Italiens Datenschutzbehörde verhängt 7 Mio. € Bußgeld gegen IQVIA wegen Gesundheitsdaten von 1 Mio. Patienten, die nicht anonym waren

Die italienische Datenschutzbehörde Garante verhängte mit Entscheidung vom 23. September 2026 ein Bußgeld von 7 Mio. € gegen die IQVIA Solutions Italy S.r.l. wegen einer Datenbank mit Gesundheitsdaten von etwa einer Million Patienten von rund 800 Hausärzten. Die Daten wurden über ein Add-on aus den Praxisverwaltungssystemen der Ärzte extrahiert, und jeder Patient trug eine persistente Kennung – eine Pat ID –, sodass Personen über die Zeit hinweg verfolgt werden konnten. IQVIA nutzte die Datenbank für von Pharmaunternehmen in Auftrag gegebene Studien.

Die Garante stellte fest, dass die Daten nicht anonym waren, wie das Unternehmen behauptet hatte: Die persistente Kennung in Kombination mit Geburtsjahr, Geschlecht, Diagnosen, Symptomen, Verschreibungen, Untersuchungen, Impfungen und Standortdaten machte es möglich, Einzelpersonen herauszugreifen und zu re-identifizieren.

Die Behörde listete die Verstöße auf: Gesundheitsdaten, die ohne geeignete Rechtsgrundlage und ohne angemessene Information der Patienten verarbeitet wurden, keine Aufbewahrungsfristen (die Daten reichten bis 2001 zurück), keine Datenschutz-Folgenabschätzung, unzureichende Sicherheit und die Hausärzte, die nie als Auftragsverarbeiter benannt wurden. Freitextfelder machten zudem etwa 3.370 Patienten direkt identifizierbar – bei etwa 3.080 von ihnen mit Gesundheitsdaten –, der Verstoß, den IQVIA selbst gemeldet hatte.

IQVIA argumentierte, die Daten seien anonym, und berief sich auf das Urteil des EuGH in der Rechtssache C-413/23, und erklärte, es habe nie den Schlüssel besessen, der die Kennung mit einer Person verknüpft. Die Garante gelangte zur entgegengesetzten Schlussfolgerung und gab dem Unternehmen 120 Tage Zeit, die Verarbeitung in Übereinstimmung zu bringen – Rechtsgrundlage, Patienteninformation, Folgenabschätzung, Benennung der Auftragsverarbeiter – oder die Ärzte die Daten selbst anonymisieren zu lassen. Mildernde Umstände: Die Ärzte stellten ab 2023 die Datenübermittlung ein, und IQVIA kooperierte während des Verfahrens.

7 Mio. € Bußgeld; 120 Tage Zeit, um die Verarbeitung mit der DSGVO in Einklang zu bringen oder die Ärzte die Daten selbst anonymisieren zu lassen

Es behauptete, die Datenbank sei anonym, während eine persistente Patientenkennung zusammen mit Geburtsjahr, Geschlecht, Diagnosen und Standort Einzelpersonen herausgreifen konnte.

Es verarbeitete Gesundheitsdaten ohne geeignete Rechtsgrundlage und ohne angemessene Information der Patienten.

Es setzte keine Aufbewahrungsfristen und ließ Datensätze von 2001 bis zur Prüfung anwachsen.

Es unterließ die erforderliche Folgenabschätzung und angemessene Sicherheit und formalisierte die Hausärzte nie als Auftragsverarbeiter.

Seine automatische Bereinigung versagte: Freitextfelder enthielten Namen, Steuernummern und Adressen von etwa 3.370 Patienten, was seine eigene Meldung des Verstoßes erzwang.

Einen Datensatz „anonymisiert“ zu nennen, macht ihn nicht dazu: Eine persistente Patientenkennung zusammen mit Diagnosen und Standorten ist ein Re-Identifizierungsbausatz, und die Aufsichtsbehörden lesen es so.

IQVIA hat ab der Entscheidung 120 Tage Zeit, die Verarbeitung DSGVO-konform zu machen oder die Anonymisierung unter von der Garante festgelegten Schutzmaßnahmen den Ärzten zu überlassen; der EDPB meldete den Fall als nationale Entscheidung. Er kommt Monate, nachdem die französische Niederlassung der Gruppe, IQVIA Operations France, im Mai 2026 von der CNIL in einem parallelen Streit über dieselbe „anonymisierte“ Behauptung mit 5 Mio. € Bußgeld belegt wurde.