Anno di nascita, sesso, diagnosi, prescrizioni, esami, vaccinazioni: erano in chiaro i dati di oltre un milione di pazienti di 800 medici di famiglia contenuti nella banca dati dell'azienda Iqvia Solutions Italy e che risalivano fino al 2001. Per questo l'azienda è finita nel mirino del Garante della privacy, che l'ha multata per 7 milioni di euro. Nella banca dati sono inoltre confluite informazioni identificative (nomi, codici fiscali, indirizzi, recapiti) di oltre 3.300 pazienti, in più di 3.000 casi accompagnate da dati sulla salute.
Specializzata nella fornitura di analisi di dati sanitari e servizi di ricerca clinica per i settori farmaceutico e sanitario, Iqvia è stata sanzionata per non aver garantito l'anonimato dei dati. Il provvedimento è stato adottato al termine di un'istruttoria avviata dopo gli accertamenti svolti nell'aprile 2025 e alla quale, informa l'ufficio del garante, è stato riunito il procedimento relativo a una violazione di dati personali notificata dalla stessa società.
"Iqvia prende atto della decisione adottata dall'Autorità Garante per la protezione dei dati personali e si riserva il diritto di presentare ricorso", rende noto l'azienda. "Il dataset cui si riferisce la decisione dell'Autorità - aggiunge - non viene utilizzato da Iqvia nello svolgimento dei servizi di ricerca clinica e non è correlato alla conduzione di studi clinici per conto degli sponsor". L'azienda osserva di avere "collaborato in modo costruttivo con il garante per la protezione dei dati personali nel corso dell'intero procedimento" e di avere "già adottato le misure necessarie per assicurare il pieno allineamento alle indicazioni fornite dall'Autorità".
Per il garante l'azienda è ritenuta "titolare del trattamento fin dalla raccolta dei dati presso i medici" ed è stata sanzionata per avere "trattato dati sulla salute senza un'idonea base giuridica e senza informare adeguatamente i pazienti". Non sono stati definiti nemmeno i tempi di conservazione dei dati che, informa l'ufficio del Garante, "risalivano fino al 2001".
Non è stata inoltre eseguita la valutazione d'impatto né sono state adottate misure di sicurezza adeguate.
Se l'azienda intende proseguire l'attività, entro 120 giorni dovrà adeguare il trattamento dei dati attenendosi alle prescrizioni del Garante. In alternativa, l'anonimizzazione dovrà essere eseguita autonomamente dai medici, secondo le garanzie indicate dall'Autorità.
In questa vicenda non c'è nessuna responsabilità da parte dei medici, osserva il presidente della Federazione degli Ordini dei Medici Chirurghi e degli Odontoiatri (Fnomceo), Filippo Anelli."L'azienda avrebbe dovuto garantire il rispetto dei principi della privacy", ma la sua gestione dei dati, "non è stata aderente alle norme sulla privacy" e i "pazienti non sapevano che i loro dati non erano stati oscurati", osserva. "I medici sono tenuti a rispettare le norme della privacy e la mia preoccupazione - rileva - è comprendere se ci siano eventuali responsabilità da parte dei medici, e non ce ne sono. Ma questo non toglie che i medici non debbano essere attenti"
Riproduzione riservata © Copyright ANSA