IQVIA Solutions Italy S.r.l.
ordinanza ingiunzione ai sensi dell'art. 58, par. 2, lett. d) del Regolamento UE 2016/679
Sintesi del provvedimento
Il Garante accerta l'illiceità del trattamento di dati sanitari di oltre un milione di pazienti effettuato tramite database LPD per studi osservazionali, riscontrando violazioni dei principi di liceità, correttezza, trasparenza, limitazione della conservazione e privacy by design. Iroga sanzione di 7 milioni di euro e prescrive il conformamento entro 120 giorni, con obbligo di comunicazione alla SIMG e implementazione di misure di sicurezza e pseudonimizzazione.
Il trattamento di dati sanitari in database longitudinali per ricerca clinica richiede consenso informato esplicito, base legale chiara, DPIA preventiva e misure di sicurezza documentate, indipendentemente da valutazioni di pseudonimizzazione.
Approfondimento
Soggetti coinvolti
oltre un milione di pazienti arruolati presso circa 800 medici di medicina generale
Riferimenti normativi
Lettura del caso
Temi affrontati — trattamento illecito di dati sanitari particolari senza base legale e consenso
Conseguenze — IQVIA deve conformarsi entro 120 giorni alle prescrizioni imposte (paragrafo 8), incluse: interrompimento del trattamento e implementazione di misure di sicurezza, pseudonimizzazione, comunicazione agli interessati tramite SIMG, cancellazione dati oltre dieci anni, completamento DPIA, aggiornamento informative privacy. Obbligo di documentare le iniziative intraprese entro 120 giorni con riscontro scritto all'Autorità, pena sanzione amministrativa aggiuntiva. Ordinanza da pubblicare sul sito web del Garante.
- implementazione di misure di riduzione del rischio e pseudonimizzazione (art. 83, par. 2, lett. c) GDPR)
- Fattore attenuante: assenza di precedenti violazioni pertinenti nel territorio nazionale e mancanza di precedenti provvedimenti ex art. 58 GDPR (art. 83, par. 2, lett. e) GDPR)
- Fattore attenuante: assenza di segnalazioni o reclami degli interessati (art. 83, par. 2, lett. k) GDPR)
- Fattore ulteriormente attenuante: cooperazione dimostrata con l'Autorità nel corso del procedimento (art. 83, par. 2, lett. f) GDPR)
- Fattore mitigatore: necessità di bilanciare diritti degli interessati con importanza del database quale risorsa di informazione sanitaria per studi clinici, farmacoepidemiolgia ed economia sanitaria a livello nazionale e internazionale
La carenza di consenso esplicito per il trattamento di dati sanitari particolari in database longitudinali richiede base legale solida e DPIA completata, non solo valutazioni interne di anonimizzazione.
AISintesi generata con intelligenza artificiale
Questa è una sintesi indipendente, non un documento ufficiale del Garante. Il testo integrale e autentico del provvedimento è disponibile sul sito ufficiale garanteprivacy.it.