In chiaro i dati sanitari di un milione di pazienti, scatta multa da 7 milioni a Iqvia

Dall’anno di nascita al sesso, passando per diagnosi, sintomi, prescrizioni, esami, vaccinazioni e dati di localizzazione. Le informazioni sulla salute di un milione di pazienti di 800 medici di famiglia, inserite in una banca dati costituita da Iqvia Solutions Italy, non sarebbero state anonime. Proprio per questo la società, parte di un gruppo multinazionale attivo nell’analisi dei dati sanitari e nella ricerca clinica, è stata sanzionata per sette milioni di euro da parte del Garante per la protezione dei dati personali. Il dataset sarebbe stato utilizzato per studi commissionati anche da aziende farmaceutiche e vi sarebbero confluite anche informazioni identificative come nomi, codici fiscali, indirizzi e recapiti di oltre 3.300 pazienti, di cui più di tremila insieme a dati sulla salute.

La vicenda

Secondo la ricostruzione del Garante, il codice associato a ciascun paziente avrebbe consentito di seguirlo nel tempo e, grazie alle informazioni contenute nella banca dati, sarebbe dunque stato possibile isolare e reidentificare i singoli pazienti «con mezzi ragionevoli».

L’autorità accusa la società anche di aver trattato dati sulla salute senza un’idonea base giuridica e senza informare adeguatamente i pazienti. In aggiunta, Iqvia non avrebbe definito i tempi di conservazione. I dati, infatti, risalivano fino al 2001. Infine, secondo il Garante, non sarebbe stata effettuata la valutazione d’impatto e non sarebbero state adottate misure di sicurezza adeguate.

In una nota, il Garante ha precisato che, qualora intenda proseguire l’attività, la società dovrà adeguare il trattamento dei dati entro 120 giorni, attenendosi alle prescrizioni dell’autorità. In caso contrario, l’anonimizzazione dovrà essere effettuata autonomamente dai medici, sempre secondo le garanzie indicate dal Garante.

La risposta di Iqvia

Iqvia ha annunciato che «si riserva il diritto di presentare ricorso». In sua difesa, la società ha spiegato infatti che il dataset a cui si riferisce il Garante non viene utilizzato nello svolgimento dei servizi di ricerca clinica e non è correlato alla conduzione di studi clinici per conto degli sponsor.