Ordinanza ingiunzione o revoca n. 710 del 23/09/2026

Sanzione a IQVIA per il trattamento di dati sanitari nel database LPD

Il provvedimento del 23 settembre 2026 riguarda IQVIA Solutions Italy s.r.l. e il progetto Health Search, attraverso il quale venivano raccolti dati dei pazienti di un panel di circa 800 medici di medicina generale (MMG) per alimentare il database LPD e realizzare studi e analisi. L’istruttoria è nata da accertamenti ispettivi ed è stata integrata dall’esame della notifica di una violazione di dati personali presentata da IQVIA ai sensi dell’art. 33 GDPR.

Progetto e flussi di dati

I dati venivano estratti dai gestionali dei medici attraverso un add-on e trasferiti a IQVIA. La Società sosteneva che i dati fossero anonimizzati prima della trasmissione, grazie alla rimozione degli identificativi diretti e all’assegnazione di un Pat ID; invocava inoltre la separazione della chiave di ricongiunzione e l’impossibilità per IQVIA di accedere ai sistemi dei medici. Il database conteneva tuttavia dati clinici longitudinali, tra cui diagnosi, prescrizioni, visite, esami e altri attributi personali.

Il Garante ha ricostruito i rapporti tra IQVIA, SIMG, MMG e la società fornitrice del software. I contratti mostravano che IQVIA era proprietaria del database LPD, forniva istruzioni alla società XX sul processo di anonimizzazione e metteva a disposizione dei medici software e add-on, a fronte dell’impegno ad alimentare il database. L’add-on era presentato come strumento di anonimizzazione, ma non ha impedito il trasferimento di informazioni personali contenute nei campi a testo libero.

Titolare del trattamento e qualificazione dei dati

In base agli artt. 4, nn. 7 e 8, 24 e 28 GDPR e alle Linee guida CEPD 07/2020, il Garante ha ritenuto che IQVIA non fosse un mero partner tecnologico o finanziario. La Società determinava la finalità di costituire e alimentare il proprio database e aveva un’influenza sui mezzi del trattamento, anche attraverso la scelta di continuare a utilizzare l’add-on, i rapporti contrattuali con i MMG e le istruzioni impartite al fornitore del software. È stata quindi considerata titolare dell’insieme delle operazioni, sin dalla raccolta dei dati presso i medici; il ruolo degli altri soggetti coinvolti non esclude tale qualificazione.

Il Garante ha distinto anonimizzazione e pseudonimizzazione. Ai sensi dell’art. 4, n. 5, e del considerando 26 GDPR, i dati pseudonimizzati rimangono dati personali quando possono essere ricondotti a una persona con informazioni aggiuntive o altri mezzi ragionevolmente disponibili. Il provvedimento richiama il parere WP29 05/2014 sulle tecniche di anonimizzazione, le Linee guida CEPD 01/2025 sulla pseudonimizzazione (nella versione posta in consultazione) e le Linee guida CEPD 02/2026 sull’anonimizzazione, adottate il 7 luglio 2026 in consultazione pubblica. Sono richiamati i rischi di singling out, linkability e inference e la necessità di valutare il contesto e i mezzi concretamente disponibili.

Il Garante ha inoltre esaminato la sentenza della CGUE del 4 settembre 2025, causa C-413/23 (sentenza SRB). Ha ritenuto che la valutazione relativa al destinatario di dati pseudonimizzati dipenda dalle circostanze del caso e non sia automatica. Nel caso di IQVIA, la Società non era un semplice destinatario: aveva partecipato alla definizione del trattamento e delle misure di anonimizzazione. Inoltre, l’identificativo persistente consentiva di seguire nel tempo la storia clinica del paziente e la varietà dei dati e degli attributi, anche in combinazione con fonti esterne, rendeva possibile isolare gli interessati. Gli assessment basati anche sulla k-anonymity non sono stati ritenuti sufficienti: la k-anonymity applicata ai soli quasi-identificatori non elimina la singolarità che può derivare da diagnosi, sequenze di ricoveri o pattern di prescrizioni; neppure l’hashing del Pat ID rimuove il collegamento univoco tra record riferiti allo stesso paziente.

Liceità, trasparenza e dati sulla salute

Il Garante ha accertato che IQVIA trattava dati personali, comprese categorie particolari di dati relativi alla salute, senza un’idonea base giuridica, in violazione degli artt. 5, par. 1, lett. a), e 9 GDPR. Anche il processo di anonimizzazione costituisce trattamento di dati personali e richiede una base giuridica. Il contratto tra IQVIA e i MMG non era sufficiente, perché i pazienti non ne erano parte e i loro dati ne costituivano l’oggetto; inoltre, non risultava applicabile una delle condizioni di cui all’art. 9, par. 2 GDPR. In particolare, non era stato raccolto il consenso esplicito degli interessati.

La Società non aveva fornito un’informativa adeguata ai pazienti, ritenendo erroneamente di trattare dati anonimi e che il trattamento ricadesse sui MMG. L’obbligo contrattuale dei medici di informare i pazienti circa l’anonimizzazione non sostituiva gli obblighi informativi del titolare e l’informativa non conteneva tutti gli elementi richiesti dall’art. 13 GDPR. Il Garante ha quindi accertato la violazione anche degli artt. 5, par. 1, lett. a), e 13 GDPR.

Conservazione e ruoli dei soggetti

La Società non disponeva di una procedura idonea per la cancellazione dei dati e aveva dichiarato che non era a conoscenza di una specifica policy applicabile al database. La policy prodotta riguardava principalmente documenti amministrativi, fiscali e legali e conteneva un richiamo generico alla conservazione per il tempo necessario. Poiché IQVIA aveva dichiarato che per gli studi non venivano normalmente utilizzati dati più risalenti di dieci anni, il Garante ha ritenuto accertata la violazione dell’art. 5, par. 1, lett. e), GDPR per la mancata definizione di procedure di cancellazione coerenti con le finalità.

Il Garante ha inoltre rilevato che i MMG non erano stati nominati responsabili del trattamento ai sensi dell’art. 28 GDPR, benché trasmettessero i dati nell’ambito dell’iniziativa determinata da IQVIA. Secondo l’Autorità, nell’operazione di asserita anonimizzazione i medici non decidevano autonomamente finalità e mezzi: restavano titolari per le attività assistenziali, ma non per il trattamento funzionale al progetto di IQVIA.

Violazione dei dati e sicurezza

La notifica di data breach ha riguardato dati personali direttamente identificativi — tra cui nome, cognome, data di nascita, codice fiscale, indirizzo, e-mail e telefono — di 3.370 pazienti; per 3.080 pazienti erano coinvolti anche dati relativi alla salute. I dati erano stati trasmessi a IQVIA nei giorni feriali durante il periodo indicato nella notifica e successivamente inoltrati alla SIMG. Su richiesta di IQVIA, la SIMG ha rimosso i dati identificativi dai file in suo possesso.

Il problema è derivato dal fatto che l’add-on non aveva impedito l’estrazione di informazioni inserite dai medici nei campi a testo libero. Il Garante ha ritenuto che IQVIA non avesse commissionato o verificato misure adeguate per evitare l’estrazione di tali campi, né avesse predisposto controlli ex post idonei a rilevarne la presenza nel database. Sono state accertate violazioni del principio di integrità e riservatezza e degli obblighi di sicurezza di cui agli artt. 5, par. 1, lett. f), e 32 GDPR, oltre alle violazioni degli obblighi di liceità e trasparenza connesse alla comunicazione dei dati alla SIMG.

Responsabilizzazione, privacy by design e DPIA

Il Garante ha rilevato carenze nella documentazione e nella verifica dell’efficacia delle misure, nella definizione dei ruoli, nella gestione della conservazione e nei controlli sul software e sul database. IQVIA aveva fatto affidamento su assessment esterni senza svolgere verifiche sufficienti e misurabili sul rischio di re-identificazione e sulla presenza di campi liberi, pur trattando dati su larga scala e di natura particolarmente delicata. Le omissioni hanno determinato la violazione degli artt. 5, par. 2, e 25 GDPR, in materia di responsabilizzazione e protezione dei dati fin dalla progettazione e per impostazione predefinita. Il provvedimento richiama anche le Linee guida CEPD 4/2019 sull’art. 25 GDPR.

La DPIA non era stata completata, nonostante il trattamento, avviato nel 2015, riguardasse dati sensibili e interessati vulnerabili quali i pazienti e potesse presentare anche caratteristiche di larga scala e impiego di soluzioni tecnologiche. Il Garante ha quindi accertato la violazione dell’art. 35 GDPR, richiamando le Linee guida WP248rev.01 del 4 aprile 2017, modificate il 4 ottobre 2017. L’art. 36 GDPR è richiamato quanto alla consultazione preventiva dell’Autorità nei casi in cui la DPIA evidenzi un rischio elevato non sufficientemente mitigato.

Misure correttive e condizioni per la prosecuzione

Ai sensi dell’art. 58, par. 2, lett. d), GDPR, se IQVIA intende proseguire il trattamento nei termini e con le modalità esaminate deve:

• individuare un’idonea base giuridica per il trattamento dei dati dei pazienti, compresa l’eventuale anonimizzazione;
• adempiere agli obblighi informativi verso i pazienti ai sensi dell’art. 13 GDPR;
• completare la valutazione d’impatto ai sensi dell’art. 35 GDPR;
• nominare i MMG responsabili del trattamento ai sensi dell’art. 28 GDPR.

In alternativa, il processo di anonimizzazione deve essere svolto dai MMG nel rispetto della normativa, inclusi base giuridica e obblighi informativi. Il provvedimento specifica inoltre le condizioni tecniche da rispettare:

• IQVIA non deve determinare le modalità di pseudonimizzazione. I medici, quali mittenti, devono scegliere gli attributi da pseudonimizzare e applicare meccanismi di codifica con elemento casuale di adeguata complessità, documentati e non riconducibili a schemi prevedibili o reversibili mediante mezzi ragionevolmente disponibili;
• IQVIA e i mittenti possono individuare preventivamente i quasi-identificatori e le tecniche di generalizzazione o trasformazione, ma le classi di equivalenza devono avere una numerosità non inferiore a 10 unità;
• le variabili residue non pseudonimizzate né incluse nelle classi di equivalenza devono essere valutate rispetto alla loro osservabilità e misurabilità da parte di IQVIA. Se possono contribuire all’identificazione, devono essere incluse tra i quasi-identificatori con classi di almeno 10 unità, trattate con elaborazione distribuita — ad esempio secure multiparty computation o tecniche equivalenti — che impedisca a IQVIA di acquisire il dato originario completo e in chiaro, oppure rimosse;
• se IQVIA comunica a terzi i dati ricevuti, deve applicare, quale mittente della nuova comunicazione, le medesime prescrizioni previste per i MMG.

IQVIA deve comunicare al Garante, con riscontro adeguatamente documentato, le iniziative adottate entro 120 giorni dalla notifica del provvedimento. Il mancato riscontro può comportare la sanzione prevista dall’art. 83, par. 5, lett. e), GDPR.

Sanzione e conseguenze

Il Garante ha dichiarato illecito il trattamento per violazione degli artt. 5, par. 1, lett. a), e) e f), par. 2, 9, 13, 25, 28, 32 e 35 GDPR. Considerata l’unicità della condotta e l’art. 83, par. 3, GDPR, il limite applicabile è quello previsto per le violazioni più gravi dall’art. 83, par. 5: fino a 20 milioni di euro o, per le imprese, fino al 4% del fatturato mondiale totale annuo dell’esercizio precedente, se superiore.

Per determinare il massimo edittale, il Garante ha considerato IQVIA Solutions Italy parte dell’unica entità economica IQVIA Holdings Inc., controllante al 100%, e ha fatto riferimento al fatturato dell’ultimo bilancio consolidato disponibile della controllante, richiamando l’art. 101 TFUE, il considerando 150 GDPR, la giurisprudenza della CGUE del 10 settembre 2009, causa C-97/08, e le Linee guida CEPD 4/2022 sul calcolo delle sanzioni, adottate il 24 maggio 2023.

Ai sensi dell’art. 83, par. 2, GDPR, sono stati considerati la gravità e la durata delle violazioni, il numero elevato di interessati, la natura dei dati e il carattere colposo della condotta. Tra gli elementi attenuanti figurano gli assessment sul rischio di re-identificazione, la sospensione dei flussi da parte dei MMG, le misure rafforzate di pseudonimizzazione, l’assenza di precedenti violazioni pertinenti e di reclami o segnalazioni, nonché la cooperazione con l’Autorità. Applicando i criteri di effettività, proporzionalità e dissuasività di cui all’art. 83, par. 1, GDPR, il Garante ha irrogato una sanzione di 7.000.000 euro.

È ordinata la pubblicazione dell’ordinanza sul sito del Garante ai sensi dell’art. 166, comma 7, del Codice e dell’art. 16 del regolamento del Garante n. 1/2019; è inoltre disposta la pubblicazione del provvedimento ai sensi dell’art. 154-bis, comma 3, del Codice. In caso di mancata definizione della controversia ai sensi dell’art. 166, comma 8, del Codice, la sanzione deve essere pagata entro 30 giorni dalla notificazione, con possibili atti esecutivi ai sensi dell’art. 27 della legge n. 689/1981. Resta possibile la definizione pagando la metà della sanzione entro il termine previsto dall’art. 10, comma 3, del d.lgs. n. 150/2011. L’opposizione giudiziale può essere proposta entro 30 giorni dalla comunicazione del provvedimento, o 60 giorni per chi risiede all’estero, ai sensi dell’art. 78 GDPR, dell’art. 152 del Codice e dell’art. 10 del d.lgs. n. 150/2011.