In questo articolo3
Ascolta
Voce del browser e privacy
Parte solo quando premi Ascolta. Alcune voci possono usare un servizio online. La nuova velocità può applicarsi dal passaggio successivo. Il testo non viene tradotto.
La sanzione
Il Garante per la protezione dei dati personali (GPDP) ha multato IQVIA per 7 milioni di euro (circa 7,8 milioni di dollari) per pratiche di trattamento dati inadeguate che avrebbero potuto esporre circa un milione di pazienti a rischio di de-anonimizzazione. IQVIA è una multinazionale che fornisce analisi di dati sanitari, tecnologia e servizi di ricerca clinica, operando in oltre 100 paesi e gestendo 68 petabyte di dati e 1,2 miliardi di record di pazienti.
L'indagine dell'autorità italiana è iniziata nell'aprile 2025 e il mese scorso ha portato alla decisione finale. Il Garante ha stabilito che IQVIA non ha fornito garanzie adeguate di anonimizzazione dei dati sanitari, nonostante le sue affermazioni.
I problemi riscontrati
La divisione italiana di IQVIA aveva creato un database con le informazioni sanitarie di circa un milione di pazienti, aggregando dati provenienti da 800 medici di base. Sebbene l'azienda avesse usato un codice univoco al posto dei nomi, il Garante ha rilevato che i dati potevano essere utilizzati per tracciare e de-anonimizzare i pazienti nel tempo.
Il codice associato a ciascun paziente permetteva di seguirli nel tempo. Combinato con un set di informazioni molto dettagliato (anno di nascita, sesso, diagnosi, sintomi, prescrizioni, test, vaccinazioni e dati di localizzazione), era possibile individuare singoli pazienti e reidentificarli con mezzi ragionevoli.
Inoltre, IQVIA ha trattato i dati senza una base giuridica appropriata e senza informare i pazienti, violando il GDPR. L'azienda non ha nemmeno stabilito o seguito periodi di conservazione dei dati, con record risalenti fino al 2001. Per un sottoinsieme di 3.300 pazienti, il database includeva anche nomi, codici fiscali, indirizzi e recapiti.
La risposta di IQVIA
Oltre alla multa, l'autorità ha ordinato a IQVIA di adeguare le proprie pratiche entro 120 giorni. In una dichiarazione, l'azienda ha affermato di essere impegnata nell'uso responsabile dei dati e di continuare a cooperare con l'autorità, sottolineando di mantenere solide salvaguardie, inclusa la pseudonimizzazione e la crittografia.
IQVIA ha riconosciuto la decisione del Garante e si riserva il diritto di ricorrere. L'azienda ha precisato che il dataset oggetto della decisione non è utilizzato per i servizi di ricerca clinica e non riguarda le sperimentazioni cliniche per conto degli sponsor. Ha inoltre dichiarato di aver già adottato misure per allinearsi alle indicazioni dell'autorità.
