Dati sanitari e anonimizzazione: il caso IQVIA mostra quando il GDPR continua ad applicarsi

In breve

Il provvedimento n. 710 del 23 settembre 2026, reso pubblico il 2 ottobre, riguarda una banca dati costruita con informazioni sanitarie di circa un milione di pazienti provenienti da 800 medici di medicina generale. IQVIA riteneva quei dati anonimi, ma il Garante ha concluso diversamente perché la combinazione tra codice paziente, serie storiche molto dettagliate e altri elementi, compresa la localizzazione, consentiva di isolare i singoli e rendeva possibile la reidentificazione con mezzi ragionevoli. La decisione non significa che ogni dataset pseudonimizzato sia automaticamente illecito. Mostra però che anonimizzazione, ruoli, base giuridica, conservazione, valutazione d’impatto e sicurezza devono essere progettati e documentati sulla realtà del trattamento, non sull’etichetta attribuita al database.

 

Il punto non è il nome, ma ciò che il dataset permette di sapere

Togliere nome e codice fiscale, oppure sostituirli con un identificativo tecnico, non trasforma automaticamente un insieme di informazioni in dati anonimi. Nel database esaminato dal Garante ogni paziente era associato a un codice che permetteva di seguirne la storia nel tempo; a questo si aggiungevano anno di nascita, sesso, diagnosi, sintomi, prescrizioni, esami, vaccinazioni e informazioni di localizzazione.

È la combinazione di questi elementi a cambiare la valutazione. Un singolo dato può sembrare poco distintivo, mentre una sequenza longitudinale ricca e stabile può rendere una persona riconoscibile nel contesto. Il Garante ha ritenuto possibile isolare il singolo paziente e ha valutato che, disponendo di informazioni ulteriori ragionevolmente accessibili, la reidentificazione non fosse meramente teorica. Per questo il database non è stato considerato esterno al GDPR.

 

Un database “anonimo” non può dipendere da una dichiarazione organizzativa

La conseguenza pratica interessa chi costruisce archivi destinati a ricerca, statistiche, analisi di mercato o sviluppo di servizi basati sui dati. L’anonimizzazione non è una qualifica che il titolare può attribuire una volta per tutte al dataset, ma il risultato di una valutazione tecnica e giuridica che deve considerare struttura dei dati, granularità, possibilità di collegamento con altre fonti, evoluzione degli strumenti e contesto nel quale le informazioni vengono utilizzate.

Nel caso IQVIA il Garante ha ricondotto alla società il ruolo di titolare del trattamento già dalla raccolta dei dati presso i medici. Da questa qualificazione discendono responsabilità che non possono essere neutralizzate sostenendo che il prodotto finale sia anonimo. Se il processo di anonimizzazione non raggiunge davvero quel risultato, le regole sul trattamento dei dati personali, e in particolare dei dati relativi alla salute, continuano ad applicarsi.

 

Le criticità non si fermano all’anonimizzazione

Il provvedimento non riguarda un solo requisito. L’Autorità ha contestato anche l’assenza di una base giuridica idonea per il trattamento dei dati sulla salute, carenze nell’informativa agli interessati, l’assenza di tempi di conservazione definiti, la mancata valutazione d’impatto e misure di sicurezza ritenute inadeguate. La banca dati conteneva informazioni che risalivano fino al 2001.

L’istruttoria ha inoltre accertato che nel database erano confluite informazioni direttamente identificative di oltre 3.300 pazienti e che, in più di 3.000 casi, tali informazioni erano associate a dati sanitari. Questo elemento rafforza la gravità concreta del caso, ma non esaurisce il problema: anche al netto della presenza di identificativi diretti, la questione centrale resta la capacità del dataset principale di distinguere e potenzialmente ricondurre i dati a persone determinate.

 

Cosa cambia per sanità, ricerca e analytics

Il primo insegnamento riguarda i progetti in cui l’anonimizzazione viene usata come presupposto per far uscire i dati dal perimetro del GDPR. In questi casi serve una verifica documentata prima dell’utilizzo e, quando il dataset cambia o aumenta la disponibilità di fonti esterne, la tenuta dell’anonimizzazione va rivalutata. Il controllo è particolarmente importante per gli archivi longitudinali, nei quali l’accumulo di eventi nel tempo può rendere un profilo molto più riconoscibile di quanto appaia osservando i singoli campi separatamente.

Il secondo insegnamento riguarda la progettazione. Il Garante ha discusso misure tecniche che intervengono sui cosiddetti quasi-identificatori e sulla possibilità di ricostruire informazioni riferibili al singolo. Sono indicazioni legate al caso concreto e non vanno trasformate in una ricetta universale, ma mostrano la direzione: l’anonimizzazione deve essere incorporata nell’architettura del trattamento e verificata con criteri tecnici documentabili.

Il terzo insegnamento riguarda i ruoli. Se un soggetto decide finalità, struttura del database, modalità di raccolta e uso del patrimonio informativo, non basta descrivere contrattualmente il flusso in modo diverso per eliminare le responsabilità che derivano dalle decisioni effettivamente assunte. Prima di costruire la documentazione occorre quindi ricostruire chi decide davvero cosa e perché.

 

Il precedente francese e le linee guida europee: stesso problema, casi diversi

Il nome IQVIA non è nuovo nel dibattito europeo. Il 26 maggio 2026 l’autorità francese per la protezione dei dati ha sanzionato IQVIA Operations France per 5 milioni di euro, in un procedimento autonomo che riguardava due diversi archivi di dati sanitari. Anche in quel caso l’autorità ha ritenuto i dati pseudonimizzati e non anonimi. Il procedimento italiano riguarda però una società, un’istruttoria e fatti differenti e non va presentato come una semplice prosecuzione di quello francese.

La convergenza sta nel problema tecnico-giuridico: quando si afferma che un dataset è anonimo, occorre verificare se sia ancora possibile isolare una persona, collegare informazioni che la riguardano o inferire elementi aggiuntivi. Sullo stesso terreno si collocano le Linee guida 02/2026 del Comitato europeo per la protezione dei dati sull’anonimizzazione, adottate in versione per consultazione pubblica. Alla data del 4 ottobre 2026 la consultazione è ancora aperta fino al 30 ottobre, quindi il documento è un riferimento interpretativo importante ma non un testo definitivo.

 

Un controllo concreto prima di dichiarare i dati “anonimi”

Per un’organizzazione la domanda utile non è “abbiamo tolto i nomi?”, ma “che cosa può fare realisticamente chi dispone di questo dataset, da solo o combinandolo con altre informazioni ragionevolmente accessibili?”. È su questa domanda che devono convergere competenze privacy, sicurezza, data science e conoscenza del contesto operativo.

Prima di fondare un progetto sull’idea che il GDPR non si applichi più, è opportuno documentare quali attributi possono distinguere le persone, quali collegamenti esterni sono plausibili, quali tecniche riducono il rischio, quali test sono stati usati, chi ha validato il risultato e con quale periodicità la valutazione verrà ripetuta. Se il dato resta personale, occorre tornare al percorso ordinario: finalità, base giuridica, condizioni per i dati particolari, informativa, minimizzazione, conservazione, ruoli, valutazione d’impatto quando necessaria e sicurezza.

 

Conclusione: anonimizzare significa rendere la persona non ragionevolmente riconoscibile

La sanzione a IQVIA non dice che l’uso secondario dei dati sanitari sia impossibile, né che la ricerca basata su grandi archivi debba fermarsi. Dice qualcosa di più concreto: se un’organizzazione vuole beneficiare della libertà che deriva dall’uso di dati realmente anonimi, deve dimostrare che l’anonimizzazione regge nella pratica e non soltanto nella descrizione del progetto.

Quando un codice stabile, una storia clinica molto dettagliata e altri elementi permettono di distinguere il singolo e rendono plausibile la reidentificazione, il GDPR continua a essere il punto di partenza. La questione non è trovare una formula che faccia apparire anonimo un database, ma progettare il trattamento in modo che la persona non sia più ragionevolmente riconoscibile oppure, se questo risultato non è raggiunto, applicare senza scorciatoie le garanzie previste per i dati personali e sanitari.

Fonti e riferimenti

• Garante per la protezione dei dati personali, comunicato del 2 ottobre 2026: https://www.garanteprivacy.it/home/docweb/-/docweb-display/docweb/10302141
• Garante per la protezione dei dati personali, provvedimento n. 710 del 23 settembre 2026: https://www.garanteprivacy.it/web/guest/home/docweb/-/docweb-display/docweb/10302112
• Comitato europeo per la protezione dei dati, Guidelines 02/2026 on Anonymisation, consultazione aperta fino al 30 ottobre 2026: https://www.edpb.europa.eu/public-consultations/guidelines-022026-on-anonymisation_en
• CNIL, Health data: fine of 5 million euros against IQVIA, 28 maggio 2026: https://www.cnil.fr/en/health-data-fine-5-million-euros-against-iqvia
• ANSA, 2 ottobre 2026, utilizzata come canale di scoperta secondario: https://www.ansa.it/canale_saluteebenessere/notizie/sanita/2026/10/02/in-chiaro-i-dati-sanitari-di-un-milione-di-pazienti_bd4bd809-d666-48f9-9c0b-798047945178.html
• iSimply, Anonimizzazione e web scraping per l’IA, luglio 2026: https://www.isimply.it/news/anonimizzazione-e-web-scraping-per-l-ia/

 

Nota di trasparenza
Questo contenuto è stato predisposto con il supporto di strumenti di intelligenza artificiale ed è stato revisionato dalla redazione iSimply, che ne assume la responsabilità editoriale.