Nexvyra

Italienische Datenschutzbehörde verhängt 7 Mio. Euro DSGVO-Bußgeld gegen IQVIA wegen nicht anonymer Patientendatenbank (Art. 9, 35 DSGVO)

Veröffentlicht: 2026-10-12 · Ereignis: 2026-10-09 · behoerden

# Italienische Datenschutzbehörde verhängt 7 Mio. Euro DSGVO-Bußgeld gegen IQVIA wegen nicht anonymer Patientendatenbank (Art. 9, 35 DSGVO)

Kurzmeldung

Die italienische Datenschutzaufsicht Garante per la protezione dei dati personali hat gegen IQVIA Solutions Italy S.r.l. ein Bußgeld von 7.000.000 Euro verhängt (Entscheidung vom 23. September 2026). Gegenstand war eine Datenbank mit Gesundheitsinformationen von rund einer Million Patientinnen und Patienten aus 800 Hausarztpraxen, die auch für Studien im Auftrag von Pharmaunternehmen genutzt wurde. Die Behörde stellte fest, dass die Daten – anders als von IQVIA angegeben – nicht anonym waren. Der Europäische Datenschutzausschuss (EDPB) hat die Entscheidung am 9. Oktober 2026 veröffentlicht.

Kernfakten

| Punkt | Wert | |---|---| | Datum | 2026-10-09 (Veröffentlichung durch EDPB); Entscheidung vom 23.09.2026 | | Gericht/Institution | Garante per la protezione dei dati personali (Italien), nationaler Fall | | Aktenzeichen | Verantwortlicher IQVIA Solutions Italy S.r.l.; Inspektionen April 2025, verbunden mit Verfahren zu einer gemeldeten Datenpanne | | Rechtsgrundlage | Art. 5, 9, 13, 25, 28 und 35 DSGVO | | Wirkung | Bußgeld 7.000.000 Euro; bei Fortführung der Verarbeitung Herstellung der DSGVO-Konformität binnen 120 Tagen |

Was das bedeutet

Entscheidend war ein dauerhafter Kennzeichner je Patient: Zusammen mit Geburtsjahr, Geschlecht, Diagnosen, Symptomen, Verordnungen, Untersuchungen, Impfungen und Ortsangaben ließen sich Personen nach Auffassung der Behörde über die Zeit verfolgen, herausgreifen und mit vertretbaren Mitteln potenziell re-identifizieren. Die Datenbank enthielt zudem direkt identifizierende Angaben zu rund 3.370 Patienten, darunter Gesundheitsdaten zu rund 3.080. Beanstandet wurden fehlende Rechtsgrundlage für Gesundheitsdaten, unzureichende Information der Patienten, fehlende Speicherfristen, eine fehlende Datenschutz-Folgenabschätzung und unzureichende Sicherheitsmaßnahmen. Will IQVIA weiterverarbeiten, muss das Unternehmen u. a. eine Rechtsgrundlage bestimmen, eine DSFA durchführen und die Hausärzte als Auftragsverarbeiter einbinden – alternativ müssen die Ärzte die Anonymisierung selbst nach den Vorgaben der Behörde vornehmen. Für Gesundheitsdatenanalyse und Forschung in Deutschland zeigt der Fall: Pseudonymisierte Datensätze mit stabilen IDs sind regelmäßig personenbezogen; das Etikett „anonym“ schützt nicht vor Art. 9 DSGVO.

Für vertiefte Information

Quelle

Stand

Passende Themen