Con il provvedimento n. 710 del 23 settembre 2026, pubblicato il 2 ottobre, il Garante per la protezione dei dati personali ha sanzionato un noto fornitore di servizi di ricerca clinica e informazioni commerciali per sette milioni di euro. Oggetto del procedimento è il database LPD (Longitudinal Patient Data), alimentato dai dati clinici di oltre un milione di pazienti di circa ottocento medici di medicina generale aderenti alla SIMG.
La società sosteneva di trattare dati anonimi, e dunque fuori dall’ambito applicativo del Regolamento, richiamando anche la sentenza della Corte di giustizia del 4 settembre 2025, C-413/23 P (EDPS c. SRB). L’Autorità ha respinto la ricostruzione. Il provvedimento merita attenzione non per l’entità della sanzione, ma perché è tra le prime applicazioni nazionali della sentenza SRB e ne delimita il perimetro.
Il criterio: una valutazione, non un automatismo
Il metro è quello del parere WP29 05/2014, ribadito dalle linee guida EDPB 02/2026 sull’anonimizzazione, adottate il 7 luglio 2026 e ancora in consultazione pubblica. Un processo di anonimizzazione compiuto deve impedire, con i mezzi ragionevolmente disponibili, di isolare una persona (single-out), di collegarne i dati a un distinto insieme di dati (linkability) e di dedurne nuove informazioni (inference).
I tre criteri non operano però in modo automatico. Come ricorda il Garante citando l’EDPB, se tutti sono soddisfatti i dati possono considerarsi anonimi; se uno non lo è, servono ulteriori analisi per stabilire se possano comunque esserlo (par. 88). Il fallimento di un criterio apre l’indagine, non la chiude.
La pseudonimizzazione resta altra cosa. L’art. 4, n. 5, del Regolamento la definisce come un trattamento che impedisce l’attribuzione dei dati senza informazioni aggiuntive conservate separatamente. Il considerando 26 chiarisce che i dati pseudonimizzati restano personali, e già il WP29 la qualificava come misura di sicurezza utile, non come metodo di anonimizzazione (par. 84).
Destinatario o titolare: il perimetro della sentenza SRB
Il cuore del provvedimento è il confronto con la sentenza SRB. Il Garante ne accoglie l’impostazione relativa: lo stesso dataset può essere personale per chi dispone delle informazioni necessarie a reidentificare e anonimo per chi non ne dispone né può ragionevolmente procurarsele (par. 89).
Perché i dati perdano carattere personale per il destinatario devono però ricorrere tre condizioni (par. 93). Il destinatario non deve poter incidere sulle misure di pseudonimizzazione, non deve poter reidentificare con altri mezzi, come l’incrocio con altri elementi, e non deve poter trasferire i dati ad altri.
La società sanzionata non rientra in questo schema, perché non è un destinatario ma il titolare dell’intero trattamento, sin dalla raccolta presso i medici (parr. 81 e 99). La qualificazione discende dal criterio sostanziale dell’art. 4, n. 7, e dagli elementi di fatto: la proprietà del database, i contratti con i medici e con il fornitore del software, nominato responsabile ex art. 28, e le istruzioni sull’anonimizzazione impartite a quest’ultimo con l’allegato A al contratto del 26 febbraio 2020.
Non rileva che la società non avesse modificato la struttura dei record dell’add-on: averne scelto e mantenuto l’uso senza verificarne la robustezza non esclude la titolarità (par. 77). Richiamando Fashion ID (C-40/17), il Garante tratta raccolta e anonimizzazione come fasi di un unico trattamento, che non possono essere valutate separatamente (par. 75).
Perché i dati non erano anonimi
Ogni paziente era censito con lo stesso codice (Pat ID) per tutto il rapporto con il proprio medico; il codice cambiava solo al cambio di medico o di computer. In sede ispettiva la società ha mostrato un paziente presente 34 volte nella tabella delle prescrizioni, con la storia clinica ricostruibile (par. 7).
A quel codice erano associati anno di nascita, sesso, stato civile, diagnosi, sintomi, allergie, prescrizioni, vaccinazioni, esami e dati di localizzazione (par. 101). Il Garante rileva due limiti strutturali delle misure adottate. La k-anonymity agisce solo sui quasi-identificatori: record formalmente indistinguibili restano unici se si considerano diagnosi, sequenze di ricoveri o pattern di assunzione di farmaci. L’hashing protegge l’identità diretta ma è costruito proprio per preservare l’unicità, così da riferire la storia clinica allo stesso soggetto (parr. 95-97).
Ne segue che i pazienti erano reidentificabili con mezzi ragionevoli. Basta la capacità di reidentificare, a prescindere dall’intenzione di farlo (par. 100).
L’anonimizzazione è un trattamento
Il Garante ribadisce un principio già affermato dall’EDPB nel documento del 2 febbraio 2021 sulla ricerca sanitaria, dal WP29 nel 2014, dalle linee guida 02/2026 (par. 2.5.2) e dal Tribunale di Milano nella sentenza del 10 maggio 2024 sul caso THIN. L’anonimizzazione si svolge su dati ancora identificativi ed è essa stessa un trattamento di dati personali (par. 90).
Come tale, pur essendo compatibile con la finalità iniziale della raccolta, richiede una propria base giuridica (par. 106). L’esito anonimo non sana l’assenza di un fondamento di liceità a monte. Nel caso di specie mancava sia una condizione dell’art. 6 sia un’eccezione al divieto dell’art. 9: il contratto con i medici non poteva valere come base giuridica, perché i pazienti non ne erano parte.
Le altre violazioni e il data breach
Il dispositivo accerta la violazione degli artt. 5, par. 1, lett. a), e) e f) e par. 2, 9, 13, 25, 28, 32 e 35 del Regolamento. Le contestazioni sono le seguenti:
- assenza di base giuridica per il trattamento di dati relativi alla salute;
- informativa priva degli elementi dell’art. 13;
- mancata definizione dei tempi di conservazione, con dati che risalivano fino al 2001;
- mancata nomina dei medici come responsabili ex art. 28;
- omessa valutazione d’impatto;
- misure di sicurezza inadeguate e violazione dei principi di accountability e privacy by design.
Al procedimento è stato riunito quello sulla violazione notificata dalla stessa società. Attraverso i campi a testo libero del gestionale, l’add-on aveva estratto i dati direttamente identificativi di 3.370 pazienti, per 3.080 dei quali insieme a dati sanitari, poi trasmessi alla SIMG. Il Garante ha escluso che la responsabilità ricadesse sui medici: spettava al titolare verificare che l’add-on non estraesse informazioni estranee al progetto (par. 80).
Misure correttive e sanzione
Se intende proseguire il progetto, la società dovrà individuare una base giuridica, anche per l’eventuale anonimizzazione, rendere l’informativa ai pazienti, svolgere la valutazione d’impatto e nominare i medici responsabili del trattamento. Entro centoventi giorni dalla notifica dovrà documentare al Garante le iniziative intraprese (par. 150).
In alternativa, l’anonimizzazione dovrà essere svolta dai medici, con una propria base giuridica e una propria informativa ai pazienti, secondo garanzie precise (parr. 146-148):
- i medici determinano in autonomia la pseudonimizzazione, con una codifica casuale che per la società sia una sequenza priva di significato;
- le classi di equivalenza sui quasi-identificatori non possono avere meno di dieci unità;
- le variabili residue osservabili dalla società vanno incluse nelle classi, trattate con tecniche distribuite come la secure multiparty computation, oppure rimosse.
La misura alternativa conferma la lettura della sentenza SRB: dati pseudonimizzati possono essere anonimi per la società, ma solo se è un soggetto diverso, che detiene legittimamente i dati identificativi, a progettare e applicare le misure.
Il massimo edittale è stato calcolato sul fatturato consolidato della controllante statunitense. Tra le attenuanti il Garante ha considerato la cessazione dei flussi dai medici, l’assenza di reclami, la collaborazione prestata e il valore del database come risorsa di ricerca. La società ha dichiarato di riservarsi il ricorso.
Cosa ne discende per le imprese
Chi tratta dati sanitari per finalità secondarie deve fare tre verifiche.
- Il ruolo prima del dato. L’approccio relativo della sentenza SRB giova solo al destinatario che non incide sulle misure di pseudonimizzazione. Chi progetta o finanzia la pipeline, dà istruzioni al fornitore o è proprietario del database è titolare, e per lui i dati restano personali. La qualificazione non si costruisce con la clausola contrattuale: si accerta sui fatti.
- Il test di reidentificabilità sull’intero record. Un codice persistente associato a un payload clinico ricco rende i dati reidentificabili, anche quando la k-anonymity è rispettata sui soli quasi-identificatori. La valutazione va documentata con indicatori misurabili, come l’incidenza percentuale dei casi di single-out.
- La base giuridica dell’anonimizzazione. L’operazione di anonimizzazione va fondata e documentata autonomamente, a monte del suo esito.
