Garante privacy, 7 milioni a IQVIA: quando i dati «anonimi» non lo sono

Il 2 ottobre 2026 il Garante per la protezione dei dati personali ha comunicato di aver sanzionato IQVIA Solutions Italy per 7 milioni di euro, con il provvedimento n. 710 del 23 settembre. La società, che analizza dati sanitari e fa ricerca clinica, aveva costruito una banca dati con informazioni sulla salute di circa un milione di pazienti di 800 medici di famiglia, usata anche per studi commissionati da aziende farmaceutiche. Per il Garante quei dati non erano anonimi, come sosteneva l'azienda. La notizia è stata ripresa da Sky TG24 e analizzata da Cybersecurity360.

Perché quei dati non erano anonimi?

Ogni paziente era associato a un codice al posto del nome. Ma quel codice restava lo stesso nel tempo, quindi permetteva di seguire la stessa persona attraverso anni di visite. E accanto al codice c'era moltissimo: anno di nascita, sesso, diagnosi, sintomi, prescrizioni, esami, vaccinazioni e perfino dati di localizzazione.

Messi insieme, spiega il Garante, questi elementi rendevano possibile isolare i singoli pazienti e, con mezzi ragionevoli, risalire alla loro identità. In termini tecnici erano dati pseudonimizzati, non anonimi: e i dati pseudonimizzati restano dati personali, con tutte le regole del GDPR.

Nella banca dati, inoltre, erano finite anche informazioni identificative vere e proprie (nomi, codici fiscali, indirizzi, recapiti) di oltre 3.300 pazienti, più di 3.000 dei quali insieme ai dati sulla salute.

Quali altre violazioni ha contestato il Garante?

Secondo il comunicato, IQVIA:

• era titolare del trattamento fin dalla raccolta dei dati presso i medici, e non un semplice destinatario;
• trattava dati sulla salute senza una base giuridica adeguata e senza informare i pazienti;
• non aveva stabilito per quanto tempo conservarli: alcuni risalivano al 2001;
• non aveva fatto la valutazione d'impatto (DPIA) né adottato misure di sicurezza adeguate.

La società ha 120 giorni per adeguarsi, se vuole proseguire l'attività. In alternativa, l'anonimizzazione dovrà essere fatta direttamente dai medici, con le garanzie indicate dall'Autorità. Secondo quanto riportato dalla stampa, IQVIA si è riservata di presentare ricorso.

Cosa insegna a una piccola impresa?

Il caso riguarda una multinazionale e dati sanitari, ma il principio vale per tutti: togliere il nome non rende anonimo un dato. Succede ogni giorno anche nelle aziende piccole:

• l'export dei clienti "senza nomi" mandato al consulente, con codice cliente, città, data di nascita e storico acquisti;
• il gestionale che invia statistiche "anonime" al fornitore del software;
• il file dei pazienti di uno studio medico o di un centro estetico usato per fare analisi o campagne.

Se dai dati si può risalire alla persona, combinandoli fra loro o con altre informazioni, sono dati personali. Servono una base giuridica, un'informativa chiara, tempi di conservazione definiti e misure di sicurezza adeguate.

Cosa fare adesso?

1. Fai l'elenco dei dati che escono dall'azienda: export, report, invii a consulenti e fornitori, integrazioni fra software.
2. Per ognuno chiediti se, con le colonne presenti, si potrebbe risalire a una persona. Se sì, trattalo come dato personale.
3. Togli i dettagli non necessari: spesso basta la fascia d'età invece della data di nascita, la provincia invece dell'indirizzo, un totale invece dello storico.
4. Fissa i tempi di conservazione e cancella quello che non serve più.
5. Verifica i ruoli con i fornitori che ricevono i dati: chi è titolare, chi è responsabile, cosa possono farne.

Il tema si collega a come è costruito il software: ne parlo nella guida su GDPR e gestionale aziendale.

Ne parliamo?

Quando sviluppo un gestionale su misura o una dashboard di report, decido con il cliente quali dati servono davvero, chi li vede e per quanto tempo si tengono. È molto più facile farlo all'inizio che sistemarlo dopo. Se lavori nel settore salute e benessere o tratti comunque dati delicati, scrivimi dalla pagina contatti.

Fonti

• Dati sanitari: il Garante privacy sanziona IQVIA per 7 milioni di euro (Garante privacy, comunicato del 2 ottobre 2026)
• IQVIA, 7 milioni di multa: il Garante spiega quando un dato sanitario è davvero anonimo (Cybersecurity360)
• Iqvia Italia, multa da 7 mln dal Garante della Privacy (Sky TG24)

Crediti delle immagini

• Copertina: foto di Tara Winstead su Pexels