Ricerca e cura

Dati sanitari

02 Ottobre 2026

---

Il Garante per la protezione dei dati personali ha sanzionato IQVIA Solutions Italy per 7 milioni di euro per il trattamento di informazioni sanitarie confluite in una banca dati relativa a circa un milione di pazienti di 800 medici di medicina generale. La banca dati veniva utilizzata per studi commissionati anche da aziende farmaceutiche.

Il provvedimento n. 710 del 23 settembre 2026 è stato adottato al termine di un’istruttoria avviata dopo accertamenti ispettivi svolti nell’aprile 2025. Al procedimento è stata riunita anche l’istruttoria relativa a una violazione di dati personali notificata dalla stessa società.

Secondo il Garante, i dati utilizzati non potevano essere considerati anonimi, come sostenuto dalla società. Il codice associato a ciascun paziente consentiva infatti di seguirlo nel tempo. A questo si aggiungeva un insieme dettagliato di informazioni, tra cui anno di nascita, sesso, diagnosi, sintomi, prescrizioni, esami, vaccinazioni e dati di localizzazione. Una combinazione che, secondo l’Autorità, permetteva di isolare i singoli pazienti e, con mezzi ragionevoli, di reidentificarli.

Il Garante ha inoltre ritenuto IQVIA titolare del trattamento fin dalla raccolta delle informazioni presso i medici. L’Autorità contesta alla società il trattamento di dati sulla salute senza un’idonea base giuridica e senza un’adeguata informazione ai pazienti. Rilevate anche la mancata definizione dei tempi di conservazione, con informazioni risalenti fino al 2001, l’assenza della valutazione d’impatto e misure di sicurezza giudicate non adeguate.

Nella banca dati erano confluite anche informazioni identificative, tra cui nomi, codici fiscali, indirizzi e recapiti, relative a oltre 3.300 pazienti. Per più di 3.000 persone questi elementi erano presenti insieme a dati sulla salute.

Entro 120 giorni IQVIA dovrà adeguare il trattamento alle prescrizioni dell’Autorità qualora intenda proseguire l’attività. In alternativa, secondo quanto stabilito dal Garante, l’anonimizzazione dovrà essere effettuata autonomamente dai medici, nel rispetto delle garanzie indicate nel provvedimento.

Nel determinare la sanzione, il Garante ha considerato il numero dei pazienti coinvolti, la natura delle informazioni trattate, la cessazione dell’invio dei dati da parte dei medici a partire dal 2023 e la collaborazione prestata dalla società durante il procedimento.