Iqvia sanzionata dal Garante privacy: cosa è e come funziona il database messo sotto accusa

Sette milioni di euro di sanzione e 120 giorni per adeguare il trattamento dei dati, qualora intenda proseguirlo. È quanto ha disposto il Garante per la protezione dei dati personali nei confronti di Iqvia Solutions Italy, società del gruppo internazionale specializzato nell’analisi dei dati sanitari e nella ricerca clinica. Al centro del provvedimento, una banca dati contenente informazioni sulla salute di circa un milione di pazienti provenienti da 800 medici di medicina generale e utilizzata per studi commissionati anche da aziende farmaceutiche.

L’ordinanza, adottata il 23 settembre e resa pubblica il 2 ottobre, conclude un’istruttoria avviata dopo gli accertamenti ispettivi dell’aprile 2025, alla quale è stato successivamente riunito il procedimento relativo a una violazione dei dati personali notificata dalla stessa Iqvia. Il nodo principale riguarda la natura delle informazioni raccolte. La società sosteneva che i dati fossero anonimi; il Garante è giunto invece alla conclusione opposta.

Il provvedimento dell’Autorità garante consente di ricostruire origine e funzionamento della banca dati: si tratta di Lpd, Longitudinal patient database, un patrimonio informativo sviluppatosi nel tempo a partire dall’esperienza della rete Health Search di Simg, la Società italiana di medicina generale.

È una storia che parte da lontano. Health Search nasce nel 1998 come unità di ricerca della Simg, con l’obiettivo di valorizzare a fini epidemiologici e scientifici le informazioni prodotte nell’attività ordinaria dei medici di famiglia. Ancora oggi il centro di ricerca Health Search della società scientifica svolge studi clinici e attività di consulenza epidemiologica e statistica. Il database Health Search/Iqvia Lpd è inoltre censito nel catalogo europeo delle fonti di real world data di Hma ed Ema e raccoglie dati provenienti dalle cartelle cliniche elettroniche di una selezione di medici di medicina generale distribuiti sul territorio italiano.

Il provvedimento del Garante ricostruisce però anche i successivi passaggi societari. Il progetto concepito da Simg e dall’associazione Health Search venne ceduto, nella sua prima versione, a una società del gruppo francese Cegedim; successivamente, riferisce l’Autorità sulla base delle dichiarazioni rese da Iqvia nell’istruttoria, gli asset passarono al gruppo Ims Health. La proprietà del database arrivò così prima a Ims Health Information Solutions Italy e poi a Ims Health, divenuta in seguito Iqvia Solutions Italy.

È proprio la documentazione acquisita nell’istruttoria a permettere di ricostruire più nel dettaglio il funzionamento del sistema. Nei contratti esaminati dall’Autorità, Lpd viene descritto come un database destinato a raccogliere ed elaborare informazioni provenienti dall’ordinaria attività assistenziale dei Mmg per condurre ricerche statistiche, epidemiologiche e di mercato, di interesse per enti pubblici e aziende private. Iqvia, rileva ancora il provvedimento, utilizza Lpd in particolare per realizzare studi ricavati da report aggregati estratti dal database.

L’alimentazione avveniva attraverso un add-on installato nel software utilizzato dai medici, incaricato di estrarre le informazioni dalle cartelle cliniche. Il modello contrattuale prevedeva inoltre, si legge ancora nell’istruttoria, «la concessione al medico a titolo gratuito del programma», comprendente il gestionale, i relativi servizi e l’add-on per l’estrazione dei dati. Secondo quanto previsto dagli accordi, questi ultimi avrebbero dovuto essere resi anonimi prima della trasmissione.

È proprio sull’effettiva anonimizzazione che si concentra uno dei principali contrasti tra Iqvia e il Garante. Nelle proprie memorie difensive, riportate nel provvedimento, la società ha sostenuto di non controllare né gestire il processo di pseudonimizzazione, che sarebbe avvenuto «interamente a monte» della trasmissione, all’interno del gestionale del medico. Il codice alfanumerico assegnato al paziente, ha affermato Iqvia, veniva generato direttamente sul sistema del Mmg, mentre la chiave che consentiva di ricollegarlo alla sua identità rimaneva nel gestionale e non era accessibile alla società.

Il Garante è arrivato però a conclusioni differenti. Secondo l’Autorità, le informazioni presenti in Lpd non potevano essere considerate anonime perché il codice associato a ciascun paziente, combinato con un patrimonio informativo dettagliato – anno di nascita, sesso, diagnosi, sintomi, prescrizioni, esami, vaccinazioni e informazioni geografiche – consentiva di seguire nel tempo il singolo assistito e rendeva possibile, «con mezzi ragionevoli», la sua reidentificazione. Il Garante ha inoltre ritenuto Iqvia titolare del trattamento, osservando che la società determinava sia la finalità – l’alimentazione di Lpd – sia i mezzi delle operazioni necessarie alla raccolta.

All’istruttoria, avviata dopo gli accertamenti ispettivi dell’aprile 2025, è stato inoltre riunito il procedimento relativo a una violazione di dati personali notificata dalla stessa Iqvia. In alcuni campi a testo libero, secondo quanto comunicato dalla società e riportato dal Garante, erano infatti confluite informazioni direttamente identificative relative a 3.370 pazienti; per 3.080 di questi erano presenti anche dati sulla salute. Iqvia ha ricondotto l’accaduto a una serie di fattori concomitanti che avrebbero impedito il corretto funzionamento del processo previsto per eliminare tali informazioni.

Da qui le contestazioni dell’Autorità: trattamento di dati sanitari senza un’idonea base giuridica, carenze nell’informativa agli interessati, mancata definizione dei tempi di conservazione – con informazioni risalenti fino al 2001 – assenza della valutazione d’impatto e misure di sicurezza giudicate insufficienti. Entro 120 giorni Iqvia dovrà adeguare il trattamento alle prescrizioni del Garante qualora intenda proseguire l’attività; in alternativa, l’anonimizzazione dovrà essere effettuata autonomamente dai medici secondo le garanzie indicate dall’Autorità. Nel determinare la sanzione di 7 milioni, il Garante ha considerato anche la cessazione dell’invio dei dati da parte dei Mmg a partire dal 2023 e la collaborazione prestata dalla società durante il procedimento.