El Garante de privacidad de Italia impuso una multa de 7 millones de euros a IQVIA Solutions Italy Srl por tratar como anónimos datos de salud que, en la práctica, permitían reidentificar a cerca de un millón de pacientes de 800 médicos de familia. La sanción fue publicada el 3 de octubre de 2026.
IQVIA, subsidiaria italiana del gigante global de datos de salud e investigación de mercado IQVIA Holdings, recopilaba información clínica aportada por médicos de atención primaria en Italia. La autoridad de control determinó que los datos transferidos y procesados no cumplían los estándares técnicos y legales de anonimización exigidos por el Reglamento General de Protección de Datos (GDPR). En consecuencia, el tratamiento de esa información quedaba sujeto a todas las obligaciones del GDPR, incluyendo base legal válida para el procesamiento y garantías reforzadas para datos de categoría especial —como son, por definición, los datos de salud.
Un millón de pacientes, 800 médicos y una anonimización que no lo era
El caso expone un problema recurrente en la industria de datos de salud: la línea entre dato anonimizado y dato pseudonimizado —o directamente identificable— es técnica y jurídicamente exigente. El Garante italiano concluyó que los registros de pacientes podían ser reidentificados, lo que convierte automáticamente el tratamiento en procesamiento de datos personales sensibles sin la protección adecuada. Según se informó, la investigación abarcó el flujo de datos desde los consultorios de los médicos de familia hacia los sistemas de IQVIA, donde la información se utilizaba con fines comerciales y de investigación de mercado farmacéutico.
Los 7 millones de euros representan una sanción significativa incluso en el contexto europeo, donde las multas del GDPR han escalado sostenidamente. El monto refleja tanto la escala del tratamiento —un millón de titulares afectados— como la naturaleza de los datos comprometidos: historial clínico de pacientes, categoría que el artículo 9 del GDPR protege con requisitos particularmente estrictos.
El estándar de anonimización que también rige en Brasil, Argentina y México
El criterio aplicado por el Garante italiano tiene correlato directo en América Latina. La Lei Geral de Proteção de Dados de Brasil (LGPD, Lei 13.709/2018) distingue entre dato anonimizado —que queda fuera de su ámbito si la reidentificación es imposible con medios razonables— y dato pseudonimizado, que sigue siendo dato personal. El artículo 12 de la LGPD establece que si el proceso de anonimización puede revertirse, el dato conserva su protección legal. La Autoridade Nacional de Proteção de Dados (ANPD) aún no ha emitido guía técnica definitiva sobre estándares de anonimización, lo que genera una zona gris que empresas del sector salud en Brasil operan con riesgo regulatorio real. En Argentina, la Ley 25.326 y las disposiciones de la Agencia de Acceso a la Información Pública (AAIP) no definen umbrales técnicos de anonimización, dejando la evaluación a criterio del responsable del tratamiento. En México, la LFPDPPP enfrenta la misma laguna. El caso IQVIA anticipa el tipo de escrutinio que las autoridades latinoamericanas deberían —y eventualmente aplicarán— sobre datos de salud comercializados bajo el rótulo de “anónimos”.
Las empresas que operan en el ecosistema de datos de salud en la región —desde CROs hasta plataformas de telemedicina que venden reportes agregados— deben tomar nota: la ausencia de criterios técnicos locales no es escudo ante una futura impugnación regulatoria. El estándar de facto está siendo definido por decisiones como esta del Garante italiano, y las autoridades latinoamericanas tienen antecedentes concretos para argumentar criterios similares.
El próximo paso a monitorear es si IQVIA impugna la sanción ante los tribunales administrativos italianos, lo que podría generar jurisprudencia adicional sobre los límites técnicos de la anonimización en datos de salud.
