Rom – Eine Datenschutzstrafe gegen IQVIA Solutions Italy in Höhe von sieben Millionen Euro hat Italiens Datenschutzbehörde verhängt. Im Mittelpunkt stehen Informationen über rund eine Million Patienten aus etwa 800 Hausarztpraxen. Die Datensätze waren nach Ansicht der Behörde nicht so anonym, wie es für ihre Verarbeitung nötig gewesen wäre. Die Entscheidung wurde am 2. Oktober veröffentlicht.
Die Datenbank verknüpfte medizinische Angaben über Jahre hinweg mit wiederkehrenden Patientencodes. Namen waren in vielen Datensätzen zwar durch Kennungen ersetzt. Die Kombination aus Gesundheitsinformationen, Zeitangaben und weiteren Merkmalen konnte einzelne Personen nach Einschätzung der Behörde dennoch identifizierbar machen. Besonders deutlich ist der Befund bei mehr als 3.300 Patienten, zu denen unmittelbar identifizierende Angaben gespeichert waren; bei über 3.000 von ihnen kamen medizinische Informationen hinzu.
Die Erhebung reichte teilweise bis ins Jahr 2001 zurück. 2023 stellte IQVIA die Sammlung von Daten bei den beteiligten Ärzten ein. Die Behörde beanstandet neben der unzureichenden Anonymisierung unter anderem die fehlende tragfähige Rechtsgrundlage, unzureichende Informationen für Betroffene sowie Mängel bei Aufbewahrungsfristen, Folgenabschätzung und technischen Schutzmaßnahmen.
Was die Datenschutzstrafe gegen IQVIA bedeutet
Falls IQVIA die betroffene Verarbeitung fortsetzt, muss das Unternehmen sie innerhalb von 120 Tagen an die Datenschutzregeln anpassen. Die Sanktion ist noch nicht gleichbedeutend mit einem rechtskräftigen Abschluss: IQVIA kann gegen die Entscheidung vorgehen. Das Unternehmen erklärte, die betreffende Datenbank werde nicht für klinische Forschung im Auftrag von Sponsoren verwendet.
Für Patienten ist die Unterscheidung zwischen unzureichend anonymisierten Daten und einem Datenleck entscheidend. Die Behörde hat Risiken einer Wiedererkennung und rechtswidrige Verarbeitung festgestellt. Ein öffentlicher Abfluss der Daten von einer Million Menschen ist damit nicht belegt. Der Fall zeigt, dass auch Daten ohne ausgeschriebenen Namen als personenbezogen gelten können, wenn sich Betroffene durch die Verbindung mehrerer Merkmale wiedererkennen lassen.
