti – di oltre 3.300 soggetti, dei quali più di 3.000 erano associati a informazioni sulla salute. La mancanza di una adeguata valutazione d’impatto e di misure di sicurezza ha spinto l’Autorità a considerare Iqvia il titolare del trattamento fin dal momento della raccolta presso i medici.
Dati sensibili esposti per più di un milione di pazienti
Nel dataset individuato, ogni codice paziente consentiva di tracciare il percorso sanitario lungo decenni, rendendo possibile la re-identificazione dei singoli individui con mezzi ragionevoli. Tra le informazioni divulgate vi erano: anno di nascita, genere, diagnosi specifiche, farmaci prescritti, esami effettuati e cicli vaccinali. Queste categorie, per loro natura, rientrano nella definizione di dati sensibili secondo il Regolamento UE sulla privacy.
Informazioni identificative di 3.300 soggetti
Oltre ai dati clinici, la banca dati conteneva nomi, codici fiscali, indirizzi di residenza e contatti telefonici di 3.300 pazienti. Per più di 3.000 di questi, le informazioni sanitarie erano collegate direttamente ai dati anagrafici, creando un profilo completo e potenzialmente vulnerabile a usi illeciti.
Il provvedimento del Garante e le ragioni della sanzione
Al termine di un’istruttoria avviata dopo gli accertamenti ispettivi dell’aprile 2025 il Garante ha inflitto a Iqvia una sanzione di 7 milioni di euro. La decisione si basa su più violazioni: trattamento di dati sanitari senza base giuridica, assenza di informativa adeguata ai pazienti, mancata definizione dei tempi di conservazione (i dati risalivano al 2001) e l’inesistenza di una valutazione d’impatto sulla protezione dei dati. Inoltre, l’azienda non ha adottato le misure di sicurezza richieste per tutelare i dati sensibili.
Obblighi di anonimizzazione entro 120 giorni
Il Garante ha stabilito che, se Iqvia intende proseguire l’attività, dispone di 120 giorni per adeguare il trattamento alle prescrizioni, in particolare garantendo l’anonimizzazione dei dati. In alternativa, la responsabilità di anonimizzare spetterà ai medici di famiglia, che dovranno farlo autonomamente secondo le linee guida indicate dall’Autorità.
Reazioni di Iqvia e posizione dei medici
Iqvia ha comunicato di prendere atto della decisione e di riservarsi il diritto di presentare ricorso. L’azienda sostiene che il dataset sanzionato non è impiegato nei propri servizi di ricerca clinica né è collegato a studi per sponsor, e afferma di aver collaborato in modo costruttivo con il Garante, adottando già alcune misure correttive.
Il presidente della Federazione degli Ordini dei Medici Chirurghi e degli Odontoiatri (Fnomceo), Filippo Anelli, ha chiarito che i medici non hanno responsabilità nella gestione dei dati, ma ha sottolineato la necessità che essi continuino a vigilare sul rispetto delle norme privacy. Anelli ha evidenziato che i pazienti non erano consapevoli della mancanza di oscuramento dei propri dati, rimarcando l’importanza di una maggiore trasparenza da parte delle aziende che trattano informazioni sanitari.
