La decisione è rilevante perché chiarisce un punto centrale: i dati sanitari “pseudonimizzati” non escono automaticamente dal GDPR – vedi link: https://www.cnil.fr/en/health-data-fine-5-million-euros-against-iqvia

CNIL ha ritenuto che i dati gestiti da IQVIA Operations France attraverso dei warehouse LRX ed EMR fossero ancora personali, perché collegati a identificativi univoci, molto granulari e potenzialmente combinabili con fonti pubbliche.

IQVIA utilizzava due grandi data warehouse sanitari: LRX, alimentato da circa 14.000 farmacie, ed EMR, alimentato da migliaia di medici.

La CNIL aveva autorizzato tali trattamenti attraverso verifica preliminare, ma ha contestato il mancato rispetto delle condizioni autorizzative, soprattutto su informativa, diritto di opposizione di privacy by design e sicurezza.

I profili sanzionati sono tre: violazione delle autorizzazioni sanitarie francesi, mancata informazione degli interessati ex art. 14 GDPR e violazione del principio di privacy by design ex art. 25 GDPR, perché alcuni software trasmettevano dati a IQVIA anche in caso di rifiuto del paziente.

Il punto da attenzionare per un DPO o un Consulente Privacy è questo: delegare l’informativa alle farmacie o medici non basta.

CNIL afferma che IQVIA, quale Titolare del trattamento, doveva verificare che i pazienti fossero effettivamente informati. È il principio di accountability applicato alla filiera sanitaria.

Sul piano sicurezza, CNIL contesta carenze concrete: assenza di analisi regolare dei log di connessione e, per l’EMR, assenza di autenticazione multifattore.

È un richiamo operativo: su dati sanitari massivi, log review e MFA non sono “best practice”, ma presidi minimi attesi.

Nei progetti di real world evidence, studi pharma, data lake sanitari o analytics clinici, il DPO deve verificare:

– natura realmente anonima o solo pseudoanonima dei dati;

– base giuridica e deroga art. 9 GDPR;

– informativa effettiva;

– diritto di opposizione effettivo;

– tracciamento accessi;

– MFA;

– DPIA;

– controllo dei partner.

Se una farmacia o medici utilizzano CRM verticali per pharma/life sciences, che gestiscono in modo integrato i rapporti con medici, farmacie, ospedali, KOL, informatori scientifici, medical science liaison, marketing e vendite, combinando dati commerciali, interazioni multicanale e analytics; non basta dire “è un fornitore”: va fatta una verifica documentata.

1. Qualificare il ruolo privacy: Il fornitore è responsabile, autonomo titolare o contitolare?

Nel caso CNIL, IQVIA è stata trattata come Titolare per i warehouse sanitari; quindi la farmacia non deve accettare qualificazioni solo contrattuali se non coerenti con i fatti.

2. Verificare informativa ai clienti/pazienti: la criticità CNIL riguarda anche il fatto che le farmacie non informavano adeguatamente i pazienti del trasferimento dei dati al fornitore. Serve informativa chiara al banco, sul sito, nei moduli e nei gestionali, con indicazione di finalità, destinatari, diritti e opposizione.

3. Gestire il diritto di opposizione: la farmacia deve sapere come registrare il rifiuto del paziente e verificare che il gestionale non trasmetta comunque i dati. Questo è uno dei punti più gravi: CNIL ha contestato anche trasmissioni nonostante il rifiuto.

4. Qualificare lato GDPR il fornitore: autorizzazioni applicabili, DPIA, misure di pseudonimizzazione, tempi di conservazione, sicurezza, audit, subfornitori, trasferimenti extra UE, istruzioni operative per le farmacie e prove di test sul blocco dati in caso di opt-out.

5. Aggiornare registro e procedure: inserire il trattamento nel registro art. 30 GDPR, verificare art. 9 GDPR sui dati sanitari, base giuridica, informativa art. 13/14, data retention e procedure per richieste degli interessati.

6. Fare un test tecnico: simulare un paziente che si oppone e verificare, con evidenza scritta, che nessun dato venga inviato. Non è sufficiente la dichiarazione del vendor.

7. Valutare se sospendere il flusso se il fornitore non fornisce garanzie adeguate o se la farmacia non riesce a informare correttamente i pazienti. La continuità del servizio non prevale su dati sanitari trattati in modo non trasparente.

Checklist DPO per farmacia: contratto, ruolo privacy, informativa, opt-out, registro, DPIA/LIA, sicurezza del CRM, test tecnico, evidenze di audit.