El Garante per la Protezione dei Dati Personali (Garante), autoridad italiana de protección de datos, ha sancionado a IQVIA, empresa perteneciente a un grupo multinacional especializado en el análisis de datos sanitarios y la investigación clínica, por considerar anonimizados determinados datos de salud que seguían permitiendo individualizar a los pacientes. En concreto, el Garante aprecia infracciones de los artículos 5.1.a), e) y f), 5.2, 9, 13, 25, 28, 32 y 35 del Reglamento (UE) 2016/679 (RGPD).
El procedimiento tiene su origen en una actuación inspectora sobre un proyecto de esta entidad en el que se recopilaba información clínica de pacientes a través de los sistemas utilizados por médicos de medicina general. Estos datos, entre los que se incluían diagnósticos o pruebas realizadas, se incorporaban a una base propia de IQVIA que contenía información de más de un millón de pacientes. Antes de incorporarlos a la base de datos, se eliminaban identificadores directos, como el nombre o la dirección, y se asignaba a cada paciente un código. IQVIA entendía que, con estas medidas, los datos podían considerarse anónimos, ya que no podía identificar directamente a los pacientes y consideraba reducido el riesgo de reidentificación.
El Garante rechazó este planteamiento. La autoridad recuerda que eliminar los identificadores directos no basta para que unos datos sean realmente anónimos si todavía es posible individualizar a una persona o vincular entre sí la información relativa a ella. En este caso, el uso de un mismo código permitía seguir a cada paciente a lo largo del tiempo y reconstruir su evolución clínica mediante la combinación de distintos datos.
Por ello, la autoridad italiana concluyó que no se había producido una verdadera anonimización, sino una seudonimización: la identidad directa del paciente había sido sustituida por un código, pero los datos seguían vinculados a una persona concreta. Esta diferencia es relevante porque los datos verdaderamente anónimos quedan fuera del ámbito de aplicación del RGPD, mientras que los datos seudonimizados continúan siendo datos personales y están sujetos a sus obligaciones.
A partir de esta conclusión, el Garante consideró que IQVIA debía cumplir plenamente con las obligaciones previstas en el RGPD. La autoridad apreció, entre otras cuestiones, la falta de una base jurídica adecuada para el tratamiento de datos de salud y deficiencias en materia de información a los interesados, conservación, privacidad desde el diseño, seguridad, regulación de los encargados y evaluación de impacto, en relación con los artículos 5.1.a), e) y f), 5.2, 9, 13, 25, 28, 32 y 35 RGPD.
En consecuencia, el Garante declaró ilícito el tratamiento e impuso a IQVIA una multa de 7 millones de euros. Asimismo, le ordenó adoptar en un plazo de 120 días las medidas necesarias para adecuar el tratamiento al RGPD, entre ellas identificar una base jurídica válida, cumplir con las obligaciones de información y realizar una evaluación de impacto.