A Autoridade Italiana de Proteção de Dados multou a IQVIA Solutions Italy S.r.l. em EUR 7.000.000 pelo tratamento ilícito de dados de saúde de pacientes, conforme aviso publicado pelo European Data Protection Board. O EDPB classifica o caso como nacional e indica 23 de setembro de 2026 como data da decisão final. O resumo completo está disponível no site do EDPB.

A IQVIA Solutions Italy pertence a um grupo multinacional atuante em análise de dados de saúde e pesquisa clínica. A investigação envolveu um banco de dados com informações de saúde de aproximadamente um milhão de pacientes de 800 médicos de atenção primária. O banco de dados era utilizado em estudos, incluindo estudos encomendados por empresas farmacêuticas.

O caso teve início com inspeções em abril de 2025. A DPA italiana então reuniu essa investigação a um procedimento separado referente a uma violação de dados pessoais que a própria IQVIA havia notificado. Em outras palavras, a empresa reportou um incidente e o regulador aproveitou a visita para examinar toda a operação. Quem já notificou uma violação e viu o escopo das perguntas se ampliar vai reconhecer o padrão.

A conclusão central é direta. Os dados não eram anônimos, contrariando a afirmação da IQVIA. Cada paciente havia recebido um identificador persistente, e esse identificador permitia rastrear os indivíduos ao longo do conjunto de dados. O resumo do EDPB disponível no momento da redação deste texto é interrompido no meio de uma frase nesse ponto, de modo que a redação exata do raciocínio da DPA não é integralmente reproduzida no aviso. A direção, porém, é clara: uma chave estável que acompanha a mesma pessoa de registro em registro é pseudonimização, não anonimização, e dados pseudonimizados continuam sendo dados pessoais sob o GDPR. Dados de saúde, além disso, constituem uma categoria especial conforme o Artigo 9.

O aviso do EDPB lista seis disposições do GDPR como referências legais para a decisão:

• Artigo 5, os princípios relativos ao tratamento de dados pessoais
• Artigo 9, tratamento de categorias especiais de dados pessoais
• Artigo 13, informações a fornecer quando os dados são coletados junto ao titular
• Artigo 25, proteção de dados desde a concepção e por padrão
• Artigo 28, obrigações do operador
• Artigo 35, avaliação de impacto sobre a proteção de dados

As palavras-chave associadas à decisão são: avaliação de impacto sobre a proteção de dados, saúde e pesquisa, anonimização e pseudonimização, privacidade desde a concepção e por padrão, multas, princípios básicos e controlador e operador.

Vários elementos não constam do resumo publicado. Ele não descreve a violação notificada, como a multa foi distribuída entre os seis artigos, quais operações de tratamento careciam de DPIA, nem como eram os arranjos contratuais com os clientes farmacêuticos. Também não inclui qualquer declaração da IQVIA. Esses detalhes, caso sejam públicos, estão na decisão completa da DPA italiana e não no aviso do EDPB, e este artigo não especula sobre eles.

Por que uma publicação de identidade se interessa por uma multa em dados de saúde? Porque o elemento que derrubou a alegação de anonimato é um identificador. Remover a coluna de nome e manter uma chave persistente de paciente é o equivalente em dados a trancar a porta da frente e deixar a chave colada nela. As equipes de identidade já conhecem isso em outros contextos. O OpenID Connect oferece identificadores de sujeito pairwise precisamente para que uma relying party não consiga correlacionar o mesmo usuário entre serviços. Cofres de tokenização existem para que um valor substituto estável só possa ser revertido pela parte que detém o mapeamento. A pergunta que um regulador faz é a mesma que um arquiteto de IAM deve fazer sobre qualquer conjunto de dados: essa chave, sozinha ou combinada com outros dados, permite reconstituir uma pessoa? Se sim, são dados pessoais, e todos os controles subsequentes (finalidade, aviso, DPIA, contrato com operador) continuam se aplicando.

O aspecto animador é que nada disso exige nova tecnologia. Exige um inventário honesto. A maioria das organizações já tem as peças: um catálogo de dados, um modelo de DPIA, um registro de contratos com operadores e engenheiros de identidade que entendem de correlação. A lacuna costuma ser que as pessoas que rotulam um conjunto de dados como "anônimo" e as pessoas que entendem de identificadores nunca estiveram na mesma reunião. Resolva a reunião e você resolve grande parte do risco, a um custo consideravelmente menor do que sete milhões de euros.

Para equipes de identidade e segurança, três verificações valem a pena ser feitas agora. Primeiro, levante a lista de conjuntos de dados que sua organização descreve como anônimos ou desidentificados e procure qualquer chave estável por pessoa, incluindo valores com hash reutilizados entre registros ou ao longo do tempo. Se existir algum, trate o conjunto de dados como dados pessoais pseudonimizados e confirme que uma DPIA o cobre. Segundo, revise os contratos de operador do Artigo 28 com qualquer parceiro de análise ou pesquisa que receba dados no nível do paciente e verifique se o contrato corresponde ao que efetivamente flui. Terceiro, confirme que o aviso de privacidade que os pacientes recebem no momento da coleta menciona de fato os usos de pesquisa e comerciais a que os dados acabam servindo, pois o Artigo 13 consta desta decisão por alguma razão.