COMUNICATO STAMPA – Dati sanitari: il Garante privacy sanziona IQVIA per 7 milioni di euro. Non anonimi i dati di un milione di pazienti di 800 medici di famiglia
Garante Privacy – 2 ottobre 2026 Roma
Il Garante per la protezione dei dati personali ha sanzionato IQVIA Solutions Italy S.r.l. per 7 milioni di euro. La società, parte di un gruppo multinazionale attivo nell’analisi dei dati sanitari e nella ricerca clinica, aveva 
costituito una banca dati con informazioni sulla salute di un milione di pazienti di 800 medici di medicina generale, utilizzata per studi commissionati anche da aziende farmaceutiche.
Il provvedimento (n.710 del 23 settembre 2026) è stato adottato al termine di un’istruttoria avviata a seguito di accertamenti ispettivi, svolti ad aprile 2025, alla quale è stato riunito il procedimento relativo a una violazione di dati personali notificata dalla stessa società.
Per il Garante i dati utilizzati non erano anonimi, come sostenuto dalla società. Il codice associato a ciascun paziente consentiva, infatti, di seguirlo nel tempo.
Unito a un patrimonio informativo molto dettagliato (anno di nascita, sesso, diagnosi, sintomi, prescrizioni, esami, vaccinazioni, oltre a dati di localizzazione) rendeva possibile isolare i singoli pazienti e, con mezzi ragionevoli, reidentificarli. L’Autorità ha inoltre ritenuto IQVIA titolare del trattamento fin dalla raccolta dei dati presso i medici.
La società ha trattato dati sulla salute senza un’idonea base giuridica e senza informare adeguatamente i pazienti. Non ha definito i tempi di conservazione: i dati risalivano fino al 2001.
Non ha effettuato la valutazione d’impatto e non ha adottato misure di sicurezza adeguate.
Nella banca dati sono confluiti anche informazioni identificative (nomi, codici fiscali, indirizzi, recapiti) di oltre 3.300 pazienti, di cui più di 3.000 insieme a dati sulla salute.
Entro 120 giorni la società dovrà adeguare il trattamento, qualora intenda proseguire l’attività, attenendosi alle prescrizioni dell’Autorità. In alternativa, l’anonimizzazione dovrà essere effettuata autonomamente dai medici, secondo le garanzie indicate dal Garante.
Nel quantificare la sanzione, l’Autorità ha tenuto conto del numero di pazienti coinvolti, della natura dei dati trattati e della cessazione del loro invio da parte di medici, a partire dal 2023, e della collaborazione prestata dalla società nel corso del procedimento.
Roma, 2 ottobre 2026
Nota:
Per “dato personale” si intende “qualsiasi informazione riguardante una persona fisica identificata o identificabile (“interessato”)”. Inoltre, “si considera identificabile la persona fisica che può essere identificata, direttamente o indirettamente, con particolare riferimento a un identificativo come il nome, un numero di identificazione, dati relativi all’ubicazione, un identificativo online o a uno o più elementi 
caratteristici della sua identità fisica, fisiologica, genetica, psichica, economica, culturale o sociale” (art. 4, paragrafo 1, n. 1 del Regolamento)
Il modello di contratto in esame (tra la società IMS Health Information Solutions Italy e i MMG) prevedeva la concessione al medico a titolo gratuito del programma, comprensivo non solo del gestionale e dei relativi servizi offerti ai medici ma anche dell’Add-on estrattore dei dati asseritamente anonimizzati per la trasmissione alla società IMS, poi successivamente denominata IQVIA Solutions Italy S.r.l.
Il dato anonimizzato è tale solo se non consente l’identificazione diretta o indiretta di una persona tenuto conto di tutti i mezzi (economici, informazioni, risorse tecnologiche, competenze, tempo) nella ragionevole disponibilità di chi (titolare o altro soggetto) provi a utilizzare tali strumenti per identificare un interessato.
I capi d’accusa
Con il predetto atto l’Ufficio del Garante ha notificato le seguenti presunte violazioni. La società ha posto in essere trattamenti di dati personali:
- in maniera non conforme ai principi di “liceità, correttezza e trasparenza”, in assenza di un idoneo presupposto normativo e non adempiendo all’obbligo di fornire preventivamente le informazioni all’interessato, in violazione degli artt. 5, par. 1, lett. a), 9, 12 e 13 del Regolamento;
- in maniera non conforme al principio di limitazione della conservazione dei dati (art. 5, par. 1, lett. e) del Regolamento);
- in violazione del principio di integrità e riservatezza (art. 5, par. 1, lett. f) e 32 del Regolamento);
- in violazione dell’art. 28 del Regolamento, non avendo effettuato la nomina di responsabili del trattamento dei MMG aderenti all’iniziativa della Società;
- in violazione del principio di responsabilizzazione e di privacy by design, di cui all’art. 5, par. 2 del Regolamento;
- in violazione dell’obbligo di effettuare la valutazione d’impatto ai sensi dell’art. 35 del Regolamento.
