Italien verhängt 7 Millionen Euro Bußgeld gegen Gesundheitsanalyseunternehmen Iqvia wegen unmaskierter Patientendaten
Die italienische Datenschutzbehörde hat Iqvia Solutions Italy mit einer Geldstrafe belegt, weil das Unternehmen unmaskierte Gesundheitsdaten von über einer Million Patienten aus 800 Arztpraxen zusammengestellt hat. Die Behörde setzte eine Frist von 120 Tagen zur Einhaltung der Auflagen.
Ermittlungen und Feststellungen der Aufsichtsbehörde
Die italienische Datenschutzbehörde Garante per la protezione dei dati personali hat am 2. Oktober 2026 gegen die Iqvia Solutions Italy S.r.l. eine Geldstrafe von 7 Millionen Euro wegen Verstößen bei der Verarbeitung personenbezogener Gesundheitsdaten verhängt. Der behördlichen Maßnahme war eine im April 2025 eingeleitete Prüfung vorausgegangen, die später mit einer vom Unternehmen selbst eingereichten Meldung über eine Datenschutzverletzung zusammengeführt wurde. Die Aufsichtsbehörde stellte fest, dass Iqvia eine Datenbank mit Gesundheitsinformationen von mehr als einer Million Patienten angelegt hatte, die von 800 Allgemeinmedizinern in ganz Italien erhoben worden waren und bis ins Jahr 2001 zurückreichen. Die Behörde kam zu dem Schluss, dass Iqvia bereits ab der ersten Datenerhebung in den Arztpraxen als Verantwortlicher handelte. Sie stellte weiter fest, dass das Unternehmen sensible Gesundheitsdaten ohne geeignete Rechtsgrundlage verarbeitete und die betroffenen Personen nicht angemessen informierte.
- Älteste in der Iqvia-Datenbank gespeicherte Gesundheitsdaten
- Allgemeinmediziner stellen die Übermittlung von Patientendaten an Iqvia ein
- Datenschutzbehörde führt Prüfungen durch
- Italienische Datenschutzbehörde verhängt eine Geldstrafe von 7 Millionen Euro
Risiken der Re-Identifizierung und unmaskierte Datensätze
Die Aufsichtsbehörde wies die Behauptung zurück, die gespeicherten Informationen seien wirksam anonymisiert worden. Jedem Patienten war ein Tracking-Code zugeordnet, der eine fortlaufende Beobachtung über die Zeit ermöglichte. In Kombination mit detaillierten medizinischen und demografischen Profilen – darunter Geburtsjahr, Geschlecht, Diagnosen, Symptome, Verschreibungen, medizinische Untersuchungen, Impfungen und geografischer Standort – erlaubte dies die Identifizierung einzelner Personen mit verhältnismäßigem Aufwand. Darüber hinaus stellten die Ermittler fest, dass direkt identifizierende Informationen zu mehr als 3.300 Patienten im Klartext in das Datenverzeichnis gelangten, darunter vollständige Namen, Steueridentifikationsnummern, Wohnadressen und Kontaktdaten. In mehr als 3.000 dieser Fälle standen die personenbezogenen Identifikatoren unmittelbar neben sensiblen medizinischen Datensätzen. Die Behörde merkte an, dass Iqvia keine Höchstgrenzen für die Aufbewahrung der seit 2001 erhobenen Datensätze festgelegt, eine erforderliche Datenschutz-Folgenabschätzung unterlassen und unzureichende technische Sicherheitsvorkehrungen getroffen hatte.
Reaktion des Unternehmens und Datensicherheit
Iqvia erklärte, von der Entscheidung Kenntnis genommen zu haben, und behielt sich das Recht vor, gegen die Geldstrafe Rechtsmittel einzulegen. Das Unternehmen für Gesundheitsanalysen betonte, dass der in der Entscheidung genannte Datensatz nicht für klinische Forschungsdienstleistungen oder klinische Studien im Auftrag kommerzieller Sponsoren verwendet werde. Das Unternehmen erklärte zudem, während des gesamten Verfahrens konstruktiv mitgewirkt und bereits Maßnahmen ergriffen zu haben, um die vollständige Einhaltung der behördlichen Vorgaben sicherzustellen.
Iqvia setzt sich für einen verantwortungsvollen Umgang mit Daten und Informationen ein und arbeitet weiterhin mit der Behörde zusammen. Der Datenschutz hat für Iqvia absolute Priorität und wird durch robuste Sicherheitsmaßnahmen geschützt, darunter die Verwendung von Pseudonymisierung und Verschlüsselung, um eine verantwortungsvolle Datennutzung im Gesundheitswesen zu unterstützen.
Frist zur Einhaltung der Auflagen und Verantwortung der Ärzte
Nach den Bestimmungen der Entscheidung hat Iqvia 120 Tage Zeit, seine Datenverarbeitung vollständig in Übereinstimmung mit den Vorschriften zu bringen, sofern es die Arbeit mit dem Datenverzeichnis fortsetzen will. Kann das Unternehmen die Anforderungen nicht erfüllen, muss die Anonymisierung direkt und eigenständig von den Allgemeinmedizinern nach technischen Leitlinien der Aufsichtsbehörde vorgenommen werden. Bei der Festsetzung der Geldstrafe von 7 Millionen Euro berücksichtigte die Behörde die Gesamtzahl der betroffenen Patienten, die Sensibilität der Gesundheitsdaten und die konstruktive Unterstützung durch das Unternehmen während der Untersuchung. Die Aufsichtsbehörde berücksichtigte außerdem, dass die Allgemeinmediziner 2023 aufgehört hatten, medizinische Daten an Iqvia zu übermitteln. Die Aufsichtsbehörde bestätigte, dass die Hausärzte keine rechtliche Verantwortung für die vom Analyseunternehmen festgelegten Datenverarbeitungspraktiken tragen.
