Date medicale „anonime” ale unui milion de pacienți, care nu erau anonime: ce a constatat autoritatea italiană și ce verifici la tine

Pe 2 octombrie 2026, autoritatea italiană pentru protecția datelor (Garante) a anunțat că a amendat IQVIA Solutions Italy cu 7 milioane de euro. Decizia, cu numărul 710, este din 23 septembrie 2026. Baza de date privea datele de sănătate ale aproximativ unui milion de pacienți ai 800 de medici de familie și era folosită pentru studii comandate, printre alții, de companii farmaceutice. Compania susținea că datele sunt anonime. Autoritatea a constatat că nu sunt.

De ce nu erau anonime, potrivit Garante

Comunicatul autorității explică raționamentul pe scurt. Codul asociat fiecărui pacient permitea urmărirea lui în timp. Alăturat unui set foarte detaliat de informații — anul nașterii, sexul, diagnostice, simptome, prescripții, analize, vaccinări și date de localizare — făcea posibilă izolarea unui pacient și, prin mijloace rezonabile, reidentificarea lui.

• Un cod stabil nu înseamnă anonimat. Din textul măsurii reiese că pacientul era înregistrat mereu cu același cod, tocmai pentru a putea fi urmărit în timp. Codul nu era derivat din date personale, dar rolul lui era să lege înregistrările între ele.
• Mai multe atribute puse laolaltă identifică. Niciunul dintre ele nu este un nume. Împreună, descriu o singură persoană.
• Peste 3.300 de pacienți aveau în baza de date informații care îi identificau direct, iar pentru peste 3.000 dintre ei acestea erau însoțite de date de sănătate. Aceasta este cifra din comunicatul autorității.
• Potrivit textului măsurii, într-o copie pe care am putut-o citi doar parțial, identificatorii ar fi ajuns în câmpuri cu text liber ale aplicației instalate în programul medicilor, unde nu era prevăzută introducerea lor. Este o relatare cu încredere moderată, nu o constatare pe care să o fi putut verifica integral.

Ce a mai constatat autoritatea

• Prelucrarea datelor de sănătate nu avea o bază legală adecvată.
• Pacienții nu fuseseră informați suficient.
• Nu fuseseră stabilite perioade de păstrare, iar în bază existau date din 2001.
• Nu fusese făcută o evaluare a impactului asupra protecției datelor.
• Măsurile de securitate erau insuficiente.

Compania are 120 de zile ca, dacă vrea să continue, să își aducă prelucrarea în conformitate cu cerințele autorității. Alternativ, anonimizarea trebuie făcută de medici, singuri, respectând garanțiile indicate de Garante. Controalele au început cu inspecții în aprilie 2025.

Ce nu se știe

• Dacă IQVIA a răspuns public sau va contesta decizia. Nicio sursă citită nu raportează o declarație a companiei.
• Dacă vreo persoană a suferit un prejudiciu concret. Comunicatul descrie încălcări, nu consecințe asupra unor pacienți.
• Cum va arăta, concret, anonimizarea făcută de medici.
• Am omis intenționat anul de început al prelucrării și orice reducere a sumei prin plată în termen redus: sursele consultate nu coincid sau nu pot fi verificate în textul accesibil.

Ce înseamnă pentru o organizație din România

GDPR este un regulament european, deci aceleași principii se aplică și în România. O decizie a autorității italiene nu leagă însă autoritatea română, iar nicio sursă nu leagă cazul de o organizație din România. Este citat aici pentru felul în care a fost aplicat testul de identificabilitate, nu ca obligație locală. Articolul nu este consultanță juridică și nu susține că vreun produs asigură conformitatea.

Cine pune eticheta „anonim”

În multe organizații, cuvântul apare în același loc: o echipă de produs sau de analiză a datelor șterge numele, înlocuiește identificatorii cu un cod și scrie în document „date anonimizate”. Apoi setul este partajat cu un partener, un client sau un furnizor. Nimeni nu a încercat să recunoască o persoană din el.

• Cine are autoritatea să declare un set de date anonim? O persoană numită, nu cine l-a pregătit.
• Există un test documentat de reidentificare? Întrebarea nu este dacă lipsește numele, ci dacă o persoană poate fi izolată prin combinația de atribute și prin istoricul din spatele unui cod.
• Pentru datele cu cod stabil care leagă înregistrări în timp, tratați-le ca pseudonimizate până se demonstrează contrariul.
• Ce câmpuri conțin text liber? Acolo ajung identificatori pe care nimeni nu i-a planificat: nume, adrese, numere de telefon.
• Cui sunt trimise seturile și cu ce contract? Cine verifică ce se face cu ele?
• Cât timp se păstrează, cine a decis perioada și este scrisă undeva? Date din 2001 într-un proiect început mult mai târziu sunt un semnal.
• Evaluarea impactului: este făcută, aprobată și actualizată sau există doar ca schiță?
• Cine verifică, periodic și automat, ce intră în bază și ce conțin câmpurile cu text liber?

Comportamentul pe care îl antrenezi la oamenii care introduc date

Partea de guvernanță de mai sus îi privește pe cei care decid. Mai este una, mai simplă, pentru cei care introduc sau exportă date.

• Câmpurile cu text liber nu sunt un loc pentru identificatori. Dacă un câmp nu cere nume sau telefon, nu le scrie acolo, oricât de comod ar fi.
• Înainte de a partaja un set de date „anonim”, încearcă să recunoști o persoană din el. Dacă poți, nu este anonim.
• O combinație rară — o boală neobișnuită, un traseu, o dată — identifică. Cu cât setul este mai mic, cu atât mai ușor.
• Un export făcut „pentru o analiză” rămâne în urmă. Șterge-l când nu mai este necesar și spune unde l-ai pus.
• Dacă observi identificatori într-un set declarat anonim, raportează. Nu presupune că a verificat altcineva.

Exercițiul: 40 de minute, cu un singur set de date

Cu analiză de date sau produs, juridic, responsabilul cu protecția datelor, IT și cine deține relația cu partenerul căruia îi trimiteți datele. Alegeți un set pe care îl partajați efectiv în afara organizației.

• Pasul 1 — spuneți în scris, fără să căutați, de ce este considerat anonim și cine a hotărât asta.
• Pasul 2 — luați cinci înregistrări la întâmplare și încercați să recunoașteți o persoană. Notați ce atribute au ajutat.
• Pasul 3 — căutați câmpurile cu text liber și verificați ce conțin de fapt.
• Pasul 4 — aflați de cât timp datele sunt păstrate, cine a decis și dacă există o regulă de ștergere.
• Pasul 5 — decideți ce faceți dacă rezultatul este „nu este anonim”: cine anunță, cine oprește partajarea și cum se documentează.

Ce măsori

• Numărul de seturi de date declarate anonime și câte au un test documentat de reidentificare.
• Procentul acestora care au un responsabil numit pentru declarație.
• Numărul de câmpuri cu text liber din seturile partajate, verificate pentru identificatori.
• Procentul de seturi cu perioadă de păstrare definită și dată de ștergere.
• Timpul necesar pentru a răspunde la întrebarea „cărui terț i-am trimis acest set și când”.
• Starea evaluării impactului pentru fiecare prelucrare cu date sensibile: finalizată, în lucru sau lipsă.

Concluzia nu este că datele nu se pot folosi pentru cercetare. Autoritatea a lăsat deschisă o cale: anonimizarea făcută de medici, cu garanțiile pe care le indică. Concluzia este că „anonim” este un rezultat care trebuie demonstrat, nu o descriere care se scrie. Iar între cele două, adesea, nu a verificat nimeni.