IQVIA. Un milione di anonimi, un codice a testa - Sanità digitale e privacy
Il Garante privacy multa IQVIA per 7 milioni: i dati sanitari di un milione di pazienti non erano anonimi ma reidentificabili.
Sette milioni di euro. È la sanzione che il Garante per la protezione dei dati personali ha inflitto a IQVIA Solutions Italy. Al centro c'è un archivio con le informazioni cliniche di circa un milione di pazienti italiani. La società considerava quei dati anonimi, e quindi sottratti all'applicazione rigida del GDPR, il regolamento europeo sulla protezione dei dati. Il Garante ha accertato il contrario.
La banca dati era alimentata da flussi longitudinali, raccolti attraverso una rete di medici di base. Dentro c'erano prescrizioni e diagnosi, e con queste il percorso di cura di ciascun paziente. Longitudinale vuol dire che la storia clinica di una persona viene seguita per anni. Per riuscirci, al posto del nome c'era un codice che accompagnava il paziente nel tempo.
Quel codice doveva rendere il paziente irriconoscibile e insieme permettere di seguirlo da una ricetta all'altra. Le due funzioni convivono male nella stessa riga di un database. Per il Garante i codici identificativi non garantivano un'anonimizzazione effettiva ed esponevano i pazienti a un rischio concreto di reidentificazione.
I codici identificativi
non garantivano
un'anonimizzazione.
I pazienti erano
reidentificabili.
Le storie cliniche coprivano oltre vent'anni: i dati più vecchi risalivano al 2001 e nessun termine di conservazione era stato fissato. Per l'uso commerciale e di ricerca di mercato a cui l'archivio era destinato mancava una base giuridica idonea. Ai pazienti non era stata fornita un'informativa adeguata. Poi c'è la valutazione d'impatto sulla protezione dei dati, la DPIA: il documento con cui si misurano in anticipo i rischi per le persone. Il regolamento la prescrive per i trattamenti di dati sanitari su larga scala. La società l'aveva omessa.
IQVIA è un colosso globale che fornisce dati strategici e analisi di mercato all'industria farmaceutica e alle istituzioni sanitarie. Il suo modello di business si regge sulla valorizzazione di questi big data: servono alla ricerca clinica e alle analisi epidemiologiche, e a orientare le strategie commerciali dei farmaci.
Il provvedimento del Garante ribadisce che non basta mascherare o pseudonimizzare un insieme di dati sanitari per poterlo commercializzare o usare per scopi estranei alla cura. Senza il consenso esplicito dei pazienti o una norma che lo autorizzi, il trattamento è illecito. Il legislatore europeo colloca i dati sulla salute tra le categorie «particolari», cioè sensibili: trattarli è vietato, salvo eccezioni precise.
Il provvedimento
ribadisce che non
basta mascherare
o pseudonimizzare
i dati sanitari
per poterli
commercializzare.
La sanzione colpisce una sola società. Il criterio però viene dal regolamento, e vale per le aziende farmaceutiche come per chiunque, nella sanità digitale, fornisca servizi di analisi dei dati. Chi ha costruito banche dati trattando come anonime informazioni soltanto pseudonimizzate deve rivedere i propri protocolli di conformità al GDPR.
Bastava definire anonimi i dati di un milione di pazienti, e il loro consenso diventava superfluo.
DELLA STESSA AUTRICE
Aristea
Aristea