Italienische Datenschutzbehörde verhängt 7 000 000 Euro Strafe gegen IQVIA wegen Gesundheitsdaten von Patienten
Die italienische Datenschutzbehörde hat gegen IQVIA Solutions Italy S.r.l. eine Geldbuße von 7 000 000 Euro verhängt, weil das Unternehmen Gesundheitsdaten von Patienten rechtswidrig verarbeitet hat. Eine Datenbank, die das Unternehmen als anonym bezeichnete, ließ nach Feststellung der Behörde die Re-Identifizierung von Personen zu. Die endgültige Entscheidung datiert vom 23. September 2026, wie der Europäische Datenschutzausschuss (EDSA, englisch EDPB) mitteilt.
- Die italienische Datenschutzbehörde verhängte gegen IQVIA Solutions Italy S.r.l. eine Geldbuße von 7 000 000 Euro; die endgültige Entscheidung datiert vom 23. September 2026.
- Die Datenbank umfasste rund eine Million Patienten von 800 Hausärzten und war nach Feststellung der Behörde nicht anonym.
- IQVIA fehlten eine Rechtsgrundlage, ausreichende Patienteninformation, Speicherfristen, eine Folgenabschätzung und angemessene Sicherheitsmaßnahmen.
- IQVIA hat 120 Tage Zeit, eine fortgesetzte Verarbeitung DSGVO-konform zu gestalten, andernfalls müssen die Ärzte die Anonymisierung selbst vornehmen.
Wie der Fall ins Rollen kam
Die italienische Datenschutzbehörde untersuchte IQVIA Solutions Italy S.r.l., ein Unternehmen, das zu einem multinationalen Konzern im Bereich Gesundheitsdatenanalyse und klinische Forschung gehört. Im Mittelpunkt stand eine Datenbank mit Gesundheitsinformationen von rund einer Million Patientinnen und Patienten von 800 Hausärzten. Laut der Zusammenfassung des EDSA wurde die Datenbank für Studien genutzt, die auch von Pharmaunternehmen in Auftrag gegeben wurden.
Die Untersuchung folgte auf Kontrollen im April 2025. Sie wurde mit einem Verfahren zu einer Verletzung des Schutzes personenbezogener Daten verbunden, die IQVIA selbst der Behörde gemeldet hatte.
Warum die Daten nicht anonym waren
IQVIA hatte die Daten als anonym bezeichnet. Die italienische Datenschutzbehörde sah das anders. Sie stellte fest, dass eine jedem Patienten zugewiesene dauerhafte Kennung es erlaubte, Personen über die Zeit zu verfolgen. In Kombination mit detaillierten Angaben war es dadurch möglich, Patienten mit vernünftigerweise verfügbaren Mitteln herauszugreifen und möglicherweise erneut zu identifizieren.
Zu den detaillierten Angaben zählten:
- Geburtsjahr und Geschlecht
- Diagnosen und Symptome
- Verschreibungen, Untersuchungen und Impfungen
- Standortdaten
Die Datenbank enthielt zudem direkt identifizierende Informationen zu rund 3 370 Patienten, darunter Gesundheitsdaten von rund 3 080 von ihnen.
Die festgestellten Verstöße
Die Behörde kam zu dem Schluss, dass IQVIA als Verantwortliche Gesundheitsdaten ohne geeignete Rechtsgrundlage und ohne ausreichende Information der Patienten verarbeitet hat. Zudem habe das Unternehmen keine angemessenen Speicherfristen festgelegt, keine Datenschutz-Folgenabschätzung durchgeführt und keine ausreichenden Sicherheitsmaßnahmen getroffen.
Als rechtliche Grundlagen des Falls werden die Artikel 5, 9, 13, 25, 28 und 35 der DSGVO genannt. Sie regeln die Grundsätze der Verarbeitung, besondere Kategorien personenbezogener Daten, die Information der betroffenen Personen, Datenschutz durch Technikgestaltung und durch datenschutzfreundliche Voreinstellungen, die Rolle des Auftragsverarbeiters sowie Folgenabschätzungen.
Geldbuße und Abhilfemaßnahmen
Neben der Geldbuße von 7 000 000 Euro knüpfte die Behörde eine mögliche Fortsetzung der Verarbeitung an Bedingungen. Will IQVIA weitermachen, muss das Unternehmen die Verarbeitung innerhalb von 120 Tagen mit der DSGVO in Einklang bringen. Dazu gehören eine geeignete Rechtsgrundlage, die Erfüllung der Informationspflichten gegenüber den Patienten, eine Datenschutz-Folgenabschätzung und die Bestellung der Hausärzte zu Auftragsverarbeitern.
Die Alternative besteht darin, dass die Anonymisierung eigenständig durch die Hausärzte erfolgt, und zwar unter Einhaltung der von der italienischen Behörde festgelegten Schutzvorkehrungen.
Bei der Bemessung der Höhe berücksichtigte die Behörde die große Zahl betroffener Personen und die Sensibilität der Daten. Mildernd wirkten die Aussetzung der Datenübermittlung durch die Hausärzte und die Zusammenarbeit von IQVIA während des Verfahrens.
Was das bedeutet
Die Entscheidung zeigt, dass die Behauptung einer Anonymisierung nicht trägt, wenn eine dauerhafte Kennung sowie umfangreiche klinische und Standortdetails es ermöglichen, Patienten herauszugreifen. Für Unternehmen, die Gesundheitsdaten für Forschung und Analysen nutzen, unterstreicht die Entscheidung die Notwendigkeit einer klaren Rechtsgrundlage, der Information der Patienten und einer Folgenabschätzung sowie einer klar definierten Rolle der Ärzte, die die Daten liefern.