IQVIA erhält Datenschutzbußgeld von 7 Millionen Euro wegen Gesundheitsdaten

Italiens Datenschutzbehörde hat gegen IQVIA wegen des Umgangs mit Patienteninformationen ein Bußgeld in Höhe von 7 Millionen Euro, rund 7,8 Millionen US-Dollar, verhängt. Das IQVIA-Datenschutzbußgeld folgt auf die Feststellung, dass als anonym bezeichnete Gesundheitsdaten weiterhin die Identifizierung einzelner Personen ermöglichen könnten.

Die als GPDP bekannte Aufsichtsbehörde untersuchte eine Datenbank mit Informationen über rund eine Million Patienten. Die italienische Niederlassung von IQVIA stellte die Datensätze mithilfe von Daten von etwa 800 Allgemeinmedizinern zusammen.

Die Behörde kam jedoch zu dem Schluss, dass das Ersetzen der Patientennamen durch eindeutige Codes die Informationen nicht ausreichend anonymisierte.

Detaillierte Datensätze machten Patienten potenziell identifizierbar

Nach Angaben der Aufsichtsbehörde ermöglichte der Code jedes Patienten, dessen Datensätze über einen längeren Zeitraum zu verfolgen. In Kombination mit detaillierten medizinischen und demografischen Informationen entstand dadurch das Risiko einer Reidentifizierung.

Die Datenbank enthielt Geburtsjahre, Geschlecht, Diagnosen, Symptome, Verschreibungen, Tests und Impfinformationen. Sie enthielt außerdem Standortdaten.

Die Ermittler stellten daher fest, dass jemand mit angemessenen Mitteln einzelne Patienten herausgreifen und möglicherweise ihre Identität feststellen könnte.

Die Feststellungen betreffen eine unzureichende Anonymisierung und Praktiken bei der Datenverarbeitung. Sie belegen weder, dass Angreifer die Datenbank gestohlen haben, noch dass tatsächlich jemand die Patienten reidentifiziert hat.

Aufsichtsbehörde stellt weitere Probleme bei der Datenverarbeitung fest

Neben den Schwächen bei der Anonymisierung stellte die GPDP fest, dass IQVIA Patienteninformationen ohne eine angemessene Rechtsgrundlage verarbeitete. Nach Angaben der Behörde versäumte es das Unternehmen außerdem, die Patienten über diese Verarbeitung zu informieren.

Darüber hinaus stellten die Ermittler fest, dass keine ordnungsgemäß festgelegten oder angewandten Aufbewahrungsfristen bestanden. Einige Datensätze reichten bis ins Jahr 2001 zurück.

Bei einer kleineren Gruppe von rund 3.300 Patienten enthielt die Datenbank direkt identifizierende Informationen. Zu diesen Datensätzen gehörten Namen, Steueridentifikationsnummern, Adressen und Kontaktdaten.

Zusammen erweiterten diese Feststellungen den Fall über die Frage hinaus, ob die codierten Gesundheitsdaten den Anforderungen an anonyme Informationen entsprachen.

IQVIA erhält 120 Tage zur Behebung der festgestellten Probleme

Die italienischen Behörden untersuchten die Praktiken von IQVIA im April 2025 und trafen ihre Entscheidung im September 2026.

Zusätzlich zum IQVIA-Datenschutzbußgeld ordnete die Aufsichtsbehörde an, dass das Unternehmen seine Datenverarbeitungspraktiken innerhalb von 120 Tagen in Einklang mit den Vorschriften bringen muss.

IQVIA bietet international Dienstleistungen in den Bereichen Gesundheitsanalysen, Technologie und klinische Forschung an. Die Entscheidung betrifft jedoch den spezifischen Datensatz, den die italienische Behörde untersucht hat.

Das Unternehmen erklärte, dass dieser Datensatz weder seine klinischen Forschungsdienstleistungen noch klinische Studien unterstützt, die im Auftrag von Sponsoren durchgeführt werden.

Unternehmen gibt an, Korrekturmaßnahmen ergriffen zu haben

In seiner Stellungnahme bestätigte IQVIA die Entscheidung und erklärte, dass sich das Unternehmen das Recht auf Berufung vorbehält.

Das Unternehmen erklärte außerdem, dass es weiterhin mit der Aufsichtsbehörde zusammenarbeitet und bereits Schritte unternommen hat, um seine Praktiken an die Vorgaben der Behörde anzupassen.

Unterdessen verwies IQVIA auf Schutzmaßnahmen wie Pseudonymisierung und Verschlüsselung als Teil seines Ansatzes zum Schutz von Gesundheitsinformationen.

Die zentrale Frage bleibt, ob die Datensätze trotz dieser Schutzmaßnahmen die Identifizierung einzelner Personen ermöglichen konnten. In diesem Fall kam die Aufsichtsbehörde zu dem Schluss, dass die Patientencodes und die detaillierten zusätzlichen Informationen diese Möglichkeit weiterhin offenließen.