Con il provvedimento n. SAN-2026-008 del 26 maggio 2026, la Commission Nationale de l'Informatique et des Libertés (“CNIL”) ha inflitto a IQVIA Operations France una sanzione amministrativa pecuniaria di cinque milioni di euro, accompagnata dalla pubblicazione del provvedimento e da un'ingiunzione di adeguamento con penale giornaliera di 10.000 euro per ogni giorno di ritardo, decorrente da sei mesi dalla notifica.
Il caso tocca questioni strutturali — la qualificazione dei dati come pseudonimizzati e non anonimi, la responsabilità del titolare nell'adempimento degli obblighi di informativa verso gli interessati, i limiti del secondary usee l'applicazione del principio di privacy by design e by default — che trascendono il contesto francese e assumono rilevanza immediata anche per le aziende farmaceutiche italiane che commissionano studi analoghi.
IQVIA
IQVIA gestisce in Francia due grandi archivi di dati sanitari, entrambi autorizzati dalla CNIL ai sensi dell'art. 66-III della Loi Informatique et Libertés: l'archivio LRX (Longitudinal Prescription Data), costituito da dati raccolti presso circa 14.000 farmacie, e l'archivio EMR (Electronic Medical Records), costituito da dati provenienti da migliaia di medici di medicina generale e specialisti. Questi archivi sono messi a disposizione delle aziende farmaceutiche — in Francia come nel resto d'Europa — per condurre studi osservazionali sull'uso dei medicinali nella pratica clinica e sui pattern terapeutici dei pazienti. Si tratta di un trattamento ulteriore di dati sanitari originariamente raccolti nel corso della normale attività clinica per finalità di cura che sono successivamente trattati per finalità di ricerca farmacologica, farmacoepidemiologica e di farmacovigilanza. A differenza delle sperimentazioni cliniche interventistiche — disciplinate dal Regolamento (UE) n. 536/2014 — questi studi si basano sull'analisi retrospettiva o prospettica di dati già esistenti. Pur nella loro peculiarità metodologica, rientrano a pieno titolo nella categoria della ricerca scientifica in campo medico, biomedico ed epidemiologico ai sensi dell'art. 110 del d.lgs. n. n. 196/2003 (“Codice Privacy”).
Dati pseudonimizzati, non anonimi
Il primo, e forse più importante, chiarimento del provvedimento riguarda la qualificazione dei dati. IQVIA, anche invocando la sentenza c.d. “SRB” della CGUE del 4 settembre 2025, aveva sostenuto che i dati contenuti nei suoi archivi fossero anonimi e che, pertanto, la normativa sulla protezione dei dati personali non fosse applicabile.
La CNIL ha respinto questa tesi con nettezza. I dati trattati da IQVIA sono pseudonimizzati, non anonimi. Ciascun paziente è associato a un identificativo univoco ricavato tramite funzione di hash dall’Identifiant National de Santé (INS-C), incrociato con anno di nascita, genere, informazioni sul medico curante e sull’insieme delle prescrizioni; nel caso dell’EMR, anche con stato civile, numero di figli, classe socioeconomica, diagnosi, sintomi, allergie, peso, altezza, vaccinazioni, esami diagnostici e periodi di malattia. La combinazione di tali informazioni con fonti pubblicamente disponibili rende concretamente possibile la reidentificazione. I dati ricadono, pertanto, nell’ambito di applicazione del GDPR e, in particolare, del regime “speciale” che il GDPR (come integrato dalla normativa nazionale) dedica ai dati relativi alla salute.
Le violazioni accertate
L’istruttoria — avviata a seguito di ispezioni condotte nel 2021 anche presso sei farmacie parigine, dopo la diffusione di un servizio televisivo di inchiesta — ha accertato violazioni su quattro diversi fronti.
Il primo riguarda il mancato rispetto delle condizioni delle autorizzazioni (art. 66 della Loi Informatique et Libertés). Le autorizzazioni rilasciate dalla CNIL nel 2018 e nel 2021 imponevano a IQVIA obblighi specifici in materia di informativa agli interessati, autenticazione degli accessi, segmentazione di rete e analisi dei log di connessione. Sul fronte dell’informativa: nessuna delle quattro farmacie ispezionate consegnava ai propri clienti l’informativa individuale elaborata da IQVIA, né esponeva all’interno dei locali della farmacia un’informativa generale recante informazioni sui trattamenti effettuati da IQVIA. Per l'archivio EMR, poi, le informazioni fornite ai pazienti sulla conservazione dei dati erano imprecise (l’informativa indicava “per la durata degli studi”, mentre l’autorizzazione prevedeva una conservazione massima di dieci anni). Con riguardo alla sicurezza del trattamento, per entrambi gli archivi, nessun sistema consentiva l’analisi regolare dei log di accesso, indispensabile per rilevare attività anomale; per il solo EMR, mancava l’autenticazione a più fattori e la necessaria segmentazione fisica di rete.
Il secondo fronte riguarda la violazione dell’obbligo di informativa ai sensi dell’art. 14 GDPR. La CNIL ha qui affermato un principio fondamentale: il titolare non può liberarsi dell’obbligo di cui all’art. 14 GDPR semplicemente affidando contrattualmente l’adempimento a un terzo. IQVIA aveva contrattualmente delegato alle farmacie il compito di informare i pazienti. Nondimeno, essendo IQVIA il titolare del trattamento, l’obbligo di assicurare che l’informativa fosse effettivamente fornita rimaneva a suo carico. Nessuna delega contrattuale alla farmacia poteva trasferire questa responsabilità. Il titolare deve dotarsi di meccanismi di verifica idonei a garantire l’effettivo adempimento.
Il terzo fronte riguarda l’utilizzo secondario dei dati al di fuori del quadro normativo applicabile (art. 66 della Loi Informatique et Libertés). IQVIA conduceva, per proprio conto, studi a partire dai dati dell'archivio LRX. Tali studi non erano coperti dall’autorizzazione originaria del 2018 — che riguardava esclusivamente la costituzione dell'archivio, escludendo espressamente gli studi successivi. IQVIA sosteneva di potersi avvalere della dichiarazione di conformità alla metodologia di riferimento MR-004 (si tratta di un'apposita metodologia di riferimento adottata dalla CNIL che consente di effettuare studi su dati già raccolti per altre finalità senza dover acquisire una specifica autorizzazione preventiva, a condizione però che ricorrano alcune condizioni tassative, tra cui anche la consegna di un’informativa individuale). La CNIL ha rigettato la difesa di IQVIA: i controlli avevano accertato che nessuna delle quattro farmacie consegnava ai pazienti l’informativa individuale elaborata da IQVIA.
Il quarto fronte riguarda la violazione del principio di privacy by design e by default (art. 25 GDPR). IQVIA aveva commissionato agli sviluppatori dei software gestionali utilizzati dalle farmacie lo sviluppo di componenti software aggiuntivi — i cosiddetti estrattori — da integrare direttamente in quei programmi. Il loro compito era di prelevare automaticamente i dati dei pazienti dalle banche dati della farmacia e trasmetterli a un soggetto designato da IQVIA, incaricato di effettuare un filtro prima che i dati giungessero ad IQVIA stessa. Il problema accertato dalla CNIL è che questi estrattori trasmettevano sistematicamente i dati di tutti i pazienti — incluso il codice identificativo univoco — anche per le farmacie che avevano espressamente rifiutato di partecipare al progetto LRX. IQVIA aveva la piena disponibilità tecnica di quei componenti: era stata lei a determinarne le specifiche attraverso il capitolato tecnico imposto agli sviluppatori dei software. Il fatto che un soggetto terzo provvedesse poi al filtraggio non legittimava la trasmissione a monte di dati che non avrebbero mai dovuto essere estratti. Il filtraggio avrebbe dovuto operare già al livello dell'estrattore, impedendo che dati non necessari uscissero dalla sfera della farmacia.
Attenzione. La CNIL ha esplicitamente ricordato che IQVIA era stato il primo operatore privato ad ottenere un’autorizzazione per costituire un archivio di dati sanitari in ragione della finalità di interesse pubblico dichiarata. Proprio per questo avrebbe dovuto essere, nelle parole del provvedimento, “particolarmente irreprensibile” nel rispetto delle condizioni imposte. La posizione di leader globale di settore — come IQVIA si autodefinisce — aggrava, e non attenua, la responsabilità.
Il quadro normativo italiano
In Italia, il trattamento di dati relativi alla salute per finalità di ricerca scientifica richiede, di regola, il consenso esplicito dell'interessato. Il GDPR ammette, tuttavia, che questa regola possa essere derogata, a condizione però che esista una norma di legge che stabilisca i presupposti della deroga e le garanzie adeguate da adottare. Questa norma, in Italia, è rappresentata dall'art. 110 del Codice Privacy, che stabilisce le condizioni in presenza delle quali il consenso non è necessario per il trattamento di dati sanitari a fini di ricerca medica, biomedica ed epidemiologica. Completano la disciplina le “Prescrizioni relative al trattamento dei dati personali effettuato per scopi di ricerca scientifica” del 5 giugno 2019 (le “Prescrizioni”) e le “Regole deontologiche per trattamenti a fini statistici o di ricerca scientifica ai sensi degli artt. 2-quater e 106 del Codice” del 9 maggio 2024 (le “Regole Deontologiche”).
L'art. 110(1) del Codice Privacy stabilisce che il consenso dell'interessato non è necessario quando la ricerca è effettuata in base a disposizioni di legge o di regolamento ed è condotta e resa pubblica una valutazione d'impatto sulla protezione dei dati personali. Il consenso non è necessario, inoltre, quando, a causa di particolari ragioni, informare gli interessati risulta impossibile o implica uno sforzo sproporzionato, oppure rischia di rendere impossibile o di pregiudicare gravemente il conseguimento delle finalità della ricerca. In questi casi il titolare deve: adottare misure appropriate per tutelare i diritti degli interessati; ottenere il parere favorevole motivato del competente comitato etico a livello territoriale; motivare e documentare puntualmente nel progetto di ricerca le ragioni etiche o organizzative che rendono impossibile o sproporzionato il contatto con gli interessati; e svolgere e pubblicare la valutazione d'impatto ai sensi dell'art. 35 del GDPR, dandone comunicazione al Garante.
A differenza del sistema francese, in cui l’art. 66 della Loi Informatique et Libertés prevede un regime di autorizzazione preventiva specifica per la costituzione di archivi di dati relativi alla salute — distinta e cumulativa rispetto agli ulteriori atti autorizzativi necessari per i singoli studi — il sistema italiano si basa su un modello misto. Quando il consenso è acquisibile, il titolare provvede a richiedere il consenso. Quando invece il consenso non è acquisibile — come tipicamente avviene negli studi osservazionali retrospettivi che coinvolgono pazienti irreperibili, non contattabili o deceduti — l’azienda farmaceutica deve ricorrere alle deroghe di cui all'art. 110 del Codice Privacy, nel rispetto delle condizioni indicate sopra.
Questa struttura comporta che la responsabilità dell’autovalutazione della conformità ricada in misura ancora più diretta sulle aziende farmaceutiche committenti. In assenza di un atto autorizzativo nominativo che possa fungere da schermo, il titolare del trattamento è tenuto — in virtù del principio di responsabilizzazione (accountability) sancito dall'art. 5(2) del GDPR — a verificare continuamente (e a documentare) l’adeguatezza delle misure adottate. È su di lui, e non sul fornitore dei dati, che ricade la verifica della legittimità del trattamento.
Cosa deve chiedersi una farmaceutica italiana che lavora con IQVIA
Il caso IQVIA non è soltanto una questione francese. Le violazioni accertate dalla CNIL non dipendono da specificità del diritto francese: dipendono dalla struttura del modello con cui IQVIA raccoglie, gestisce e mette a disposizione i dati sanitari in tutta Europa. Qualsiasi azienda farmaceutica che si avvale di quel modello — o di modelli analoghi — per condurre studi osservazionali è esposta agli stessi rischi.
Tre questioni, in particolare, meritano una verifica immediata.
La prima: i dati che IQVIA tratta per condurre lo studio commissionato dall’azienda farmaceutica sono anonimi o pseudonimi e, qualora si tratti di dati pseudonimi (come la stessa CNIL sostiene), qual è il ruolo dell’azienda farmaceutica committente rispetto al loro trattamento (a prescindere da ciò che prevede il contratto)?
La seconda: le previsioni contrattuali relative al trattamento dei dati personali sono assistite da adeguati meccanismi per la verifica dell’effettivo adempimento degli obblighi imposti contrattualmente a IQVIA? Secondo la CNIL, il titolare non può liberarsi degli obblighi che gravano sullo stesso per legge semplicemente affidandone l'adempimento a un terzo. Dichiarazioni e garanzie sono necessarie, ma non sufficienti. È necessario che l'azienda farmaceutica committente si doti di strumenti concreti per verificare che IQVIA — e i soggetti che con IQVIA interagiscono nella catena di raccolta dei dati — adempiano effettivamente agli obblighi assunti: audit periodici con diritto di accesso documentato, reportistica sull'adempimento degli obblighi di informativa, verifica delle misure di sicurezza implementate, e meccanismi di escalation in caso di non conformità.
La terza: il trattamento dei dati dei pazienti effettuato nell'ambito degli studi commissionati a IQVIA trova una base giuridica valida ai sensi dell'art. 9(2) GDPR, e — anche qualora tale base sussista — sono stati adempiuti tutti gli ulteriori obblighi che la normativa impone? I dati dei pazienti sono stati originariamente raccolti per finalità di cura. Il loro utilizzo per studi osservazionali costituisce un trattamento ulteriore di dati sanitari che richiede una propria base giuridica ai sensi dell'art. 9(2) GDPR. La base giuridica applicabile dipende dalla struttura dello studio: negli studi prospettici, in cui i pazienti sono identificabili e contattabili, la base giuridica è, come detto, il consenso esplicito del paziente ex art. 9(2)(a) GDPR; negli studi retrospettivi su dati già raccolti — come tipicamente avviene con gli archivi di IQVIA — il consenso è strutturalmente impraticabile, e la base giuridica va ricercata nelle deroghe di cui all'art. 110 del Codice Privacy, con le condizioni cumulative già richiamate (parere del comitato etico, documentazione delle ragioni, valutazione d'impatto, misure di garanzia).
La sanzione di cinque milioni di euro non rappresenta, in definitiva, l'aspetto più rilevante del provvedimento. La sua vera portata risiede nel fatto che mette in discussione la solidità giuridica del modello su cui si fonda l'intera industria dei dati destinati al secondary use. Le autorità europee di controllo dispongono ora di un precedente ampiamente motivato, destinato a orientare le future attività di vigilanza. Di conseguenza, ogni azienda farmaceutica che commissiona studi basati suReal World Data (RWD) dovrebbe interrogarsi con urgenza sulla capacità del proprio modello operativo di resistere a un'ispezione condotta con lo stesso livello di rigore dimostrato dalla CNIL.
