Pazienti identificabili nella banca dati: 7 milioni di multa per Iqvia

Il problema non sarebbe stato soltanto la quantità di informazioni raccolte, ma la possibilità di risalire ai singoli pazienti. Una banca dati gestita da Iqvia Solutions Italy avrebbe infatti consentito di collegare nel tempo i dati sanitari a persone identificabili, secondo la ricostruzione del Garante per la protezione dei dati personali.

Per questo l’autorità ha inflitto alla società una sanzione di 7 milioni di euro. Iqvia, che fa parte di un gruppo multinazionale attivo nell’analisi delle informazioni sanitarie e nella ricerca clinica, ha fatto sapere di riservarsi la possibilità di impugnare il provvedimento.

Il nodo della possibile reidentificazione

La banca dati raccoglieva informazioni provenienti da 800 medici di famiglia e riguardava circa un milione di pazienti. Al suo interno figuravano, tra gli altri elementi, anno di nascita, sesso, diagnosi, sintomi, prescrizioni, esami, vaccinazioni e dati sulla localizzazione.

Secondo il Garante, il codice assegnato a ogni assistito avrebbe permesso di seguirne la storia nel corso degli anni. L’incrocio tra questo identificativo e gli altri dati disponibili avrebbe quindi reso possibile isolare e riconoscere i singoli pazienti con strumenti considerati ragionevolmente accessibili.

La situazione sarebbe stata aggravata dalla presenza di informazioni direttamente identificative relative a oltre 3.300 persone: nomi, codici fiscali, indirizzi e recapiti. Per più di 3.000 di loro, tali elementi risultavano associati anche a dati riguardanti la salute.

Le contestazioni sulla gestione dei dati

Il Garante sostiene che le informazioni sanitarie siano state trattate senza una base giuridica adeguata e senza comunicazioni sufficientemente chiare agli interessati. Tra gli aspetti contestati rientra anche l’assenza di criteri definiti per stabilire quanto a lungo conservare i dati, alcuni dei quali risalivano al 2001.

L’autorità ha inoltre rilevato la mancata valutazione d’impatto e l’adozione di misure di sicurezza ritenute non adeguate. La banca dati sarebbe stata impiegata per analisi commissionate anche da imprese farmaceutiche, elemento che ha contribuito alla complessità del caso.

Se vorrà continuare a svolgere l’attività, Iqvia dovrà modificare il trattamento entro 120 giorni e rispettare le prescrizioni indicate dall’autorità. Qualora decidesse di non procedere in questa direzione, spetterebbe ai medici occuparsi direttamente dell’anonimizzazione, seguendo le garanzie stabilite dal Garante.

La replica della società

Iqvia contesta però il collegamento tra la banca dati esaminata e i servizi di ricerca clinica. In una nota, l’azienda ha precisato che le informazioni citate nel provvedimento non vengono utilizzate per le proprie attività di ricerca clinica.

La società ha aggiunto che il patrimonio informativo non sarebbe collegato alla realizzazione di studi clinici per conto dei soggetti finanziatori. Nel frattempo, ha comunicato che «si riserva il diritto di presentare ricorso» contro la decisione.