Braço italiano da IQVIA multado em €7 milhões por dados de saúde de 1 milhão de pacientes que não eram anônimos

A autoridade italiana de proteção de dados, o Garante, multou a IQVIA Solutions Italy S.r.l. em €7 milhões, em decisão de 23 de setembro de 2026, por um banco de dados que continha dados de saúde de cerca de um milhão de pacientes de aproximadamente 800 clínicos gerais. Os dados foram extraídos dos sistemas de gestão dos consultórios médicos por meio de um complemento, e cada paciente carregava um identificador persistente — um Pat ID — de modo que as pessoas podiam ser acompanhadas ao longo do tempo. A IQVIA usou o banco de dados para estudos encomendados por empresas farmacêuticas.

O Garante concluiu que os dados não eram anônimos, como a empresa alegava: o identificador persistente combinado com ano de nascimento, sexo, diagnósticos, sintomas, prescrições, exames, vacinações e dados de localização tornava possível individualizar e reidentificar pessoas.

A autoridade listou as infrações: dados de saúde tratados sem base legal adequada e sem informar devidamente os pacientes, ausência de prazos de conservação (os dados remontavam a 2001), ausência de avaliação de impacto sobre a proteção de dados, segurança inadequada e clínicos gerais nunca nomeados como operadores. Campos de texto livre também deixaram cerca de 3.370 pacientes diretamente identificáveis — cerca de 3.080 deles com dados de saúde —, a violação que a própria IQVIA havia notificado.

A IQVIA argumentou que os dados eram anônimos, citando o acórdão do TJUE no Processo C-413/23, e afirmou que nunca deteve a chave que ligava o identificador a uma pessoa. O Garante chegou à conclusão oposta e deu à empresa 120 dias para adequar o tratamento à conformidade — base legal, informação aos pacientes, avaliação de impacto, nomeação de operadores — ou para que os médicos anonimizassem os dados eles próprios. Fatores atenuantes: os médicos deixaram de enviar dados a partir de 2023, e a IQVIA cooperou durante o processo.

Multa de €7 milhões; 120 dias para adequar o tratamento ao GDPR ou para que os médicos anonimizem os dados eles próprios

Alegava que o banco de dados era anônimo, embora um ID persistente de paciente somado a ano de nascimento, sexo, diagnósticos e localização pudesse individualizar pessoas.

Tratava dados de saúde sem base legal adequada e sem informar devidamente os pacientes.

Não estabeleceu limites de conservação, deixando os registros se acumularem de 2001 até a inspeção.

Deixou de fazer a avaliação de impacto exigida e de garantir segurança adequada, e nunca formalizou os clínicos gerais como operadores.

Sua limpeza automática falhou: campos de texto livre mantiveram nomes, códigos fiscais e endereços de cerca de 3.370 pacientes, forçando sua própria notificação de violação.

Chamar um conjunto de dados de "anonimizado" não o torna anônimo: um ID persistente de paciente somado a diagnósticos e localizações é um kit de reidentificação, e os reguladores o interpretam assim.

A IQVIA tem 120 dias a partir da decisão para tornar o tratamento conforme ao GDPR ou entregar a anonimização aos médicos sob salvaguardas especificadas pelo Garante; o EDPB reportou o caso como uma decisão nacional. Isso ocorre meses depois de o braço francês do grupo, a IQVIA Operations France, ter sido multado em €5 milhões pela CNIL em maio de 2026, em uma disputa paralela sobre a mesma alegação de "anonimização".