Nel numero di luglio della nostra newsletter avevamo commentato la decisione con cui la Commission Nationale de l’Informatique et des Libertés (“CNIL”) aveva sanzionato IQVIA Operations France per cinque milioni di euro, evidenziando come le criticità riscontrate assumessero rilievo anche per le aziende farmaceutiche italiane che si avvalgono di banche dati sanitarie per la conduzione di studi osservazionali e attività di ricerca.
A distanza di pochi mesi, il tema torna al centro dell’attenzione con il provvedimento n. 710 del 23 settembre 2026, con cui il Garante per la protezione dei dati personali (“Garante”) ha inflitto a IQVIA Solutions Italy S.r.l. (“IQVIA”) una sanzione amministrativa di sette milioni di euro, accompagnata dalla pubblicazione del provvedimento e dall’ingiunzione di conformarsi a una serie di misure correttive entro 120 giorni dalla notifica, accertando numerose violazioni del Regolamento (UE) 2016/679 (“GDPR”) nell’ambito della raccolta e dell’utilizzo di dati sanitari provenienti dai medici di medicina generale.
Pur riguardando un progetto distinto da quello esaminato dalla CNIL, la decisione italiana si colloca nel medesimo solco interpretativo e conferma l’attenzione delle autorità di controllo europee verso i modelli di valorizzazione dei dati sanitari raccolti originariamente per finalità di cura e successivamente utilizzati per attività di ricerca scientifica, epidemiologica e commerciale.
Il provvedimento presenta, tuttavia, ulteriori profili di interesse: non soltanto chiarisce le condizioni necessarie affinché i dati sanitari possano considerarsi effettivamente anonimi, ma affronta anche la distribuzione delle responsabilità tra i diversi soggetti coinvolti nella raccolta e nel successivo trattamento di questi dati, delineando alcune possibili soluzioni tecniche e organizzative per rendere i trattamenti conformi alla normativa.
Il caso italiano: il progetto Health Search e il database LPD
L’istruttoria del Garante ha riguardato il progetto Health Search, sviluppato nell’ambito della collaborazione tra IQVIA e la Società Italiana dei Medici di Medicina Generale e delle Cure Primarie (“SIMG”), attraverso il coinvolgimento di circa 800 medici di medicina generale.
Il progetto prevedeva la raccolta sistematica di informazioni cliniche relative a oltre un milione di pazienti, estratte dai software gestionali utilizzati dai medici di medicina generale attraverso un apposito componente aggiuntivo (add-on), la cui licenza d’uso veniva concessa gratuitamente ai medici da IQVIA a fronte dell’impegno di questi ultimi ad alimentare il database con i dati dei propri pazienti. I dati confluivano nel database Longitudinal Patient Data (“LPD”), gestito da IQVIA, per essere utilizzati, tra l’altro, nella realizzazione di studi osservazionali retrospettivi commissionati da aziende farmaceutiche, alle quali venivano forniti risultati in forma aggregata.
Secondo quanto sostenuto da IQVIA, i dati trasmessi dai medici erano già sottoposti a un processo di anonimizzazione prima del loro trasferimento e, pertanto, non rientravano nell’ambito di applicazione della normativa in materia di protezione dei dati personali.
Gli accertamenti del Garante hanno però condotto a conclusioni differenti, facendo emergere criticità tanto nella qualificazione dei dati quanto nell’organizzazione complessiva del trattamento.
Dati pseudonimizzati, non anonimi: il problema della re-identificazione
Come in Francia, uno degli aspetti centrali del caso riguarda la distinzione tra anonimizzazione e pseudonimizzazione.
Anche il Garante ha respinto la tesi secondo cui la rimozione degli identificativi diretti, accompagnata dall’attribuzione di codici univoci ai pazienti, fosse sufficiente a rendere anonimi i dati contenuti nel database.
Il sistema utilizzato da IQVIA consentiva infatti di associare a ciascun paziente un identificativo persistente (Pat ID), attraverso il quale ricostruire nel tempo prescrizioni di farmaci, diagnosi, esami e altre informazioni relative alla storia clinica degli stessi.
Secondo il Garante, proprio la ricchezza informativa e la dimensione longitudinale del database consentivano di isolare singoli individui e, attraverso la combinazione delle informazioni disponibili con ulteriori elementi, risalire potenzialmente alla loro identità.
L’Autorità ha inoltre evidenziato i limiti strutturali delle tecniche di k-anonymity utilizzate per ridurre il rischio di re-identificazione. Il raggruppamento degli interessati in classi caratterizzate da attributi comuni opera esclusivamente sui cosiddetti quasi-identificatori e non sull’intero record: ne consegue che, anche laddove le classi di equivalenza rispettino formalmente il requisito di numerosità, i record che le compongono possono risultare di fatto unici quando si considerino informazioni presenti in altri attributi, come patologie rare, sequenze di eventi clinici o particolari terapie farmacologiche. Il Garante ha inoltre osservato che l’applicazione di tecniche crittografiche (hash) all’identificativo del paziente non rimuove l’associazione univoca tra l’individuo e il codice con cui è rappresentato nel database, mantenendo così la singolarità del record e vanificando, in presenza di un patrimonio informativo sufficientemente ricco e di un arco di osservazione prolungato nel tempo, il beneficio atteso dalla creazione di classi di equivalenza anche di ampia dimensione.
Particolarmente interessante è il richiamo alla sentenza della Corte di giustizia dell’Unione europea del 4 settembre 2025, causa C-413/23, secondo cui la natura personale di un dato pseudonimizzato deve essere valutata anche considerando i mezzi di identificazione ragionevolmente disponibili al soggetto che lo riceve.
Il Garante non esclude, dunque, che un medesimo insieme di dati possa risultare personale per un soggetto e anonimo per un altro. Ritiene, tuttavia, che tale impostazione non possa essere invocata da IQVIA, la cui posizione si distingue nettamente dalla fattispecie esaminata dalla Corte di giustizia: IQVIA non può essere considerata un semplice destinatario di dati pseudonimizzati, ma deve essere ritenuta titolare dell’intero trattamento sin dalla fase di raccolta, alla luce del ruolo concretamente svolto nella definizione delle misure di anonimizzazione e nell’organizzazione complessiva del sistema di acquisizione dei dati.
Il principio che emerge è chiaro: l’anonimizzazione non dipende dalla sola eliminazione dei nominativi o dall’adozione di una determinata tecnica, ma richiede una valutazione concreta e documentata del rischio di identificazione, tenendo conto del contenuto informativo dei dati, delle possibilità di collegamento con altre fonti e del ruolo del soggetto che li tratta.
La responsabilità del trattamento: non basta qualificarsi come destinatari di dati anonimi
Un secondo profilo particolarmente significativo riguarda l’individuazione del titolare del trattamento.
Nel corso del procedimento, IQVIA aveva sostenuto di svolgere un ruolo essenzialmente tecnologico, finanziario e operativo, senza determinare le finalità e i mezzi essenziali della raccolta dei dati, che sarebbero stati definiti dalla SIMG e dagli altri soggetti coinvolti.
Il Garante ha respinto tale ricostruzione sulla base dell’analisi dei rapporti contrattuali e delle modalità di funzionamento del progetto.
Dall’istruttoria è infatti emerso che IQVIA non si limitava a ricevere passivamente informazioni elaborate da terzi, ma partecipava attivamente all’organizzazione del sistema: forniva alla società sviluppatrice del software gestionale le istruzioni per l’anonimizzazione dei dati prima del loro trasferimento nel database, aveva nominato tale società quale responsabile del trattamento ai sensi dell’art. 28 GDPR, offriva ai medici la licenza gratuita del software a fronte dell’impegno ad alimentare il database e utilizzava il contenuto di quest’ultimo per la propria attività d’impresa, in particolare per la realizzazione di studi commissionati da aziende farmaceutiche.
Su tali presupposti, il Garante ha riconosciuto a IQVIA il ruolo di titolare del trattamento sin dalla fase di raccolta, ritenendola responsabile dell’insieme delle operazioni finalizzate alla costituzione e all’alimentazione del database LPD.
Coerentemente, il Garante ha anche contestato la mancata designazione dei medici aderenti al progetto quali responsabili del trattamento ai sensi dell’art. 28 GDPR, in relazione alle operazioni effettuate per conto di IQVIA.
La conclusione conferma un principio consolidato, ma particolarmente rilevante nei modelli di ricerca fondati su articolate catene di acquisizione e valorizzazione dei dati: la qualificazione dei ruoli privacy dipende dall’effettiva distribuzione dei poteri decisionali sulle finalità e sui mezzi del trattamento, non dalle sole qualificazioni contenute nei contratti.
Base giuridica, trasparenza e conservazione: le ulteriori violazioni accertate
Una volta riconosciuta la natura personale dei dati e individuato il ruolo di IQVIA quale titolare del trattamento, il Garante ha esaminato la conformità delle operazioni svolte agli ulteriori obblighi previsti dal GDPR.
Il Garante ha anzitutto accertato l’assenza di un’idonea base giuridica per la raccolta e il successivo trattamento dei dati sanitari, rilevando che neppure il processo di anonimizzazione può considerarsi sottratto alla disciplina in materia di protezione dei dati personali.
L’anonimizzazione costituisce, infatti, essa stessa un’operazione di trattamento, che deve trovare un autonomo fondamento di liceità quando viene effettuata su dati personali.
Il Garante ha inoltre contestato l’inadeguatezza delle informazioni fornite ai pazienti. La circostanza che i contratti con i medici prevedessero l’obbligo di questi ultimi di informare i pazienti circa l’anonimizzazione dei loro dati non è stata ritenuta sufficiente a dimostrare l’effettivo rispetto del principio di trasparenza: in linea con quanto già affermato dalla CNIL nel provvedimento francese, il titolare del trattamento non può liberarsi degli obblighi informativi che gli incombono per legge semplicemente affidandone l’adempimento a un terzo, senza dotarsi di meccanismi idonei a verificarne l’effettiva esecuzione.
Ulteriori criticità hanno riguardato la conservazione dei dati. L’istruttoria ha evidenziato l’assenza di procedure adeguate di cancellazione delle informazioni più risalenti, nonostante IQVIA avesse rappresentato che, per le finalità degli studi commissionati, non fosse generalmente necessario utilizzare dati riferiti a periodi superiori a dieci anni.
Infine, il Garante ha accertato la mancata effettuazione di una valutazione d’impatto sulla protezione dei dati (DPIA), ritenuta necessaria alla luce della natura sanitaria delle informazioni, dell’ampiezza del trattamento e delle caratteristiche del sistema utilizzato.
Il data breach e i limiti delle misure di sicurezza
Il procedimento ha fatto emergere anche un’ulteriore criticità, relativa alla sicurezza dei dati.
A seguito delle verifiche ispettive, IQVIA ha notificato al Garante una violazione dei dati personali derivante dalla presenza, nei flussi estratti dai gestionali dei medici, di informazioni direttamente identificative inserite nei campi a testo libero.
Il sistema di estrazione non aveva infatti impedito il trasferimento di tali contenuti, determinando la comunicazione non autorizzata di dati direttamente identificativi relativi a 3.370 pazienti, tra cui dati sulla salute riferiti a 3.080 interessati. Le informazioni erano state altresì trasmesse alla SIMG.
Il Garante ha ritenuto che l’accaduto non potesse essere ricondotto esclusivamente alle modalità di compilazione delle cartelle cliniche da parte dei medici, contestando a IQVIA l’assenza di misure tecniche e organizzative adeguate a prevenire l’estrazione di informazioni non pertinenti.
Da qui l’accertamento delle violazioni del principio di integrità e riservatezza, degli obblighi di sicurezza e dei principi di responsabilizzazione e protezione dei dati fin dalla progettazione (privacy by design).
Anche sotto questo profilo emerge una significativa continuità con la decisione della CNIL: la conformità del trattamento deve essere assicurata sin dalla fase di progettazione dei meccanismi di acquisizione dei dati e non può essere affidata esclusivamente a controlli o interventi successivi alla loro estrazione.
Le misure correttive: il Garante indica le condizioni per un possibile adeguamento
Uno degli aspetti più interessanti del provvedimento italiano, rispetto alla decisione francese, è rappresentato dal contenuto delle misure correttive.
Il Garante non si è limitato a irrogare la sanzione amministrativa pecuniaria, ma ha individuato due possibili percorsi di adeguamento, nell’ipotesi in cui IQVIA intenda proseguire le attività esaminate.
Il primo prevede che IQVIA, quale titolare del trattamento, individui un’idonea base giuridica per il trattamento dei dati dei pazienti, assolva gli obblighi informativi, effettui la DPIA e proceda alla designazione dei medici quali responsabili del trattamento.
Il secondo contempla una diversa organizzazione del processo, nella quale l’anonimizzazione venga effettuata direttamente dai medici, nel rispetto degli obblighi applicabili e di condizioni tecniche particolarmente rigorose. In particolare, IQVIA non dovrà determinare le modalità di pseudonimizzazione: saranno i medici a individuare autonomamente gli attributi da sottoporre a pseudonimizzazione, applicando meccanismi di codifica caratterizzati da un elemento casuale di adeguata complessità, tali da rendere il valore codificato, dal punto di vista di IQVIA, una sequenza priva di significato semantico e non reversibile con mezzi ragionevolmente disponibili. Inoltre, qualora IQVIA intenda comunicare ulteriormente a terzi i dati ricevuti dai medici, sarà soggetta, in qualità di mittente, alle medesime prescrizioni imposte ai medici per il primo flusso di comunicazione.
A questo proposito, il Garante ha richiamato anche le nuove Linee guida 2/2026 sull’anonimizzazione del European Data Protection Board, adottate il 7 luglio 2026 e sottoposte a consultazione pubblica, individuando requisiti specifici relativi all’indipendenza delle misure di pseudonimizzazione, alla definizione delle classi di equivalenza e alla valutazione delle informazioni potenzialmente identificative.
Tra questi, merita particolare attenzione l’indicazione secondo cui le classi di equivalenza utilizzate nell’ambito delle tecniche di k-anonymity devono comprendere almeno dieci individui, ferma restando la necessità di verificare anche le ulteriori variabili che potrebbero consentire la reidentificazione.
Per tali variabili, ove rilevanti, il provvedimento contempla soluzioni alternative, tra cui l’inclusione nelle classi di equivalenza, il ricorso a tecniche di elaborazione distribuita, come la secure multiparty computation, oppure la loro rimozione.
Si tratta di prescrizioni riferite al caso concreto, che non introducono una soglia generale di anonimizzazione valida per qualsiasi trattamento, ma che offrono indicazioni di particolare interesse per la progettazione dei sistemi di gestione e valorizzazione dei dati sanitari.
IQVIA dovrà conformarsi alle misure impartite e documentare le iniziative adottate entro 120 giorni dalla notifica del provvedimento.
Quali implicazioni per le aziende farmaceutiche e gli operatori del settore?
La decisione italiana rafforza le considerazioni già formulate a luglio con riferimento al provvedimento della CNIL.
Il ricorso a fornitori specializzati nella raccolta, organizzazione e analisi dei Real World Data rappresenta uno strumento di crescente importanza per la ricerca farmaceutica, la farmacoepidemiologia e la valutazione dell’utilizzo dei medicinali nella pratica clinica. La complessità tecnologica di questi modelli non ne attenua, tuttavia, i requisiti di conformità.
Per le aziende farmaceutiche che commissionano studi osservazionali, il primo elemento da verificare riguarda l’effettiva natura dei dati utilizzati, distinguendo tra informazioni realmente anonime, dati pseudonimizzati e risultati aggregati.
Occorre inoltre ricostruire i ruoli dei diversi soggetti coinvolti, individuando chi determina le finalità e i mezzi dei trattamenti, chi effettua le operazioni di anonimizzazione e quali garanzie assicurano la liceità della raccolta e dell’eventuale successivo utilizzo dei dati.
La circostanza che il committente riceva esclusivamente report aggregati non consente, da sola, di trarre conclusioni sulla conformità delle operazioni effettuate a monte. Al tempo stesso, il coinvolgimento di un’azienda farmaceutica quale committente non comporta automaticamente che essa assuma il ruolo di titolare rispetto a tutte le attività svolte dal fornitore: anche tale qualificazione richiede una valutazione concreta delle rispettive funzioni e responsabilità. Non può tuttavia escludersi che, laddove il committente non si limiti ad acquistare un report ma stabilisca nel dettaglio quali risultati lo studio deve raggiungere e come deve essere condotto, determinando indirettamente anche le finalità e le modalità del trattamento dei dati, esso possa essere considerato contitolare del trattamento insieme al fornitore, con le conseguenti responsabilità in termini di liceità, trasparenza e sicurezza del trattamento.
In questo contesto, assumono particolare rilievo la verifica delle basi giuridiche applicabili, il rispetto delle condizioni previste dalla normativa italiana per il trattamento dei dati sanitari a fini di ricerca, l’adeguatezza delle informative, la documentazione delle valutazioni del rischio e l’effettiva implementazione delle misure di sicurezza.
Le previsioni contrattuali, pur necessarie, devono quindi essere accompagnate da adeguati meccanismi di controllo e da evidenze documentali idonee a dimostrare la conformità dei trattamenti. In tale contesto, assumono rilievo anche le clausole di manleva e indennizzo eventualmente negoziate con il fornitore dei dati, la cui operatività rispetto a sanzioni amministrative irrogate dall’autorità di controllo competente merita di essere attentamente valutata.
La decisione del Garante assume, in definitiva, un significato che va oltre il caso IQVIA e la sanzione di ingente entità.
A pochi mesi di distanza, due autorità europee - la CNIL, con il provvedimento del 26 maggio 2026, e il Garante, con il provvedimento del 23 settembre 2026 - hanno sottoposto a un esame particolarmente rigoroso modelli di raccolta e utilizzo secondario di dati sanitari fondati su presupposti di anonimizzazione ritenuti insufficienti, irrogando complessivamente sanzioni per dodici milioni di euro nei confronti di società del medesimo gruppo.
Il messaggio per gli operatori del settore è che l’utilizzo dei dati sanitari per finalità di ricerca e innovazione resta possibile, ma richiede che la conformità sia dimostrabile lungo l’intera catena del trattamento, dalla raccolta originaria fino all’elaborazione dei risultati.
È su questa capacità di coniugare valorizzazione dei dati, solidità delle basi giuridiche e garanzie tecniche effettive che si misurerà, sempre più, la sostenibilità dei modelli di ricerca basati sui Real World Data.
