Il Garante per la protezione dei dati personali ha comminato una multa da 7 milioni di euro a IQVIA Solutions Italy, società attiva nel settore dei dati sanitari. L'autorità ha accertato che l'azienda aveva costruito una maxi banca dati con le informazioni sanitarie di un milione di pazienti assistiti da 800 medici di famiglia, senza che il processo di anonimizzazione fosse realmente efficace. I dati, potenzialmente riconducibili a persone fisiche, sarebbero stati utilizzati per addestrare algoritmi di intelligenza artificiale e per finalità di ricerca e marketing.
Anonimizzazione fallita e violazioni del GDPR
Secondo il provvedimento, IQVIA non avrebbe adottato misure tecniche adeguate a rendere i dati realmente anonimi. Le informazioni raccolte, che includevano prescrizioni farmaceutiche, patologie e codici fiscali, erano in grado di re-identificare gli assistiti incrociandole con altre fonti. Il Garante ha quindi contestato la violazione degli articoli 5, 6, 9 e 25 del GDPR, relativi ai principi di liceità, minimizzazione, trattamento dei dati sanitari e protezione fin dalla progettazione. La società non avrebbe nemmeno acquisito un valido consenso esplicito dagli interessati.
Le conseguenze per il settore
La sanzione non è solo una questione economica: rappresenta un monito per tutte le aziende che trattano dati sanitari per conto di strutture pubbliche o private. L'uso dell'intelligenza artificiale in ambito medico richiede garanzie stringenti, e il caso IQVIA dimostra che l'anonimizzazione non può essere una semplice formalità. Il Garante ha inoltre ordinato la cancellazione dei dati illecitamente trattati e l'adozione di misure correttive entro un termine prestabilito. La vicenda riaccende il dibattito sulla tutela della privacy nell'era dei big data sanitari e sull'equilibrio tra innovazione e diritti fondamentali.
