Italienischer Garante Privacy verhängt 7-Millionen-Euro-Strafe gegen IQVIA wegen nicht-anonymisierter Gesundheitsdaten

Hintergrund

IQVIA Solutions Italy Srl, Teil einer multinationalen Gruppe, die in der Analyse von Gesundheitsdaten und der klinischen Forschung tätig ist, erstellte eine Datenbank mit Gesundheitsinformationen von einer Million Patienten aus 800 Hausarztpraxen. Der italienische Garante Privacy verhängte gegen das Unternehmen eine Strafe von 7 Millionen Euro mit Beschluss Nr. 710 vom 23. September 2026. Die Untersuchung begann nach Inspektionen im April 2025, einschließlich Verfahren, die mit einer vom Unternehmen selbst gemeldeten Datenpanne in Verbindung standen.
Dem Garante zufolge waren die Daten, wie von IQVIA behauptet, nicht anonym. Ein jedem Patienten zugeordneter Code ermöglichte die Nachverfolgung über die Zeit. Dieser Code, kombiniert mit detaillierten Informationen (Geburtsjahr, Geschlecht, Diagnosen, Symptome, Verschreibungen, Tests, Impfungen, Standortdaten), ermöglichte es, einzelne Patienten mit vertretbaren Mitteln zu isolieren und neu zu identifizieren.
Die Behörde betrachtete IQVIA als Verantwortlichen für die Datenverarbeitung seit der Erhebung der Daten durch die Ärzte. Das Unternehmen verarbeitete Gesundheitsdaten ohne geeignete Rechtsgrundlage, ohne die Patienten angemessen zu informieren und ohne Speicherfristen festzulegen; einige Daten stammten aus dem Jahr 2001. Es wurde auch keine Datenschutz-Folgenabschätzung durchgeführt und keine angemessenen Sicherheitsmaßnahmen getroffen. Die Datenbank enthielt zudem Identifikationsdaten (Namen, Steuernummern, Adressen, Kontaktdaten) von über 3.300 Patienten, von denen mehr als 3.000 mit Gesundheitsdaten verknüpft waren.

Warum es wichtig ist

Unternehmen im Gesundheits- und Pharmasektor, die sensible Patientendaten verarbeiten, riskieren hohe Bußgelder, wenn die Anonymisierung unwirksam ist und die Rechtsgrundlagen für die Verarbeitung fehlen. IQVIA erhielt eine Geldstrafe von 7 Millionen Euro, da der Garante feststellte, dass die für Studien verwendeten Daten von einer Million Patienten nicht anonym waren und das Unternehmen keine Rechtsgrundlage für deren Verarbeitung hatte. Hausärzte müssen sich der Auswirkungen bewusst sein, wenn sie Patientendaten mit Dritten teilen, und sicherstellen, dass die Anonymisierung von den Behörden gewährleistet ist. Um ähnliche Folgen zu vermeiden, müssen die Rollen bei der Datenverarbeitung klar definiert, eine gültige Rechtsgrundlage sichergestellt und angemessene technische Maßnahmen zur Anonymisierung oder Pseudonymisierung implementiert werden, zusätzlich zur Durchführung einer Datenschutz-Folgenabschätzung.

Was zu tun ist

• Anpassung der Praktiken zur Verarbeitung von Gesundheitsdaten innerhalb von 120 Tagen unter Einhaltung der Anforderungen des Garante Privacy.
• Unabhängige Anonymisierung der Daten durch die Ärzte, gemäß den von der Behörde angegebenen Garantien, als Alternative zur direkten Verarbeitung durch das Unternehmen.
• Festlegung von Speicherfristen für die Daten, da einige aus dem Jahr 2001 stammen.
• Durchführung einer Datenschutz-Folgenabschätzung, bevor sensible Daten in großem Umfang verarbeitet werden.

Was zu vermeiden ist

• Verarbeitung von Patientengesundheitsdaten ohne entsprechende Rechtsgrundlage.
• Daten als anonym betrachten, die durch die Kombination von Codes und detaillierten Informationen re-identifizierbar sind.
• Patienten nicht angemessen über die Verarbeitung ihrer Daten informieren.

Praktische Auswirkungen

Organisationen, die Gesundheitsdaten in großem Umfang erheben und verarbeiten, müssen ihre Anonymisierungspraktiken und die Rechtsgrundlagen der Verarbeitungen sorgfältig überprüfen. Die Re-Identifizierbarkeit durch die Kombination von Codes und spezifischen Details birgt rechtliche Risiken und hohe Bußgelder, wie die 7-Millionen-Euro-Strafe für IQVIA zeigt. Zudem muss sichergestellt werden, dass die Patienten angemessen informiert werden und dass Richtlinien zur Datenaufbewahrung festgelegt werden, insbesondere wenn die Daten viele Jahre alt sind.

Zu vermeidende Fehler

• Sich auf Pseudonymisierungsmethoden als Anonymisierung verlassen, wenn Daten re-identifizierbar bleiben.
• Die Notwendigkeit ignorieren, Patienten über die sie betreffenden Verarbeitungen zu informieren.
• Daten über unbestimmte Zeiträume ohne klare Aufbewahrungspolitik und Überschreitung der festgelegten Grenze speichern.

Fragen zur Selbsteinschätzung

• Sind die Daten, die unsere Organisation als anonym betrachtet, tatsächlich unwiderruflich von der Identität der betroffenen Person getrennt?
• Haben wir eine explizite und dokumentierte Rechtsgrundlage für jede Art von Gesundheitsdaten, die wir verarbeiten?
• Hat unsere Organisation eine Datenschutz-Folgenabschätzung für die Verarbeitung sensibler Daten in großem Umfang durchgeführt?
• Werden die Patienten klar und verständlich über die Verarbeitungsmodalitäten und ihre Rechte in Bezug auf personenbezogene Daten informiert?

Verweise

Nationales Recht: Regolamento Generale sulla Protezione dei Dati (GDPR)