Contenuto realizzato con il supporto di strumenti di intelligenza artificiale e revisionato dall'autore.
La pseudonimizzazione rende anonimi i dati sanitari secondo il GDPR? No. E il caso IQVIA lo ha dimostrato con sette milioni di euro di argomento.
Pseudonimizzazione dati sanitari: cosa dice il Garante dopo IQVIA
La pseudonimizzazione consiste nel sostituire gli identificatori diretti — nome, codice fiscale, numero di tessera sanitaria — con un codice che consente comunque di collegare nel tempo le informazioni relative alla stessa persona. Il GDPR la riconosce come misura di sicurezza utile, ma non la equipara all'anonimizzazione: il dato pseudonimizzato resta un dato personale perché la persona fisica rimane identificabile, anche solo indirettamente.
Nel provvedimento n. 710 del 23 settembre 2026 (doc. web 10302112), il Garante ha chiarito che il codice associato a ciascun paziente consentiva di seguirlo nel tempo, e che, unito a un patrimonio informativo molto dettagliato — anno di nascita, sesso, diagnosi, sintomi, prescrizioni, esami, vaccinazioni, oltre a dati di localizzazione — rendeva possibile isolare i singoli pazienti e, con mezzi ragionevoli, reidentificarli.
Il Garante ha accertato l'illiceità del trattamento di dati sanitari di oltre un milione di pazienti effettuato tramite database LPD per studi osservazionali, riscontrando violazioni dei principi di liceità, correttezza, trasparenza, limitazione della conservazione e privacy by design.
I dati risalivano fino al 2001. Venticinque anni di storia clinica aggregata per paziente, ogni anno un nuovo strato di informazioni che rendeva il profilo più definito e più facile da ricondurre a una persona reale.
Il test in tre passaggi che il Garante usa per valutare l'anonimizzazione
Il parametro valutativo non è arbitrario. I criteri sono ribaditi nelle recenti linee guida 02/2026 sull'anonimizzazione, adottate dal CEPD il 7 luglio 2026 e sottoposte a consultazione pubblica fino al 30 ottobre 2026, e devono essere utilizzati per valutare l'efficacia delle tecniche di reidentificazione degli interessati.
Il framework elaborato dal CEPD presenta tre criteri per verificare se un dato è anonimo: No Record Isolation, No Linkage e No Inference. Questi criteri devono essere usati per valutare l'efficacia delle possibili tecniche di reidentificazione.
In concreto, il test chiede: è possibile isolare nel dataset il record che corrisponde a una singola persona? È possibile collegare quel record ad altri dataset esterni per arricchire il profilo? È possibile inferire informazioni sensibili su un individuo anche senza isolarlo o collegarlo direttamente? Se tutti e tre i criteri sono superati, il dato può essere considerato anonimo. Se anche uno solo non lo è, il dato non diventa automaticamente personale: secondo il CEPD serve un'analisi ulteriore della probabilità concreta di reidentificazione.
Nel caso IQVIA, il primo criterio cadeva già al primo sguardo: il codice stabile, che legava a una sola persona una lunga sequenza di visite, diagnosi, prescrizioni ed esami, insieme all'anno di nascita, al sesso e al comune, rendeva possibile isolare il singolo paziente. Una storia clinica così dettagliata diventa essa stessa un elemento identificativo.
Il CEPD riconosce esplicitamente che il rischio di reidentificazione evolve nel tempo — con il progresso tecnologico, la crescente disponibilità di informazioni e lo sviluppo dell'intelligenza artificiale agentiva — e raccomanda una rivalutazione periodica del carattere anonimo, anche a seguito di un incidente di sicurezza. Chi costruisce oggi un dataset che supera il test fa bene a pianificare verifiche periodiche.
Dove inizia la titolarità del trattamento: il punto che i concorrenti di IQVIA non hanno letto
I commenti pubblicati subito dopo il provvedimento si sono concentrati sulla multa e sulla distinzione pseudonimizzazione-anonimizzazione. Hanno trascurato il passaggio che, dal punto di vista contrattuale e organizzativo, è il più dirompente.
L'Autorità ha ritenuto IQVIA titolare del trattamento fin dalla raccolta dei dati presso i medici. Non da quando i dati entravano nella banca dati analitica, non da quando venivano ceduti alle aziende farmaceutiche per gli studi osservazionali: da quando i medici di medicina generale li trasmettevano a IQVIA per la prima volta.
L'Autorità ha stabilito che IQVIA è da considerarsi titolare del trattamento fin dal momento della raccolta dei dati presso i medici.
Questo significa che l'intero perimetro contrattuale tra IQVIA e i circa 800 medici di famiglia era mal configurato: i medici erano, di fatto, soggetti che cedevano dati a un titolare autonomo — non responsabili del trattamento che agiscono per conto del titolare, e nemmeno semplici mittenti di dati anonimi. La società ha trattato dati sulla salute senza un'idonea base giuridica e senza informare adeguatamente i pazienti.
Il problema si ripresenta identico in ogni contratto di data service agreement — l'accordo con cui un laboratorio, un istituto di ricerca o un'azienda farmaceutica affida a un aggregatore esterno la raccolta e l'elaborazione di dati clinici. Se l'aggregatore riceve dati che, al momento della raccolta, non sono ancora anonimi, è titolare del trattamento da quel momento. Non importa che li definisca "pseudonimizzati" nella documentazione interna o nel contratto: la qualificazione giuridica dipende dalla sostanza, non dall'etichetta.
La massima latina res ipsa loquitur — la cosa parla da sé — riassume bene il ragionamento del Garante: quando un codice stabile collega venticinque anni di storia clinica a un singolo paziente, non serve altro per concludere che la persona è identificabile.
La sanzione CNIL: IQVIA già multata in Francia quattro mesi prima
Non è solo il Garante italiano ad aver alzato la voce. Con la délibération SAN-2026-008 del 26 maggio 2026 (resa nota il 28 maggio), l'autorità francese per la protezione dei dati (CNIL) ha inflitto la sanzione di 5 milioni di euro alla società IQVIA Operations France, filiale del gruppo multinazionale specializzata nell'analisi di dati sanitari e nella realizzazione di studi per il settore farmaceutico. Due autorità diverse, due paesi diversi, stessa società, stesso schema operativo: 5 milioni in Francia a maggio, 7 milioni in Italia a settembre. La convergenza tra le autorità europee su questo tema è un segnale che chi gestisce pipeline di dati sanitari non può ignorare.
Cosa deve fare concretamente chi gestisce dati sanitari di pazienti
Il Garante ha disposto che IQVIA deve conformarsi entro 120 giorni alle prescrizioni imposte, tra cui: interruzione del trattamento non conforme, implementazione di misure di sicurezza, pseudonimizzazione aggiuntiva, comunicazione agli interessati tramite SIMG, cancellazione dei dati oltre dieci anni, completamento della DPIA — la valutazione d'impatto sulla protezione dei dati — e aggiornamento delle informative privacy.
Per chi non è ancora nella posizione di IQVIA, le azioni preventive sono più semplici ed economiche. Prima di pubblicare o cedere un dataset che si ritiene anonimo, occorre:
Documentare il test in tre fasi (No Record Isolation, No Linkage, No Inference) e conservarne i risultati: il Garante, in caso di ispezione, chiede di vedere la valutazione, non solo il risultato. Verificare se esiste un codice stabile — anche interno, anche criptato — che colleghi nel tempo le informazioni dello stesso individuo: se esiste, il dato non è anonimo. Qualificare correttamente il ruolo contrattuale di ogni soggetto che tocca i dati prima dell'anonimizzazione: chi riceve dati ancora identificabili è titolare o responsabile del trattamento, non un semplice fornitore tecnico. Completare la DPIA prima di avviare il trattamento, non dopo l'ispezione. La carenza di consenso esplicito per il trattamento di dati sanitari particolari in database longitudinali richiede base legale solida e DPIA completata, non solo valutazioni interne di anonimizzazione.
Il Garante, nel provvedimento, ha tenuto conto dei costi dell'identificazione e del tempo necessario per effettuarla, valutando le tecnologie disponibili al momento del trattamento e gli sviluppi tecnologici. In alternativa, il processo di anonimizzazione dei dati dovrà essere svolto dai medici di medicina generale conformemente al quadro normativo vigente e alle indicazioni fornite dal CEPD nelle linee guida 02/2026.
Il punto sul tempo è sottovalutato: un dataset che oggi supera il test potrebbe non superarlo tra tre anni, quando i modelli di reidentificazione saranno più potenti. Il CEPD raccomanda di rivalutare periodicamente la probabilità di reidentificazione, anche dopo un incidente di sicurezza.
Nota dall'esperienza dello studio
Nelle pratiche che seguiamo in materia di protezione dei dati, l'errore più frequente nei contratti di ricerca clinica e nelle pipeline analitiche non è la mancanza di misure tecniche: è la qualificazione sbagliata dei ruoli. Il soggetto che riceve i dati viene definito "fornitore di servizi" o "elaboratore tecnico" nel contratto, quando in realtà determina le finalità e i mezzi del trattamento e va qualificato come titolare autonomo. Questa scelta — spesso fatta per semplicità o per abitudine — espone entrambe le parti: il mittente che pensa di avere un responsabile del trattamento sotto controllo, e il ricevente che pensa di non avere obblighi di base giuridica propria. Il provvedimento IQVIA dimostra che il Garante ricostruisce la catena dal primo anello, non dall'ultimo.
Domande frequenti
La pseudonimizzazione rende anonimi i dati personali?
No. La pseudonimizzazione sostituisce gli identificatori diretti con un codice, ma non elimina la possibilità di ricondurre i dati a una persona fisica. Secondo il GDPR e le linee guida CEPD 02/2026, un dato pseudonimizzato è ancora un dato personale e resta soggetto a tutte le regole del Regolamento, inclusa la necessità di una base giuridica per il trattamento.
Quando un dato sanitario è davvero anonimo secondo il GDPR?
Secondo le linee guida CEPD 02/2026, un dato è anonimo se supera il test in tre fasi: non deve essere possibile isolare il record di un singolo individuo, collegarlo a dati esterni, né inferire informazioni significative su di lui. Se uno dei criteri non è soddisfatto, occorre un'analisi ulteriore del rischio concreto di reidentificazione prima di poter considerare il dato anonimo. La valutazione va fatta caso per caso e ripetuta nel tempo, perché il rischio di reidentificazione cresce con l'evoluzione tecnologica.
Cosa rischia un'azienda che tratta dati pseudonimizzati come anonimi?
Rischia di essere considerata titolare del trattamento senza una base giuridica valida, con conseguente violazione degli artt. 5, 6 e 9 del GDPR. La sanzione può arrivare fino al 4% del fatturato mondiale annuo. Nel caso IQVIA, la sanzione applicata è stata di 7 milioni di euro. A queste si aggiungono le misure correttive — adeguamento entro 120 giorni, comunicazioni agli interessati, cancellazione dei dati, completamento della DPIA — e il rischio di danni reputazionali difficilmente quantificabili.
Un codice che oggi appare sicuro può diventare domani la chiave che apre il profilo clinico di un milione di persone. La vera privacy by design non è scegliere la tecnica giusta una volta sola — è costruire un sistema che si interroga di continuo su cosa sa, di chi lo sa, e se ha il diritto di saperlo.
Redazione - Staff Studio Legale MP
