Italian DPA fines IQVIA EUR 7 000 000 for unlawful processing of patients’ health data
Background information Date of final decision: 23 September 2026 National case Controller: IQVIA Solutions Italy S.r.l Legal Reference(s): Article 5 (Principles relating to processing of personal data), Article 9 (Processing of special categories of personal data), Article 13 (Information to be pro…
- Data do item
- 2026-10-09
- Órgão responsável
- EDPB
- Tipo de ato
- Enforcement / sanção
- Estágio
- A classificar
- Prioridade
- Urgente — agir em dias
- Impacto
- Crítico
- Confiança da análise
- 0.80 — Interpretação fortemente suportada pela fonte oficial
- Território
- União Europeia
O que mudou (registro da fonte oficial)
Background information Date of final decision: 23 September 2026 National case Controller: IQVIA Solutions Italy S.r.l Legal Reference(s): Article 5 (Principles relating to processing of personal data), Article 9 (Processing of special categories of personal data), Article 13 (Information to be provided where personal data are collected from the data subject), Article 25 (Data protection by design and by default), Article 28 (Processor) and Article 35 (Data protection impact assessment) Decision: Administrative fine Key words: Data protection impact assessment, Health and research, Anonymisati
Órgão: EDPB · Data do item na fonte oficial: 2026-10-09
Italian DPA fines IQVIA EUR 7 000 000 for unlawful processing of patie ↗
Texto e data preservados do item do dataset; nenhum fato foi acrescentado.
Por que isso importa
Leitura: o item é classificado como EDPB e proteção de dados em IA, Enforcement e sanções, Dados de saúde e EHDS, o que normalmente desloca obrigações de documentação, transparência ou controlo interno para as equipas responsáveis.
Possíveis obrigações
- Verificação preventiva dos controlos equivalente aos que falharam na decisão publicada. — base: Fonte menciona: enforcement e sanções, dados de saúde e ehds · confiança 0.80
- Registo do risco e do plano de correção no sistema de compliance. — base: Fonte menciona: enforcement e sanções, dados de saúde e ehds · confiança 0.80
- Revisão contratual com fornecedores quando a decisão envolve terceiros. — base: Fonte menciona: enforcement e sanções, dados de saúde e ehds · confiança 0.80
- Base legal documentada para tratamento de dados pessoais em sistemas de IA. — base: Fonte menciona: enforcement e sanções, dados de saúde e ehds · confiança 0.80
- Avaliação de impacto sobre a proteção de dados (DPIA) quando exigida. — base: Fonte menciona: enforcement e sanções, dados de saúde e ehds · confiança 0.80
- Informação transparente sobre decisões automatizadas e revisão humana efetiva. — base: Fonte menciona: enforcement e sanções, dados de saúde e ehds · confiança 0.80
Riscos
- Repetir o padrão sancionado na sua própria operação.
- Multas de percentagem do volume de negócios global em casos de maior gravidade.
- Medidas corretivas que obrigam a alterar produto já em produção.
- Perda de confiança de clientes e de investidores após incidente público.
- Treino ou fine-tuning sem base legal documentada.
- Uso de web scraping e conteúdo pessoal sem avaliação registada.
Oportunidades
- Utilizar as decisões publicadas como teste-padrão interno antes de uma auditoria.
- Demonstrar diligência documentada a clientes regulados e seguradoras.
- Redução de risco antes de escalar o produto para novos mercados.
- Uso de orientações do EDPB como argumento de confiança em vendas a clientes regulados.
- Contribuir para o desenho das regras através de consultas e códigos de prática.
Quem pode ser afetado
Exposição provável em: Saúde, AdTech, Cloud, E-commerce. Potencialmente afetada. A aplicabilidade depende das atividades exercidas e requer avaliação jurídica específica.
Setores
- Saúde — Termo do item oficial relacionado ao setor. (base explícita)
- AdTech — Tema «EDPB e proteção de dados em IA» afeta tipicamente este setor. (base temática)
- Cloud — Tema «EDPB e proteção de dados em IA» afeta tipicamente este setor. (base temática)
- E-commerce — Tema «EDPB e proteção de dados em IA» afeta tipicamente este setor. (base temática)
- Marketplaces — Tema «EDPB e proteção de dados em IA» afeta tipicamente este setor. (base temática)
- Pharma e Life Sciences — Tema «Dados de saúde e EHDS» afeta tipicamente este setor. (base temática)
- Provedores de IA — Tema «EDPB e proteção de dados em IA» afeta tipicamente este setor. (base temática)
- SaaS — Tema «EDPB e proteção de dados em IA» afeta tipicamente este setor. (base temática)
Tipos de empresa: Plataforma digital / marketplace, Grande empresa, PME (pequena e média empresa), Provedor de cloud, infraestrutura ou capacidade computacional, Operador (deployer) de sistema de IA, Serviços profissionais (jurídico, consultoria, auditoria), Provedor de sistema de IA, Startup / empresa em formação
Áreas internas: Data Protection Officer, Privacy, Compliance, Jurídico, Data Governance, Risk, Cybersecurity, Assuntos clínicos / regulatórios
Classificação por palavras-chave e tema. Não estabelece que qualquer organização específica esteja juridicamente enquadrada no ato.
O que fazer
- Atualizar a matriz de risco com o padrão sancionado nesta decisão. — responsável sugerido: Compliance · prioridade Alta
- Testar o controlo correspondente no seu próprio processo e registar o resultado. — responsável sugerido: Compliance · prioridade Alta
- Levar o caso concreto à reunião de compliance com responsável nomeado. — responsável sugerido: Compliance · prioridade Alta
- Mapear as bases legais de cada caso de uso de IA que trata dados pessoais. — responsável sugerido: Data Protection Officer · prioridade Alta
- Atualizar a DPIA para os casos de uso afetados pela orientação mais recente. — responsável sugerido: Data Protection Officer · prioridade Alta
- Formar produto e marketing sobre limites de uso de dados pessoais. — responsável sugerido: Data Protection Officer · prioridade Alta
SLA sugerido: agir em dias · Áreas responsáveis: dpo, privacy, compliance, legal, data-governance, risk, cybersecurity, clinical
O que isso significa na prática?
Consequência empresarial
Na prática, isto altera expectativas sobre como a organização documenta, avalia e supervisiona o uso de IA em Saúde, AdTech, Cloud.
Áreas internas envolvidas
Data Protection Officer, Privacy, Compliance, Jurídico, Data Governance, Risk, Cybersecurity, Assuntos clínicos / regulatórios
Possíveis custos
Custo de adequação não quantificado pelo monitor: depende do número de sistemas afetados, da obrigação aplicável e do desenho do controlo.
Necessidade de adequação
Provável necessidade de adequação em documentação, contratos ou controlos internos quando a obrigação se confirmar aplicável.
Risco de não agir
Repetir o padrão sancionado na sua própria operação.
Próximo passo
Atualizar a matriz de risco com o padrão sancionado nesta decisão.
Prazos ligados a este evento
| Data | Marco | Prazo restante | No tracker |
|---|---|---|---|
| 2026-09-23 | Data referida no texto oficial | cumprido | referência |
Abrir o Deadline Tracker completo →
Evidência utilizada
- Italian DPA fines IQVIA EUR 7 000 000 for unlawful processing of patients’ health data ↗ — fonte primária
Potencialmente afetada. A aplicabilidade depende das atividades exercidas e requer avaliação jurídica específica.