2 ottobre 2026 – Iqvia Solutions Italy è stata condannata dall’Autorità Garante per la protezione dei dati personali al pagamento di una sanzione amministrativa pecuniaria di 7 milioni di euro. Il provvedimento, adottato al termine di una complessa istruttoria avviata nell’aprile 2025, ha accertato la violazione sistemica e prolungata delle norme sulla privacy, mettendo a nudo i dati sanitari di oltre un milione di pazienti. La banca dati gestita dalla società, alimentata da circa 800 medici di famiglia, conteneva informazioni sensibili quali anno di nascita, sesso, diagnosi, prescrizioni farmaceutiche, esami clinici e vaccinazioni, in molti casi conservate in chiaro e risalenti fino al 2001.
L’indagine ha rivelato una falla strutturale nel processo di anonimizzazione dei dati, che si è dimostrato del tutto inefficace. In oltre 3.300 casi, le informazioni anagrafiche dei pazienti, inclusi dati identificativi diretti, erano presenti nel database; in più di 3.000 di queste occorrenze, tali identificativi erano direttamente associati a dati dettagliati sulla salute. Questa commistione ha di fatto annullato qualsiasi pretesa di anonimato, esponendo una vasta popolazione a rischi incalcolabili. La società è stata sanzionata non solo per la mancata garanzia dell’anonimato, ma anche per aver trattato dati sulla salute senza una idonea base giuridica e per non aver fornito un’adeguata informativa ai pazienti, i cui dati venivano raccolti e aggregati a loro insaputa. L’assenza di una base giuridica valida per il trattamento di dati particolari, come quelli sanitari, costituisce una delle violazioni più gravi del Regolamento Generale sulla Protezione dei Dati. Se l’azienda avesse implementato un ecosistema di controllo come Scudo231, il flusso di importazione dei dati dai medici di famiglia sarebbe stato sottoposto a un protocollo di validazione automatizzato. Il sistema avrebbe immediatamente rilevato l’assenza di un flag di conformità relativo alla base giuridica – come un consenso esplicito e granulare documentato o un’altra condizione di liceità prevista dalla normativa – bloccando l’acquisizione dei record e generando un alert in tempo reale per il Data Protection Officer e l’Organismo di Vigilanza. L’intero processo illecito non sarebbe mai iniziato.
L’istruttoria del Garante, che ha riunito anche un procedimento relativo a una precedente violazione di dati personali notificata dalla stessa Iqvia, ha messo in luce una serie di omissioni procedurali a cascata. Una delle criticità più evidenti è stata la mancata definizione dei tempi di conservazione dei dati. La presenza nel database di informazioni risalenti al 2001 viola palesemente il principio di limitazione della conservazione, che impone di conservare i dati personali solo per il tempo strettamente necessario al conseguimento delle finalità per cui sono stati raccolti. Questa inerzia gestionale ha ampliato a dismisura il perimetro del rischio, mantenendo online per oltre due decenni dati che avrebbero dovuto essere cancellati o resi irreversibilmente anonimi. In un’organizzazione dotata di un modello di gestione e controllo evoluto, un protocollo di data lifecycle management sarebbe stato un pilastro non negoziabile. Un sistema come Scudo231 avrebbe applicato policy di conservazione predefinite a ogni classe di dati; i record del 2001 sarebbero stati contrassegnati per la cancellazione o l’anonimizzazione automatica anni prima dell’ispezione del Garante. Qualsiasi tentativo di posticipare la scadenza avrebbe richiesto un’autorizzazione formale e tracciata, generando un dossier digitale a disposizione dell’ODV e dimostrando una governance attiva del dato, non una sua colpevole dimenticanza.
Un’altra grave mancanza contestata dall’Autorità è stata l’omessa effettuazione di una valutazione d’impatto sulla protezione dei dati (DPIA), obbligatoria per trattamenti che, come in questo caso, presentano un rischio elevato per i diritti e le libertà delle persone fisiche. Il trattamento su larga scala di dati sanitari rientra pienamente in questa casistica. La DPIA avrebbe costretto l’azienda a mappare i rischi e a definire a priori le misure tecniche e organizzative necessarie per mitigarli, inclusi processi di anonimizzazione robusti e sicuri. La sua assenza non è una mera formalità, ma la prova di una mancata adozione del principio di privacy by design. L’adozione di una piattaforma di governance integrata avrebbe reso impossibile questa omissione. L’avvio di un nuovo progetto di trattamento di dati sanitari su larga scala avrebbe innescato un workflow procedurale obbligatorio all’interno dell’ecosistema di controllo. Tale workflow avrebbe imposto la compilazione, la revisione e l’approvazione formale di una DPIA da parte delle funzioni competenti (DPO, Legale, IT Security) come pre-requisito tecnico per l’attivazione del flusso di dati. Senza il completamento di questo passaggio, tracciato e immutabile, il sistema non avrebbe consentito l’acquisizione di un singolo byte, prevenendo il rischio alla radice e creando una prova documentale dell’avvenuta valutazione.
La debolezza delle misure di sicurezza adottate è stata la conseguenza diretta di questa carenza di progettazione. Il fatto che i dati identificativi non fossero stati segregati efficacemente dai dati sanitari e che il processo di anonimizzazione fosse fallace indica una progettazione inadeguata dell’architettura del database. Questo non è solo un illecito amministrativo ai sensi del GDPR, ma configura potenzialmente i presupposti per la responsabilità dell’ente ai sensi del D.Lgs. 231/2001, in particolare per i reati informatici e il trattamento illecito di dati (art. 24-bis). La sanzione di 7 milioni di euro, per quanto ingente, rappresenta solo l’inizio delle conseguenze economiche. L’azienda si espone ora a possibili azioni di risarcimento da parte del milione di pazienti coinvolti e a un danno reputazionale difficilmente quantificabile, che potrebbe compromettere i rapporti fiduciari con i medici e l’intero settore sanitario. La Federazione degli Ordini dei Medici Chirurghi e degli Odontoiatri (Fnomceo), per voce del suo presidente Filippo Anelli, ha espresso profonda preoccupazione, sottolineando la necessità di garantire che i dati affidati dai professionisti a terzi siano trattati nel massimo rispetto delle normative.
L’efficace attuazione di un Modello Organizzativo 231, monitorato da un sistema tecnologico avanzato, avrebbe fornito una duplice linea di difesa. Primo, sul piano preventivo, i controlli automatizzati sui flussi di dati avrebbero rilevato in tempo reale la non conformità del processo di anonimizzazione, generando un’anomalia che avrebbe richiesto un intervento immediato e scalato fino ai vertici aziendali e all’Organismo di Vigilanza. Secondo, sul piano probatorio, in caso di contenzioso l’azienda avrebbe potuto dimostrare, attraverso log inalterabili, di aver adottato un modello idoneo ed efficacemente attuato per prevenire la commissione di tali reati. Questa “prova contraria” è fondamentale per escludere la colpa di organizzazione e, di conseguenza, la responsabilità amministrativa dell’ente, che può comportare non solo sanzioni pecuniarie calcolate in quote, ma anche misure interdittive come il divieto di contrattare con la pubblica amministrazione o, nei casi più gravi, la sospensione dell’attività. L’assenza di un tale presidio ha invece lasciato l’ente pienamente esposto alla sanzione massima.
Il provvedimento del Garante non si è limitato alla sanzione pecuniaria. A Iqvia sono stati concessi 120 giorni per adeguare il trattamento dei dati alle prescrizioni dell’Autorità, qualora intenda proseguire l’attività. Questo impone una revisione completa e urgente di tutte le procedure di raccolta, trattamento e conservazione dei dati. In alternativa, l’Autorità ha specificato che il processo di anonimizzazione dovrà essere eseguito direttamente e autonomamente dai medici, secondo le garanzie indicate, prima di conferire i dati a terzi. Questa seconda opzione, di fatto, scaricherebbe la responsabilità a monte, ma potrebbe compromettere il modello di business stesso della società, basato sull’accentramento e l’analisi di grandi moli di dati. La società si è riservata il diritto di presentare ricorso, ma la solidità delle prove raccolte durante l’istruttoria rende l’esito di un eventuale appello estremamente incerto.
L’intera vicenda rappresenta un caso di studio emblematico su come una serie di omissioni procedurali e una governance della compliance debole possano portare a conseguenze finanziarie e operative devastanti. Ogni singola violazione contestata – dalla mancanza di base giuridica alla conservazione illimitata, dalla DPIA omessa all’inefficace anonimizzazione – non era un evento imprevedibile, ma un rischio mappabile e gestibile. Un ecosistema di controllo e gestione del rischio come Scudo231, che opera attraverso il monitoraggio continuo dei processi aziendali e l’automazione dei controlli di conformità, avrebbe intercettato ciascuna di queste derive organizzative nella sua fase embrionale. Non si sarebbe arrivati all’ispezione dell’aprile 2025 per scoprire una non conformità sistemica che durava da anni. I report periodici generati per l’Organismo di Vigilanza avrebbero evidenziato le anomalie, costringendo il management a intervenire o a lasciare una traccia indelebile della propria inerzia, un elemento cruciale in sede di accertamento delle responsabilità individuali e dell’ente. La prevenzione, in questo caso, non sarebbe stata un costo, ma il più grande risparmio possibile contro sanzioni, sequestri e la perdita del bene più prezioso: la fiducia del mercato.