La filial italiana de IQVIA multada con 7 millones de euros por los datos de salud de 1 millón de pacientes que no eran anónimos

La autoridad italiana de protección de datos, el Garante, multó a IQVIA Solutions Italy S.r.l. con 7 millones de euros en una decisión de 23 de septiembre de 2026 por una base de datos que contenía datos de salud de aproximadamente un millón de pacientes de unos 800 médicos de familia. Los datos se extraían de los sistemas de gestión de las consultas médicas mediante un complemento, y cada paciente llevaba un identificador persistente —un Pat ID— de modo que las personas podían ser seguidas a lo largo del tiempo. IQVIA utilizaba la base de datos para estudios encargados por empresas farmacéuticas.

El Garante concluyó que los datos no eran anónimos, como afirmaba la empresa: el identificador persistente combinado con el año de nacimiento, el sexo, los diagnósticos, los síntomas, las prescripciones, los exámenes, las vacunaciones y los datos de localización permitía singularizar y reidentificar a las personas.

La autoridad enumeró las infracciones: datos de salud tratados sin una base legal adecuada y sin informar debidamente a los pacientes, ausencia de plazos de conservación (los datos se remontaban a 2001), falta de evaluación de impacto relativa a la protección de datos, seguridad inadecuada y médicos de familia que nunca fueron designados como encargados del tratamiento. Además, los campos de texto libre dejaban directamente identificables a unos 3.370 pacientes —unos 3.080 de ellos con datos de salud—, la brecha que la propia IQVIA había notificado.

IQVIA sostuvo que los datos eran anónimos, citando la sentencia del TJUE en el asunto C-413/23, y afirmó que nunca poseyó la clave que vincula el identificador con una persona. El Garante llegó a la conclusión opuesta y dio a la empresa 120 días para poner el tratamiento en conformidad —base legal, información a los pacientes, evaluación de impacto, designación de encargados— o para que los propios médicos anonimizaran los datos. Circunstancias atenuantes: los médicos dejaron de enviar datos a partir de 2023 e IQVIA cooperó durante el procedimiento.

Multa de 7 millones de euros; 120 días para poner el tratamiento en conformidad con el RGPD o para que los propios médicos anonimicen los datos

Afirmaba que la base de datos era anónima, mientras que un identificador persistente de paciente junto con el año de nacimiento, el sexo, los diagnósticos y la localización podía singularizar a las personas.

Trataba datos de salud sin una base legal adecuada y sin informar debidamente a los pacientes.

No fijó límites de conservación, lo que permitió que los registros se acumularan desde 2001 hasta la inspección.

Omitió la evaluación de impacto exigida y una seguridad adecuada, y nunca formalizó a los médicos de familia como encargados del tratamiento.

Su depuración automática falló: los campos de texto libre conservaron nombres, códigos fiscales y direcciones de unos 3.370 pacientes, lo que obligó a su propia notificación de brecha.

Llamar «anonimizado» a un conjunto de datos no lo convierte en tal: un identificador persistente de paciente junto con diagnósticos y localizaciones es un kit de reidentificación, y los reguladores lo interpretan así.

IQVIA dispone de 120 días desde la decisión para hacer el tratamiento conforme al RGPD o para encomendar la anonimización a los médicos bajo las salvaguardias especificadas por el Garante; el CEPD informó del caso como una decisión nacional. La decisión llega meses después de que la filial francesa del grupo, IQVIA Operations France, fuera multada con 5 millones de euros por la CNIL en mayo de 2026 en una disputa paralela sobre la misma afirmación de «anonimización».