La Autoridad Italiana de Protección de Datos ha multado a IQVIA Solutions Italy S.r.l. con 7 000 000 EUR por el tratamiento ilícito de datos sanitarios de pacientes, según una notificación publicada por el Comité Europeo de Protección de Datos. El CEPD la clasifica como un caso nacional e indica el 23 de septiembre de 2026 como fecha de la decisión definitiva. El resumen completo está disponible en el sitio web del CEPD.

IQVIA Solutions Italy pertenece a un grupo multinacional activo en el análisis de datos sanitarios y la investigación clínica. La investigación se centró en una base de datos que contenía información sanitaria de aproximadamente un millón de pacientes de 800 médicos de cabecera. Dicha base de datos se utilizaba para estudios, incluidos estudios encargados por empresas farmacéuticas.

El caso se inició con inspecciones en abril de 2025. La autoridad italiana de protección de datos incorporó posteriormente esa investigación a un procedimiento separado relativo a una violación de datos personales que la propia IQVIA había notificado. En otras palabras, la empresa comunicó un incidente y el regulador aprovechó la visita para examinar toda la operación. Quien haya notificado una brecha y haya visto crecer el alcance de las preguntas reconocerá el patrón.

La conclusión principal es contundente. Los datos no eran anónimos, pese a lo que IQVIA afirmaba. A cada paciente se le había asignado un identificador persistente que permitía rastrear a los individuos a lo largo del conjunto de datos. El resumen del CEPD disponible en el momento de redactar este artículo se interrumpe a mitad de una frase en este punto, por lo que el texto exacto del razonamiento de la autoridad no queda reproducido íntegramente en la notificación. La dirección es suficientemente clara: una clave estable que sigue a la misma persona de registro en registro es seudonimización, no anonimización, y los datos seudonimizados siguen siendo datos personales en virtud del RGPD. Los datos sanitarios, además, constituyen una categoría especial conforme al artículo 9.

La notificación del CEPD enumera seis disposiciones del RGPD como referencias jurídicas de la decisión:

• Artículo 5, principios relativos al tratamiento de datos personales
• Artículo 9, tratamiento de categorías especiales de datos personales
• Artículo 13, información que debe facilitarse cuando los datos se obtengan del interesado
• Artículo 25, protección de datos desde el diseño y por defecto
• Artículo 28, obligaciones del encargado del tratamiento
• Artículo 35, evaluación de impacto relativa a la protección de datos

Las palabras clave asociadas a la decisión son: evaluación de impacto relativa a la protección de datos, salud e investigación, anonimización y seudonimización, privacidad desde el diseño y por defecto, multas, principios básicos, y responsable y encargado del tratamiento.

Varios aspectos no aparecen en el resumen publicado. No describe la brecha notificada, cómo se distribuyó la multa entre los seis artículos, qué operaciones de tratamiento carecían de evaluación de impacto ni cómo eran los acuerdos de encargado con los clientes farmacéuticos. Tampoco incluye ninguna declaración de IQVIA. Esos detalles, si son públicos, figuran en la decisión completa de la autoridad italiana y no en la notificación del CEPD, y este artículo no especula sobre ellos.

¿Por qué le importa a una publicación de identidad una multa por datos sanitarios? Porque lo que hundió la pretensión de anonimato es un identificador. Eliminar la columna del nombre y dejar en su lugar una clave de paciente persistente es el equivalente en datos a echar llave a la puerta principal y dejar la copia pegada en ella. Los equipos de identidad ya conocen esto por otros contextos. OpenID Connect ofrece identificadores de sujeto por pares precisamente para que una parte usuaria no pueda correlacionar al mismo usuario en distintos servicios. Los almacenes de tokenización existen para que un valor sustituto estable solo pueda revertirse por la parte que posee la correspondencia. La pregunta que formula un regulador es la misma que debe hacerse un arquitecto de IAM ante cualquier conjunto de datos: ¿puede esta clave, por sí sola o combinada con otros datos, reconstruir a una persona? Si la respuesta es afirmativa, se trata de datos personales, y todos los controles posteriores (finalidad, información, evaluación de impacto, contrato con el encargado) siguen siendo aplicables.

Lo alentador es que nada de esto requiere tecnología nueva. Requiere un inventario honesto. La mayoría de las organizaciones ya dispone de las piezas: un catálogo de datos, una plantilla de evaluación de impacto, un registro de contratos con encargados e ingenieros de identidad que comprenden la correlación. La brecha suele estar en que las personas que etiquetan un conjunto de datos como «anónimo» y las que entienden de identificadores nunca han coincidido en la misma reunión. Soluciona la reunión y eliminas una gran parte del riesgo, a un coste considerablemente inferior a siete millones de euros.

Para los equipos de identidad y seguridad, conviene realizar tres comprobaciones ahora. En primer lugar, obtener la lista de conjuntos de datos que la organización describe como anónimos o disociados y buscar cualquier clave estable por persona, incluidos valores hash reutilizados entre registros o a lo largo del tiempo; si existe alguna, tratar el conjunto de datos como datos personales seudonimizados y confirmar que una evaluación de impacto lo cubre. En segundo lugar, revisar los acuerdos de encargado del artículo 28 con cualquier socio de análisis o investigación que reciba datos a nivel de paciente, y verificar que el contrato coincide con lo que realmente se transfiere. En tercer lugar, confirmar que el aviso de privacidad que reciben los pacientes en el momento de la recogida menciona efectivamente los usos de investigación y comerciales a los que acaban destinándose los datos, porque el artículo 13 figura en esta decisión por alguna razón.