Il Garante per la protezione dei dati personali ha chiuso una delle istruttorie più pesanti dell’anno sulla sanità digitale. IQVIA Solutions Italy S.r.l., filiale italiana del colosso mondiale dei dati farmaceutici, dovrà pagare 7 milioni di euro per aver trattato come “anonimi” i dati sanitari di circa un milione di pazienti che, secondo l’Autorità, erano invece perfettamente ricostruibili. La decisione, adottata il 23 settembre 2026 e rese pubblica il 2 ottobre, riaccende un dibattito che il GDPR porta con sé fin dal 2018: quando un dato sanitario smette davvero di essere personale?
Cosa è successo: il Garante sanziona IQVIA per 7 milioni di euro
IQVIA aveva costruito un database destinato a studi farmaceutici e di ricerca clinica, alimentato dai dati di circa 800 medici di medicina generale italiani. L’azienda sosteneva che l’intero set fosse composto da informazioni anonime, quindi fuori dal perimetro di applicazione del GDPR. Il Garante ha visto le cose in modo diverso. Nell’istruttoria, l’Autorità ha stabilito che i record contenevano un codice paziente persistente abbinato a età, sesso, diagnosi, farmaci prescritti ed esiti di esami clinici, un insieme di variabili che permette di isolare un singolo individuo con mezzi ragionevolmente disponibili.
La sanzione da 7 milioni di euro si inserisce tra le più alte mai imposte dal Garante a un’azienda del settore sanitario e segnala un cambio di passo nella vigilanza sui cosiddetti dati “real-world”, quelli raccolti nella pratica clinica quotidiana e rivenduti o condivisi per finalità di ricerca e sviluppo farmaceutico.
I numeri del caso: un milione di pazienti, 800 medici, dati fino al 2001
I numeri dell’istruttoria raccontano la scala dell’operazione. Il database copriva circa un milione di pazienti, alimentato dagli archivi clinici di 800 medici di base distribuiti sul territorio italiano. Alcuni record risalivano fino al 2001, senza che fosse mai stato fissato un periodo di conservazione definito, in contrasto con il principio di minimizzazione previsto dal GDPR.
Il dato più delicato riguarda i campi di testo libero: secondo l’istruttoria, oltre 3.300 pazienti erano identificabili in modo diretto, con nome, codice fiscale e contatti ancora leggibili all’interno delle note cliniche. Non si trattava quindi di un rischio teorico di re-identificazione, ma di informazioni che chiunque avesse accesso al database poteva collegare a una persona reale senza alcuno sforzo tecnico particolare.
La mappa dei dati trattati
- Codice paziente persistente, stabile nel tempo tra visite diverse
- Età, sesso e area geografica di residenza
- Diagnosi e codici clinici associati
- Farmaci prescritti e posologie
- Esiti di esami e test diagnostici
- Identificativi diretti (nome, codice fiscale, contatti) in oltre 3.300 casi nei campi testuali
Perché il Garante respinge la tesi dell’anonimizzazione
Il nodo centrale della vicenda sta nella differenza, spesso sottovalutata da chi gestisce grandi archivi sanitari, tra dato anonimo e dato pseudonimizzato. Un dato è anonimo quando nessuno, con mezzi ragionevoli, può ricollegarlo a una persona identificata o identificabile. Un dato è pseudonimizzato quando l’identificativo diretto viene sostituito da un codice, ma resta comunque possibile la re-identificazione, magari incrociando altre informazioni disponibili altrove.
Il Garante ha ritenuto che il database IQVIA cadesse nella seconda categoria. Il codice paziente persistente, da solo, compromette l’anonimato se abbinato a dati clinici granulari come diagnosi specifiche o combinazioni rare di farmaco e patologia. Aggiungere informazioni di localizzazione riduce ulteriormente lo spazio delle possibili identità, fino a restringerlo a una sola persona in molti casi concreti. Per questo l’Autorità ha stabilito che IQVIA avrebbe dovuto trattare l’intero archivio come dato personale sanitario, con tutte le garanzie che il GDPR prevede per questa categoria particolare, e non come informazione fuori dal proprio perimetro di applicazione.
Anonimizzazione o pseudonimizzazione: il nodo giuridico del GDPR
Il GDPR, al considerando 26, chiarisce che i principi di protezione dei dati non si applicano alle informazioni rese anonime in modo tale che la persona interessata non sia più identificabile. Il problema pratico, però, è che pochi dataset raggiungono davvero questa soglia quando contengono variabili cliniche dettagliate su larga scala. Le linee guida dell’EDPB sull’anonimizzazione, adottate l’8 luglio 2026 e che toccano anche il tema del web scraping per l’addestramento di modelli generativi, insistono proprio su questo punto: la valutazione va fatta caso per caso, considerando i mezzi a disposizione di chiunque possa entrare in possesso del dataset, non solo di chi lo ha creato, secondo quanto riportato dal blog legale di Hunton Andrews Kurth, che segue con continuità gli sviluppi normativi europei in materia.
Il caso IQVIA diventa così un precedente operativo per l’intero settore delle scienze della vita. Molte aziende di real-world data e molti registri di ricerca clinica si basano su codici pseudonimi convinti che questo basti a uscire dal GDPR. L’istruttoria del Garante dimostra che la sostituzione del nome con un codice non è, da sola, anonimizzazione: è pseudonimizzazione, e la pseudonimizzazione resta trattamento di dati personali a pieno titolo, soggetto a base giuridica, informativa e valutazione d’impatto.
Chi è il titolare del trattamento: il ruolo di IQVIA nella raccolta
Un secondo elemento dell’istruttoria riguarda la qualificazione giuridica di IQVIA. L’azienda aveva provato a presentarsi come semplice destinataria di dati già pseudonimizzati, ricevuti dai medici di base dopo un’estrazione effettuata da terzi. Il Garante ha ricostruito invece la catena operativa e ha stabilito che IQVIA era titolare del trattamento già dalla fase di raccolta, perché aveva commissionato e definito le specifiche tecniche del software usato dai medici per estrarre i dati dai propri gestionali.
Questo passaggio conta perché sposta sull’azienda, e non sui singoli medici di base, la responsabilità di garantire una base giuridica adeguata, un’informativa chiara verso i pazienti e una valutazione d’impatto preventiva. Il Garante ha contestato a IQVIA l’assenza di tutti e tre questi elementi, oltre alla mancanza di limiti di conservazione per i record più vecchi, alcuni dei quali risalivano al 2001.
120 giorni per adeguarsi: cosa deve fare ora IQVIA
Oltre alla multa, il provvedimento impone a IQVIA un termine di 120 giorni per metter in regola il trattamento, se l’azienda intende continuare a usare l’archivio. Le strade possibili sono due: ottenere una base giuridica solida e un’informativa conforme per continuare a trattare i dati come personali, oppure procedere a un’anonimizzazione effettiva sotto la supervisione dell’Autorità, cancellando o aggregando le variabili che oggi permettono la re-identificazione.
La seconda strada è tecnicamente più complessa di quanto sembri. Rendere un dataset clinico davvero anonimo richiede spesso di sacrificare la granularità che lo rende utile per la ricerca, per esempio aggregando le diagnosi rare in categorie più ampie o eliminando le combinazioni di variabili uniche nel campione. IQVIA può inoltre impugnare la decisione in sede giudiziaria, una possibilità che l’Autorità stessa riconosce nel provvedimento, ma che non sospende automaticamente l’obbligo di adeguamento nei tempi indicati.
Non un caso isolato: le altre sanzioni del Garante in autunno 2026
Telemarketing, GPS e videosorveglianza: i filoni paralleli
Il caso IQVIA arriva dentro una stagione particolarmente intensa per il Garante italiano. Nello stesso periodo l’Autorità ha chiuso altri procedimenti che, messi in fila, mostrano un’attenzione crescente verso telemarketing selvaggio, controllo dei lavoratori e trasparenza nei confronti dei dipendenti. Wind Tre ha ricevuto la sanzione più alta del gruppo, 16,7 milioni di euro, per comunicazioni promozionali inviate a persone che avevano già esercitato il diritto di opposizione e per contratti attivati senza un consenso valido, come riportato dal comunicato ufficiale dell’EDPB sulla decisione, adottata il 5 giugno 2026 e annunciata il 12 ottobre.
Michael Page Italia, società di recruitment, è stata multata per 225.000 euro il 7 ottobre per aver conservato e controllato le caselle email di tre ex dipendenti per finalità di contenzioso, senza averli informati adeguatamente, secondo quanto ricostruito da MLex. La società di sicurezza La Patria ha ricevuto una sanzione di 39.000 euro per aver respinto le richieste di accesso di alcuni dipendenti e per non averli informati del monitoraggio GPS dei mezzi aziendali, mentre l’istituto di ricerca torinese NRIM è stato multato per 10.000 euro per l’installazione di telecamere senza preavviso al personale. A queste si aggiungono le sanzioni contro Emirates (180.000 euro) e BBVA (5,508 milioni di euro), rese note nello stesso arco di tempo.
| Azienda | Importo sanzione | Motivo principale | Data decisione |
|---|---|---|---|
| IQVIA Solutions Italy | 7 milioni € | Dati sanitari trattati come anonimi, re-identificazione possibile | 23 settembre 2026 |
| Wind Tre | 16,7 milioni € | Telemarketing senza consenso, contratti non autorizzati | 5 giugno 2026 |
| BBVA | 5,508 milioni € | Non specificato nella comunicazione pubblica | Autunno 2026 |
| Michael Page Italia | 225.000 € | Email di ex dipendenti conservate senza trasparenza | 7 ottobre 2026 |
| Emirates | 180.000 € | Non specificato nella comunicazione pubblica | Autunno 2026 |
| La Patria | 39.000 € | Accesso negato ai dipendenti, monitoraggio GPS non comunicato | Autunno 2026 |
| NRIM (istituto di ricerca, Torino) | 10.000 € | Videocamere installate senza informativa ai lavoratori | Autunno 2026 |
Il contesto europeo: Google, Uber e l’autunno delle sanzioni miliardarie
Le due multe più alte del trimestre: Google e Uber
Guardando oltre confine, l’autunno 2026 si sta rivelando uno dei periodi più duri della storia del GDPR per le grandi piattaforme e per i gruppi che trattano dati su scala continentale. Il 21 settembre il Garante irlandese ha multato Google per 403 milioni di euro, contestando le modalità con cui le impostazioni “Attività web e app”, “Cronologia delle posizioni” e “Precisione della posizione” avevano raccolto dati tra il 2018 e il 2020, con un termine di sei mesi per adeguarsi. Il 21 agosto l’autorità olandese ha colpito Uber con una multa record da 824,99 milioni di euro per violazioni delle regole europee sulle decisioni automatizzate, una delle sanzioni GDPR più alte mai registrate.
Sul fronte sanitario, la CNIL francese ha sanzionato per 500.000 euro una struttura ospedaliera privata per una violazione di dati che ha esposto 524.867 pazienti e 202.246 terzi fiduciari, con mancanze su VPN, autenticazione a più fattori e controlli di accesso. La stessa autorità ha inoltre multato per 300.000 euro una società di consulenza IT che su 265 richieste di cancellazione ricevute nel 2024 ne aveva gestite correttamente meno di un quarto, nell’ambito di un’azione coordinata dell’EDPB sul diritto all’oblio. Il quadro, ricostruito dalla rassegna Privacy Filter Briefing del National Law Review, mostra un’Europa in cui i regolatori privacy, dalla sanità al telemarketing fino agli algoritmi di piattaforma, si muovono nella stessa direzione: multe più alte e meno tolleranza per le zone grigie.
| Autorità | Azienda colpita | Importo | Settore / motivo |
|---|---|---|---|
| Garante Privacy (Italia) | IQVIA Solutions Italy | 7 milioni € | Dati sanitari, anonimizzazione insufficiente |
| DPC (Irlanda) | 403 milioni € | Impostazioni localizzazione, 2018-2020 | |
| Garante olandese | Uber | 824,99 milioni € | Decisioni automatizzate |
| CNIL (Francia) | Struttura ospedaliera privata | 500.000 € | Violazione dati sanitari, 727.113 persone esposte |
| CNIL (Francia) | Società di consulenza IT | 300.000 € | Richieste di cancellazione non gestite |
| Garante Privacy (Italia) | Wind Tre | 16,7 milioni € | Telemarketing, consenso non valido |
Le nuove linee guida EDPB su sanzioni e anonimizzazione
Il caso IQVIA non nasce nel vuoto normativo. L’EDPB ha messo in consultazione pubblica il 17 settembre 2026 le nuove Linee Guida 04/2026 sulle sanzioni amministrative e le misure correttive previste dal GDPR, pubblicate in versione definitiva il 2 ottobre, lo stesso giorno in cui è diventata nota la decisione su IQVIA. Il documento punta a uniformare i criteri con cui le autorità nazionali calcolano l’importo delle multe, un tema che negli anni ha prodotto differenze enormi tra uno Stato membro e l’altro per violazioni di gravità comparabile.
A monte, le linee guida sull’anonimizzazione adottate l’8 luglio 2026 forniscono già oggi ai garanti nazionali un quadro più solido per distinguere anonimizzazione vera da pseudonimizzazione dichiarata. Lo stesso testo tocca anche il web scraping per l’addestramento di modelli di intelligenza artificiale generativa e il trattamento di dati su blockchain, segno che l’Autorità europea considera la ricostruibilità dell’identità un problema trasversale a più settori tecnologici, non solo alla sanità.
L’impatto sul mercato dei dati sanitari “real-world”
Il settore dei cosiddetti real-world data, le informazioni cliniche raccolte durante la normale attività sanitaria e poi rivendute o condivise per studi farmaceutici, osservazionali e di farmacovigilanza, vive da anni una tensione irrisolta tra utilità scientifica e tutela della privacy. Più un dataset è dettagliato, più è prezioso per la ricerca, ma più è anche facile ricondurlo a una persona reale quando le variabili cliniche sono rare o combinate in modo distintivo.
La decisione sul caso IQVIA impone a tutto il comparto un bivio pratico. Le aziende che oggi trattano dati sanitari pseudonimizzati su larga scala in Italia dovranno probabilmente rivedere i propri modelli di raccolta, aggiungendo basi giuridiche solide, informative più trasparenti verso i pazienti e valutazioni d’impatto documentate, oppure accettare una perdita di granularità per restare davvero fuori dal perimetro del GDPR. Entrambe le strade comportano costi di compliance che fino a oggi molte aziende del settore avevano evitato, presumendo che la sostituzione del nome con un codice bastasse a uscire dalle regole.
Cosa rischiano le aziende che trattano dati sanitari in Italia
Il precedente IQVIA cambia il calcolo del rischio per chiunque gestisca archivi clinici pseudonimizzati sul territorio italiano. Fino a oggi molte organizzazioni si affidavano a valutazioni interne che qualificavano i propri dataset come anonimi sulla base della sola sostituzione del nominativo con un codice. L’istruttoria del Garante dimostra che questo approccio non basta quando il dataset contiene variabili cliniche granulari, dati di localizzazione o combinazioni rare di informazioni, e che la sanzione può arrivare anche anni dopo la raccolta iniziale, come dimostrano i record risalenti al 2001 trovati nel database IQVIA.
Le aziende farmaceutiche, i centri di ricerca clinica, le società di consulenza sanitaria e i broker di dati real-world dovrebbero quindi considerare una revisione sistematica dei propri archivi storici, non solo delle nuove raccolte. Il rischio non riguarda solo l’importo della sanzione, ma anche l’obbligo di rifare da zero il processo di anonimizzazione sotto supervisione, con tempi e costi difficili da pianificare in anticipo.
Confronto con la Francia: stesso settore, approcci diversi
Il parallelo con la sanzione CNIL alla struttura ospedaliera francese è istruttivo perché mostra due facce diverse dello stesso problema. Nel caso francese il problema era la sicurezza tecnica: assenza di VPN, mancanza di autenticazione a più fattori e controlli di accesso insufficienti avevano permesso un accesso non autorizzato ai dati di oltre 727.000 persone. Nel caso IQVIA, invece, i dati non sono stati sottratti da un attaccante esterno: il problema nasce dalla qualificazione giuridica che l’azienda stessa aveva dato al proprio trattamento, giudicato “anonimo” quando in realtà non lo era.
Questa distinzione conta per chi lavora nella compliance sanitaria. Investire solo in sicurezza informatica, per quanto necessario, non basta a evitare sanzioni se la base giuridica del trattamento o la classificazione del dato come anonimo risultano sbagliate fin dall’origine. I due casi, letti insieme, suggeriscono che i regolatori europei guardano contemporaneamente alla sicurezza tecnica e alla correttezza giuridica delle classificazioni, un doppio fronte che richiede competenze sia legali che tecniche all’interno delle stesse organizzazioni.
Previsioni: cosa aspettarsi nei prossimi mesi
- Nuove istruttorie del Garante italiano verso altre società di real-world data e registri di ricerca clinica che usano schemi di pseudonimizzazione simili a quello contestato a IQVIA, favorite dalla copertura mediatica del caso.
- Le linee guida EDPB sulle sanzioni amministrative, finalizzate il 2 ottobre, spingeranno verso importi più omogenei tra Stati membri per violazioni comparabili, riducendo gli attuali scarti tra giurisdizioni.
- È probabile che IQVIA, o aziende con modelli di business simili, presenti ricorso in sede giudiziaria, seguendo il precedente di altre grandi multe GDPR impugnate con successo parziale negli anni scorsi.
- Il termine del 29 ottobre 2026 fissato dal Garante per la compliance sui pixel di tracciamento nelle email mostra un’Autorità che conduce più filoni di vigilanza in parallelo, non solo quello sanitario.
- Le aziende farmaceutiche e di ricerca clinica inizieranno a investire in tecniche di anonimizzazione più robuste dal punto di vista statistico, come l’aggregazione delle diagnosi rare o la generalizzazione dei dati di localizzazione, prima che arrivi un’istruttoria piuttosto che dopo.
Perché questo caso conta anche per chi non lavora in sanità
Il principio stabilito dal Garante, un codice persistente abbinato a variabili dettagliate non equivale ad anonimizzazione, si applica in teoria a qualsiasi settore che tratti grandi volumi di dati pseudonimizzati: assicurazioni, retail, telecomunicazioni, mobilità. La sanità è stata il primo banco di prova perché i dati clinici sono tra i più sensibili e tra i più granulari in assoluto, ma la logica giuridica del provvedimento vale ovunque esista un codice identificativo abbinato a comportamenti, acquisti o spostamenti specifici di una persona.
Chi gestisce data warehouse aziendali con logiche simili, codice cliente più storico acquisti, codice utente più cronologia di navigazione, codice dipendente più dati di localizzazione del dispositivo aziendale, dovrebbe leggere questa decisione come un segnale diretto. La differenza tra “abbiamo pseudonimizzato” e “abbiamo anonimizzato” non è una formalità lessicale: è la differenza tra restare dentro o fuori dal perimetro del GDPR, con tutte le conseguenze economiche che il caso IQVIA mette ora in chiaro.
Domande frequenti
Cos’è la sanzione del Garante Privacy a IQVIA?
È una multa da 7 milioni di euro imposta a IQVIA Solutions Italy il 23 settembre 2026 per aver trattato come anonimi i dati sanitari di circa un milione di pazienti, raccolti tramite 800 medici di medicina generale, quando invece secondo il Garante erano ricostruibili fino all’identità della persona.
Perché il Garante ha respinto la tesi dell’anonimizzazione?
Perché il database conteneva un codice paziente persistente abbinato a età, sesso, diagnosi, farmaci ed esami clinici, oltre a dati di localizzazione: una combinazione che permette, con mezzi ragionevoli, di isolare e ricondurre i dati a una singola persona.
Quali dati sanitari erano coinvolti nel caso IQVIA?
Diagnosi, prescrizioni farmacologiche, esiti di esami e codici clinici relativi a circa un milione di pazienti, con oltre 3.300 casi in cui nei campi di testo libero erano presenti anche nome, codice fiscale e contatti diretti.
Qual è la differenza tra dati anonimizzati e dati pseudonimizzati secondo il GDPR?
Un dato è anonimo quando nessuno, con mezzi ragionevoli, può ricollegarlo a una persona identificabile. Un dato è pseudonimizzato quando l’identificativo diretto è sostituito da un codice, ma resta comunque possibile la re-identificazione incrociando altre informazioni: in questo secondo caso il GDPR continua ad applicarsi integralmente.
Cosa deve fare ora IQVIA entro i 120 giorni?
L’azienda deve scegliere tra due strade: ottenere una base giuridica solida e un’informativa conforme per trattare i dati come personali, oppure procedere a una vera anonimizzazione del database sotto la supervisione del Garante.
Quali altre aziende sono state multate dal Garante nello stesso periodo?
Nello stesso arco di tempo il Garante ha sanzionato Wind Tre (16,7 milioni di euro), BBVA (5,508 milioni), Emirates (180.000 euro), Michael Page Italia (225.000 euro), La Patria (39.000 euro) e l’istituto di ricerca torinese NRIM (10.000 euro).
Come si confronta questa sanzione con altre multe GDPR in Europa nel 2026?
È significativa ma non è tra le più alte dell’anno in Europa: il Garante irlandese ha multato Google per 403 milioni di euro e l’autorità olandese ha colpito Uber con 824,99 milioni di euro, entrambe nello stesso trimestre.
IQVIA può fare ricorso contro la sanzione?
Sì, il provvedimento del Garante può essere impugnato in sede giudiziaria, una possibilità espressamente richiamata nella decisione stessa, anche se il ricorso non sospende automaticamente l’obbligo di adeguamento entro i 120 giorni previsti.
Il caso IQVIA riguarda anche i dati raccolti tramite pixel di tracciamento nelle email?
No, è un procedimento distinto. Il Garante ha però fissato per il 29 ottobre 2026 un termine separato di compliance sui pixel di tracciamento nelle email, segno di un’attività di vigilanza che corre su più filoni in parallelo.