Il Garante per la protezione dei dati personali ha recentemente sanzionato una società per 7 milioni di euro per il trattamento di dati sanitari non anonimizzati, diversamente da quanto sostenuto dalla società.
La società, appartenente a un gruppo multinazionale attivo nell’analisi dei dati sanitari e nella ricerca clinica, aveva costituito una banca dati contenente informazioni sulla salute riferibili a circa un milione di pazienti assistiti da 800 medici di medicina generale.
Il provvedimento n. 710 del 23 settembre 2026 è stato adottato al termine di un’istruttoria avviata a seguito di accertamenti ispettivi. Nel procedimento è confluita anche la valutazione di una violazione di dati personali notificata dalla stessa società.
I dati non erano realmente anonimi
Uno dei punti chiave del provvedimento riguarda la qualificazione dei dati presenti nella banca dati.
Secondo la società, le informazioni erano state anonimizzate. Il Garante ha invece rilevato che a ciascun paziente era associato un codice stabile, utilizzato per seguirne nel tempo la storia clinica.
Il codice, combinato con un insieme particolarmente dettagliato di informazioni, tra cui anno di nascita, sesso, diagnosi, sintomi, prescrizioni, esami, vaccinazioni e dati di localizzazione, consentiva di isolare i singoli pazienti e rendeva possibile la loro re-identificazione mediante mezzi ragionevolmente utilizzabili.
La semplice eliminazione di nome e cognome, quindi, non è sufficiente a rendere anonimi i dati quando le informazioni residue permettono comunque di distinguere una persona o di ricostruirne il percorso sanitario.
Anonimizzazione e pseudonimizzazione
Il caso evidenzia la necessità di distinguere correttamente tra anonimizzazione e pseudonimizzazione.
I dati effettivamente anonimi non consentono di identificare l’interessato, neppure indirettamente e tenendo conto dei mezzi ragionevolmente utilizzabili. Tali dati non rientrano nell’ambito di applicazione del GDPR.
La pseudonimizzazione, invece, riduce il collegamento immediato con l’identità della persona, ma non elimina la natura personale delle informazioni. I dati pseudonimizzati continuano pertanto a essere soggetti alle disposizioni del GDPR e, quando riguardano la salute, alle garanzie previste per le categorie particolari di dati.
Le recenti Linee guida “01/2025 on Pseudonymisation”, nella versione oggetto di consultazione pubblica che si è conclusa il 14 marzo u.s., hanno chiarito che i dati pseudonimizzati sono sempre dati personali e che essa rappresenta una misura che permette di non attribuire i dati personali a uno specifico interessato senza l’ausilio di informazioni aggiuntive, a condizione che tali informazioni aggiuntive siano conservate separatamente e soggette a misure di sicurezza tecniche e organizzative. Infatti, se i dati possono essere ricondotti a persone fisiche dal titolare del trattamento o da altri, rimangono dati personali e sono dunque soggetti agli obblighi dettati dal Regolamento.
Le violazioni rilevate
L’Autorità ha ritenuto la società titolare del trattamento fin dalla fase di raccolta dei dati presso i medici di medicina generale.
Tra le principali criticità rilevate figurano:
- l’assenza di un’idonea base giuridica per il trattamento dei dati relativi alla salute (artt. 5, par. 1 lett. a) e 9 del Regolamento);
- l’inadeguata informazione fornita ai pazienti;
- la mancata definizione dei tempi di conservazione, considerato che la banca dati conteneva informazioni risalenti fino al 2001;
- l’omessa valutazione d’impatto sulla protezione dei dati (DPIA);
- l’inadeguatezza delle misure tecniche e organizzative;
- la non corretta definizione dei ruoli e dei rapporti tra i soggetti coinvolti nel trattamento.
Nella banca dati erano inoltre confluite informazioni direttamente identificative, tra cui nomi, codici fiscali, indirizzi e recapiti, relative a oltre 3.300 pazienti. Per più di 3.000 persone tali informazioni erano associate anche a dati sulla salute.
Nel provvedimento l’Autorità si sofferma sul ruolo dei MMG. La Società non ha nominato i MMG quali responsabili del trattamento, in relazione all’invio dei dati dei propri pazienti per la realizzazione dell’iniziativa della Società stessa, in violazione dell’art. 28 del Regolamento. I MMG erano stati qualificati come titolari autonomi del trattamento. In questo caso, i MMG nei trattamenti in esame non effettuano alcuna scelta circa le finalità e i mezzi di realizzazione dello stesso (cfr. le “Linee guida 07/2020 sui concetti di titolare del trattamento e di responsabile del trattamento ai sensi del GDPR”), pertanto sono da considerarsi responsabili del trattamento.
Le misure disposte
Il Garante ha assegnato alla società 120 giorni per adeguare il trattamento alle prescrizioni impartite, qualora intenda proseguire l’attività.
In alternativa, l’anonimizzazione dovrà essere effettuata autonomamente dai medici prima della trasmissione dei dati, nel rispetto delle garanzie indicate dall’Autorità.
Nel determinare la sanzione, il Garante ha considerato il numero degli interessati coinvolti, la particolare natura delle informazioni trattate, la cessazione dell’invio dei dati da parte dei medici a partire dal 2023 e la collaborazione prestata dalla società durante il procedimento.
Le indicazioni operative per il settore sanitario
Il provvedimento offre alcune indicazioni importanti per strutture sanitarie, professionisti, società scientifiche, fornitori tecnologici e soggetti che utilizzano dati clinici per finalità di ricerca o analisi:
- verificare concretamente se il processo utilizzato produca dati anonimi oppure soltanto pseudonimizzati;
- valutare il rischio di re-identificazione considerando l’intero patrimonio informativo disponibile;
- definire preventivamente e correttamente i ruoli privacy di tutti i soggetti coinvolti;
- individuare una base giuridica adeguata ai sensi degli articoli 6 e 9 del GDPR;
- fornire agli interessati un’informativa chiara e completa;
- effettuare la DPIA prima dell’avvio dei trattamenti che possono presentare un rischio elevato (art. 35 del Regolamento e Linee-guida concernenti la valutazione di impatto sulla protezione dei dati);
- stabilire tempi di conservazione determinati e proporzionati alle finalità;
- adottare controlli sui campi a testo libero e sulle informazioni estratte dai sistemi sanitari;
- verificare periodicamente l’efficacia delle misure di sicurezza e delle tecniche di anonimizzazione.
Definire contrattualmente i dati come “anonimi” non è sufficiente. La qualificazione deve essere supportata da un’analisi documentata del processo, del contesto e delle possibilità concrete di collegare le informazioni a una persona.
Supporto per la protezione dei dati in ambito sanitario
I progetti che prevedono l’utilizzo di dati clinici per ricerca, analisi statistiche o sviluppo di nuovi servizi richiedono una valutazione preventiva dei flussi informativi, dei ruoli, delle basi giuridiche e dei rischi per gli interessati.
Un corretto percorso di compliance consente di integrare la protezione dei dati fin dalla progettazione del trattamento (privacy by design) e di documentare le scelte adottate, anche attraverso la valutazione d’impatto sulla protezione dei dati.
Per approfondire questi aspetti, consulta la pagina dedicata alla consulenza privacy e DPO per il settore sanitario e sociosanitario.