IQVIA wegen Gesundheitsdaten-Warehouses, die Patienten ohne deren Wissen verfolgten, mit 5 Mio. € Geldbuße belegt

IQVIA Operations France, die französische Niederlassung der Gesundheitsanalysegruppe IQVIA, betrieb zwei Gesundheitsdaten-Warehouses, die die CNIL genehmigt hatte: LRX, gespeist mit Abgabedaten von etwa 14.000 Apotheken seit 2018, und EMR, gespeist mit Aufzeichnungen von rund 2.000–3.000 Ärzten seit 2021. Jeder Patient erhält eine eindeutige Kennung, die Käufe, Diagnosen, Symptome, Gewicht, Impfungen und Krankmeldungen zu einer longitudinalen Akte verknüpft – IQVIAs eigene Broschüre bewarb „20 Millionen anonymisierte Patienten, über die Zeit verfolgt“ – und die Daten speisen Studien, die an Pharmalabore verkauft werden.

Im Jahr 2021 zeigte die TV-Sendung Cash Investigation, dass Daten von Apothekenkunden ohne deren Wissen an IQVIA flossen; France Assos Santé beschwerte sich bei der CNIL, die das Unternehmen und Partnerapotheken inspizierte. Feststellungen: Niemand analysierte regelmäßig die Verbindungsprotokolle in einem der beiden Warehouses, sodass ungewöhnliche Zugriffe unbemerkt geblieben wären; EMR hatte keine Mehrfaktorauthentifizierung, eine unzutreffende Patienteninformation und keine wirksame Möglichkeit zum Widerspruch. Von vier geprüften Pariser Apotheken teilte keine den Kunden mit, dass ihre Daten an IQVIA gingen – eine Informationspflicht, die IQVIA an Apotheker delegiert hatte, als Verantwortlicher aber weiterhin trug.

Schlimmer noch: Module, die IQVIA in Apothekensoftware einbaute, konnten Patientendaten selbst dann extrahieren, wenn der Apotheker widersprach – ein Verstoß gegen Artikel 25 DSGVO, Datenschutz durch Technikgestaltung – und einige Studien liefen auf LRX außerhalb jedes rechtlichen Rahmens. Im Verfahren argumentierte IQVIA, die Daten seien anonym und die DSGVO nicht anwendbar, unter Berufung auf das SRB-Urteil des EuGH von 2025. Die CNIL wies dies zurück: Eine eindeutige Kennung pro Patient, die Tiefe der Daten und die Re-Identifizierung durch Kombination öffentlicher Quellen machten die Daten pseudonym, nicht anonym – und bis dahin hatte IQVIA nie bestritten, personenbezogene Daten zu verarbeiten.

Am 26. Mai 2026 verhängte der Ausschuss der CNIL gegen IQVIA Operations France eine Geldbuße von 5 Millionen Euro und verwies auf die Sensibilität der Gesundheitsdaten, die zig Millionen betroffener Menschen und die Marktstellung des Unternehmens.

5 Mio. € Geldbuße, mit sechsmonatigen Anordnungen, durchsetzbar mit 10.000 € pro Tag Verzögerung

Die Patienteninformation wurde an Apotheker ausgelagert, ohne Mechanismus zur Überprüfung, ob sie erfolgte – jahrelange Datenflüsse und nicht eine einzige Apotheke übermittelte die Information.

Die Sicherheit endete an der Eingangstür: Verbindungsprotokolle wurden nie analysiert und EMR hatte keine MFA, sodass Missbrauch innerhalb der Warehouses unsichtbar geblieben wäre.

Der Widerspruch existierte auf dem Papier, doch die Softwaregestaltung setzte sich darüber hinweg und extrahierte Daten selbst nach Verweigerung – die Compliance war nie in die Pipeline eingebaut.

Die Genehmigungsbedingungen wurden seit 2018 und 2021 als Papierkram behandelt statt als fortbestehende Pflichten, gegen die die Aufsichtsbehörde eines Tages prüfen würde.

Pseudonymisierte Daten mit einer Kennung pro Person sind nicht anonym; die DSGVO gilt weiterhin. Eine Genehmigung ist eine Untergrenze, keine Lizenz – einschließlich der Informationen und Widersprüche, die man an Partner delegiert.

Die Geldbuße wurde am 28. Mai 2026 als Beratung SAN-2026-008 veröffentlicht. IQVIA behob die Sicherheitslücken während des Verfahrens, was der Ausschuss anerkannte, doch die Anordnungen bleiben bestehen: die EMR-Patienteninformation korrigieren, den Widerspruch wirksam machen, sicherstellen, dass Apotheken Kunden tatsächlich informieren, nicht konforme LRX-Studien einstellen und die Extraktion trotz Verweigerung beenden – durchsetzbar mit 10.000 € pro Tag nach sechs Monaten. IQVIA nahm dies zur Kenntnis und behielt sich das Recht vor, beim Conseil d'État Berufung einzulegen. Das Urteil fällt mitten in den Streit darüber, was „anonym“ nach der SRB-Entscheidung des EuGH bedeutet.