Der Garante für den Datenschutz verhängt eine Geldbuße von 7 Millionen Euro gegen IQVIA Solutions Italy wegen unrechtmäßiger Verarbeitung von Gesundheitsdaten

Hintergrund

Der italienische Garante für den Datenschutz führte eine Untersuchung bei IQVIA Solutions Italy S.r.l., einem Teil einer multinationalen Gruppe, die in der Analyse von Gesundheitsdaten und der klinischen Forschung tätig ist. Die Untersuchung konzentrierte sich auf eine Datenbank mit Gesundheitsinformationen von rund einer Million Patienten von 800 Hausärzten, die auch für Studien im Auftrag von Pharmaunternehmen genutzt wurde. Die Feststellung, die aus Inspektionen im April 2025 hervorging, wurde mit einem Verfahren wegen einer von IQVIA selbst gemeldeten Datenschutzverletzung kombiniert.

Die Behörde stellte fest, dass die Daten nicht anonym waren, wie von IQVIA behauptet. Ein jedem Patienten zugewiesener persistenter Identifikator ermöglichte die Verfolgung über die Zeit und machte es, in Kombination mit detaillierten Informationen (Geburtsjahr, Geschlecht, Diagnose, Symptome, Verschreibungen, Untersuchungen, Impfungen und Standortdaten), möglich, die betroffenen Personen mit vernünftigerweise verfügbaren Mitteln zu identifizieren und potenziell zu re-identifizieren. IQVIA, als Verantwortlicher, verarbeitete die Gesundheitsdaten ohne angemessene Rechtsgrundlage, ohne ausreichende Information der Patienten, ohne Festlegung geeigneter Speicherfristen, ohne Durchführung einer Datenschutz-Folgenabschätzung und ohne Umsetzung angemessener Sicherheitsmaßnahmen. Die Datenbank enthielt auch direkt identifizierende Informationen für etwa 3.370 Patienten, einschließlich Gesundheitsdaten für etwa 3.080 von ihnen.

Warum es wichtig ist

Die unrechtmäßige Verarbeitung von Gesundheitsdaten von rund einer Million Patienten kann hohe Geldbußen nach sich ziehen, wie die gegen IQVIA Solutions Italy S.r.l. verhängten 7 Millionen Euro zeigen. Organisationen, die besondere Kategorien von Daten verarbeiten, müssen eine angemessene Rechtsgrundlage gewährleisten, betroffene Personen umfassend informieren und eine Datenschutz-Folgenabschätzung (DPIA) durchführen, um hohe Bußgelder zu vermeiden. Es ist entscheidend, die Wirksamkeit der Anonymisierungsprozesse und der getroffenen Sicherheitsmaßnahmen zu überprüfen, da andernfalls neben der Sanktion auch eine Umstrukturierung der Operationen innerhalb verbindlicher Fristen droht.

Was zu tun ist

• Eine angemessene Rechtsgrundlage für die Verarbeitung von Gesundheitsdaten ermitteln.
• Den Informationspflichten gegenüber Patienten nachkommen.
• Eine Datenschutz-Folgenabschätzung (DPIA) durchführen.
• Die Hausärzte als Auftragsverarbeiter benennen, falls die Verarbeitung fortgesetzt werden soll.
• Den Anonymisierungsprozess unabhängig durch die Hausärzte durchführen, gemäß den von der Behörde festgelegten Garantien, als Alternative zur Einhaltung der Vorschriften.

Was zu vermeiden ist

• Die Anonymität von Daten behaupten, wenn ein persistenter Identifikator und andere Informationen die Re-Identifizierung der betroffenen Personen ermöglichen.
• Keine angemessenen Speicherfristen für Gesundheitsdaten festlegen.
• Das Durchführen einer Datenschutz-Folgenabschätzung (DPIA) unterlassen, wenn die Verarbeitung ein hohes Risiko birgt.

Praktische Auswirkungen

Organisationen im Gesundheits- und Forschungssektor, die große Mengen an Patientendaten analysieren, müssen sich der Komplexität der Verwaltung sensibler Informationen stellen. Der Fall verdeutlicht, dass Techniken wie die Pseudonymisierung möglicherweise nicht ausreichen, um Daten als anonym zu definieren, wenn eine Re-Identifizierung mit vernünftigerweise verfügbaren Mitteln möglich ist. Die volle Verantwortung des Verantwortlichen erfordert eine kontinuierliche Überprüfung der Rechtmäßigkeit der Verarbeitung, der den betroffenen Personen bereitgestellten Informationen sowie der Angemessenheit der Sicherheitsmaßnahmen und der Datenschutz-Folgenabschätzungen.

Zu vermeidende Fehler

• Auf die behauptete Anonymisierung vertrauen, ohne eine genaue technische Überprüfung der Möglichkeit einer Re-Identifizierung vorzunehmen.
• Die Bedeutung einer expliziten und dokumentierten Rechtsgrundlage für die Verarbeitung besonderer Datenkategorien unterschätzen.
• Die Implementierung angemessener Sicherheitsmaßnahmen zum Schutz von Gesundheitsdaten vernachlässigen, insbesondere bei komplexen Datenbanken.

Fragen zur Selbsteinschätzung

• Sind die von uns verarbeiteten Gesundheitsdaten nach den Grundsätzen der DSGVO wirklich anonym, oder besteht ein Risiko der Re-Identifizierung mit vernünftigerweise verfügbaren Mitteln?
• Haben wir eine gültige und dokumentierte Rechtsgrundlage für jede Verarbeitung besonderer Kategorien von Daten, wie Gesundheitsdaten?
• Sind unsere Datenschutzerklärungen klar, vollständig und allen betroffenen Personen, insbesondere Patienten, angemessen bereitgestellt?
• Haben wir Datenschutz-Folgenabschätzungen (DPIA) für alle Hochrisikoverarbeitungen durchgeführt und die erforderlichen Milderungsmaßnahmen umgesetzt?

Verweise

Nationales Recht: GDPR Art. 5 (Principi applicabili al trattamento di dati personali) · GDPR Art. 9 (Trattamento di categorie particolari di dati personali) · GDPR Art. 13 (Informazioni da fornire qualora i dati personali siano raccolti presso l'interessato) · GDPR Art. 25 (Protezione dei dati fin dalla progettazione e per impostazione predefinita) · GDPR Art. 28 (Responsabile del trattamento) · GDPR Art. 35 (Valutazione d'impatto sulla protezione dei dati)