Dati sanitari esposti: Iqvia rischia 7 milioni e 120 giorni per rimediare

Filippo Anelli, presidente della Federazione degli Ordini dei Medici Chirurghi e degli Odontoiatri (Fnomceo), esclude responsabilità per i medici di famiglia. A suo avviso, il compito di proteggere le informazioni spettava all’azienda, mentre i pazienti non erano stati avvertiti che i loro dati potevano restare leggibili.

Anelli sottolinea comunque che i professionisti devono continuare a prestare la massima attenzione agli obblighi sulla riservatezza. Il suo intervento arriva dopo la decisione del Garante della privacy nei confronti di Iqvia Solutions Italy.

Iqvia valuta il ricorso

La società ha preso atto del provvedimento e ha fatto sapere di riservarsi la possibilità di impugnarlo. Iqvia sostiene inoltre che l’archivio esaminato dall’Autorità non viene impiegato nei propri servizi di ricerca clinica e non riguarda studi condotti per conto di aziende committenti.

L’azienda afferma di aver collaborato con il Garante durante l’istruttoria e di aver già introdotto gli interventi richiesti per adeguarsi alle indicazioni ricevute. La società opera nell’analisi di informazioni sanitarie e nei servizi destinati alla ricerca clinica, soprattutto per i comparti farmaceutico e sanitario.

Un archivio con dati leggibili

Nel sistema informatico erano presenti informazioni relative a più di un milione di assistiti appartenenti a 800 medici di base. Il materiale comprendeva, tra gli altri elementi, anno di nascita, sesso, diagnosi, terapie prescritte, esami effettuati e vaccinazioni, con dati che arrivavano fino al 2001.

In oltre 3.300 casi comparivano anche elementi capaci di identificare direttamente le persone, come nome, codice fiscale, domicilio e recapiti. Per più di 3.000 pazienti queste informazioni erano associate a notizie riguardanti lo stato di salute.

Le contestazioni del Garante

Secondo l’Autorità, Iqvia doveva essere considerata responsabile del trattamento già nel momento in cui acquisiva le informazioni dagli ambulatori. L’azienda avrebbe utilizzato dati sanitari senza una base giuridica adeguata e senza fornire agli interessati comunicazioni sufficienti sulle modalità di gestione.

Il Garante ha inoltre rilevato l’assenza di un termine preciso per la conservazione dell’archivio, di una valutazione d’impatto e di adeguate misure di sicurezza. Il procedimento è nato dagli accertamenti svolti nell’aprile 2025 ed è stato riunito con un altro fascicolo, aperto dopo una segnalazione della stessa società relativa a una violazione di dati personali.

Multa e obblighi entro 120 giorni

Per le violazioni contestate, Iqvia dovrà pagare una sanzione di 7 milioni di euro. Se vorrà continuare a utilizzare le informazioni, dovrà modificare entro 120 giorni le modalità di trattamento rispettando le prescrizioni dell’Autorità.

Qualora l’attività proseguisse senza l’adeguamento richiesto, l’anonimizzazione dovrebbe essere effettuata direttamente dai medici, seguendo le garanzie stabilite dal Garante. L’Autorità ha così collegato la prosecuzione del trattamento alla messa in sicurezza dell’intero patrimonio informativo.