Dati sanitari anonimi: la multa da 7 milioni a IQVIA

Dati sanitari anonimi: è su queste tre parole, scritte nei contratti firmati da circa ottocento medici di famiglia, che si regge l'intera vicenda sanzionata il 2 ottobre 2026 dal Garante per la protezione dei dati personali. Con un comunicato del 2 ottobre l'Autorità ha inflitto a IQVIA Solutions Italy S.r.l. una multa da sette milioni di euro per una banca dati che raccoglieva le informazioni cliniche di oltre un milione di pazienti italiani. Secondo il Garante quelli non erano dati sanitari anonimi. E non lo erano, soprattutto, per costruzione.

Il provvedimento numero 710 del 23 settembre 2026, reso pubblico dieci giorni dopo, ricostruisce per oltre cento pagine come una banca dati presentata per vent'anni come un archivio di dati sanitari anonimi sia stata riqualificata come trattamento di dati personali. Relatrice la vicepresidente Ginevra Cerrina Feroni, collegio presieduto da Pasquale Stanzione. Le violazioni contestate riguardano nove disposizioni del Regolamento europeo sulla protezione dei dati: gli articoli 5, 9, 13, 25, 28, 32 e 35 del GDPR.

Dati sanitari anonimi: che cosa ha accertato il Garante

La società, controllata al cento per cento dalla statunitense IQVIA Holdings Inc., aveva costituito una banca dati interna denominata LPD, sigla di Longitudinal Patient Database. Quella banca dati era considerata dall'azienda un archivio di dati sanitari anonimi. Vi confluivano le informazioni raccolte dall'ordinaria attività ambulatoriale di circa ottocento medici di medicina generale, utilizzate poi per studi osservazionali retrospettivi commissionati dalle case farmaceutiche.

L'istruttoria nasce da accertamenti ispettivi svolti nell'aprile 2025. A essa è stato poi riunito un secondo procedimento, relativo a una violazione di dati personali che la società stessa aveva notificato. Tuttavia il cuore della contestazione non è un attacco informatico: è se si trattasse o meno di dati sanitari anonimi.

Qui serve una precisazione che diverse cronache hanno lasciato cadere. Il milione di pazienti non aveva i propri dati "in chiaro" nel senso comune del termine: nome e cognome non erano nel database. Quei dati erano pseudonimizzati, cioè sostituiti da un codice. Il Garante contesta che fossero dati sanitari anonimi perché restavano reidentificabili con mezzi ragionevoli. Sono due accuse diverse. Sostenere che non fossero dati sanitari anonimi è più grave che denunciare una fuga di informazioni, perché riguarda il metodo e non l'incidente.

Il codice che seguiva lo stesso paziente per venticinque anni

Il meccanismo tecnico è descritto nel dettaglio dal provvedimento. A ogni assistito veniva assegnato un "Pat ID", un identificativo universale a sedici byte rappresentato da una stringa di ventidue caratteri alfanumerici, generato in modo casuale e non visibile al medico. Come misura aggiuntiva, la data di nascita veniva troncata al primo giorno del mese.

Il punto, però, è che quel codice non cambiava mai. La società lo ha spiegato agli ispettori con una frase che il Garante cita testualmente: «il paziente è censito sempre con lo stesso Pat ID nel tempo, in quanto è necessario "seguirlo" longitudinalmente». Infatti la longitudinalità era la funzione stessa del database, non un suo effetto collaterale: ed è difficile definire dati sanitari anonimi un archivio progettato per riconoscere sempre la stessa persona.

Attorno a quel codice stabile si accumulava un patrimonio informativo che il provvedimento elenca senza sconti: anno di nascita, sesso, stato civile, numero di figli, categoria socio-professionale, date delle visite, diagnosi, sintomi, allergie, peso, altezza, prescrizioni farmacologiche, vaccinazioni, esami, certificati di malattia. In più, dati di localizzazione.

Una combinazione del genere, osserva l'Autorità, non resiste al test di individualizzazione. Anche le tecniche di k-anonymity adottate dalla società agivano solo su alcuni attributi, i cosiddetti quasi-identificatori, mentre l'unicità di un individuo può emergere da una sequenza di diagnosi o da uno schema di assunzione di farmaci. Quindi la protezione formale restava, nei fatti, aggirabile, e con essa la pretesa di trattare dati sanitari anonimi.

Dati sanitari anonimi e consenso: la clausola che reggeva tutto

Perché l'etichetta di dati sanitari anonimi contava tanto? Perché era esattamente ciò che rendeva superfluo chiedere il permesso a un milione di persone. Nel modello contrattuale proposto ai medici, citato nel provvedimento, si legge che la società aveva verificato «come la garanzia dell'assoluto anonimato dei dati che vengono ad essa trasmessi escluda la necessità che il Dottore acquisisca un esplicito consenso dei propri pazienti».

La formula dei dati sanitari anonimi non era quindi un dettaglio tecnico: era il perno dell'architettura legale. Se si tratta davvero di dati sanitari anonimi, il GDPR non si applica e nessuno deve essere informato né interpellato. Se invece sono personali, servono una base giuridica idonea e un'informativa adeguata. Il Garante ha accertato che mancavano entrambe.

Al paziente, intanto, veniva detto qualcosa di diverso. L'informativa che il medico era tenuto a consegnare prometteva che «i dati personali saranno resi anonimi con tecniche di anonimizzazione che garantiscano la piena riservatezza delle informazioni». Il presidente della Federazione degli Ordini dei Medici, Filippo Anelli, ha commentato all'ANSA che i «pazienti non sapevano che i loro dati non erano stati oscurati», escludendo responsabilità in capo ai medici.

Il software gratuito ai medici e il ruolo della SIMG

Il progetto ha una storia lunga e rispettabile. Nasce come Health Search, iniziativa della Società Italiana di Medicina Generale e delle cure primarie e dell'omonima associazione, pensata per valorizzare il patrimonio informativo della medicina di famiglia. Non disponendo di mezzi propri, la SIMG cedette il database in versione embrionale al gruppo francese Cegedim; da lì passò a IMS Health e infine, nel 2015, a IQVIA.

Il provvedimento rende esplicito anche lo scambio economico. Al medico veniva concesso «a titolo gratuito» il programma gestionale, con i relativi servizi, e insieme l'add-on che estraeva i dati e li trasmetteva alla società. Software gratis in cambio del flusso clinico dei propri assistiti, nel presupposto che diventassero dati sanitari anonimi: è il modello che il Garante ha smontato.

C'è poi la questione della conservazione. Gli ispettori hanno accertato che i record più antichi risalivano al 2001 e che la società non conosceva alcuna procedura di cancellazione, pur avendo dichiarato che per le finalità di ricerca bastano dieci anni di storico. Venticinque anni di dati, dunque, per un'esigenza dichiarata di dieci: un archivio che nessun limite temporale governava, nemmeno nell'ipotesi di dati sanitari anonimi.

Il Garante ha inoltre contestato l'assetto dei ruoli. Nei contratti i medici figuravano come titolari autonomi del trattamento, ma secondo l'Autorità non lo erano, non decidendo nulla su finalità e mezzi: andavano nominati responsabili ai sensi dell'articolo 28. Questa lettura, che riprende il percorso tracciato anche dai decreti attuativi italiani sull'intelligenza artificiale in materia di dati clinici pseudonimizzati, sposta l'intera responsabilità a monte, sulla società.

Chi certificava che i dati sanitari anonimi fossero davvero tali

Per sostenere la natura di dati sanitari anonimi la società aveva prodotto due valutazioni sul rischio di reidentificazione. Erano state elaborate da Privacy Analytics. Che, come il provvedimento annota, è «società del Gruppo IQVIA Holdings INC».

L'Autorità ha comunque riconosciuto quelle verifiche come circostanza attenuante, perché dimostrano che il tema era stato affrontato. Resta però il dato di struttura: la perizia che qualificava quei record come dati sanitari anonimi proveniva dallo stesso gruppo che li trattava.

Quanto ai tremila e passa pazienti finiti davvero "in chiaro", il numero esatto è 3.370, di cui 3.080 con dati sulla salute, e tutti sono stati comunicati alla SIMG. Erano finiti lì perché i medici avevano digitato nomi e codici fiscali nei campi a testo libero dell'add-on. La società se n'è accorta — e lo ha notificato — soltanto dopo le ispezioni del Garante.

Cinque milioni a Parigi, sette a Roma

L'Italia non è arrivata per prima. Il 26 maggio 2026 la francese CNIL aveva sanzionato IQVIA per cinque milioni di euro su un impianto analogo, e il provvedimento italiano la cita espressamente fra i propri precedenti. Anche a Parigi la società si riservò di impugnare; anche a Roma, come riportato da Sky TG24, ha fatto sapere di «riservarsi il diritto di presentare ricorso», precisando che il dataset «non viene utilizzato da Iqvia nello svolgimento dei servizi di ricerca clinica».

Due autorità nazionali, quattro mesi di distanza, stessa contestazione di fondo: che cosa si può chiamare dati sanitari anonimi e che cosa no. La cifra italiana è però superiore del quaranta per cento. Il massimo edittale, peraltro, è stato calcolato sul fatturato consolidato della capogruppo americana e non su quello della controllata italiana: le due società, per il Garante, costituiscono un'unica entità economica.

Classi di equivalenza da dieci: il Garante fissa un numero

La parte più destinata a durare è però l'ultima, perché dice come si producono davvero dati sanitari anonimi. Se IQVIA vorrà proseguire, entro centoventi giorni dovrà individuare una base giuridica, informare i pazienti, svolgere la valutazione d'impatto mai completata dal 2015 e nominare i medici responsabili del trattamento. In alternativa, l'anonimizzazione dovrà essere svolta dai medici stessi.

E in quel caso valgono tre prescrizioni molto concrete. La società non potrà determinare le modalità di pseudonimizzazione, che spetteranno ai medici. Le classi di equivalenza dovranno avere una numerosità «non inferiore a 10 unità». Infine le variabili residue osservabili dovranno rientrare nei quasi-identificatori oppure essere trattate con protocolli di secure multiparty computation, che impediscono di ricostruire il dato originario per intero.

È la prima volta che l'Autorità italiana scrive una soglia numerica di questo tipo come condizione per ottenere dati sanitari anonimi. Per chiunque gestisca archivi clinici in Italia — e il tema tocca da vicino le regole in materia di diritto e protezione dei dati — il provvedimento vale perciò ben oltre i sette milioni di sanzione: stabilisce che chi può seguire una persona nel tempo non sta maneggiando dati sanitari anonimi, per quanto bene ne abbia nascosto il nome.