Die italienische Datenschutzbehörde (DPA) hat gegen IQVIA Solutions Italy S.r.l. eine Geldbuße von 7 Millionen Euro verhängt. Das Unternehmen habe Gesundheitsdaten von etwa einer Million Patienten von 800 Hausärzten rechtswidrig verarbeitet. Die DPA stellte fest, dass die Daten entgegen IQVIAs Behauptung nicht anonym waren: Ein beständiger Identifikator für jeden Patienten ermöglichte eine Verfolgung im zeitlichen Verlauf, und kombiniert mit detaillierten Informationen wie Geburtsjahr, Geschlecht, Diagnosen, Symptomen, Verschreibungen, Untersuchungen, Impfungen und Standortdaten konnten Patienten durch zumutbare Mittel re-identifiziert werden. Etwa 3.370 Patienten waren direkt identifizierbar, bei etwa 3.080 davon lagen auch Gesundheitsdaten vor.
IQVIA habe die Daten ohne angemessene Rechtsgrundlage und ohne adequate Informationen für die Patienten verarbeitet. Ferner fehlten angemessene Aufbewahrungsfristen, eine Datenschutz-Folgenabschätzung und ausreichende Sicherheitsmaßnahmen. Das Unternehmen muss die Verarbeitung innerhalb von 120 Tagen GDPR-konform gestalten oder die Daten ordnungsgemäß anonymisieren.
Kernpunkte:
- Die italienische Datenschutzbehörde führte eine Untersuchung gegen IQVIA Solutions Italy S.r.l. durch.
- Die Untersuchung betraf eine Datenbank mit Gesundheitsinformationen von etwa einer Million Patienten von 800 Hausärzten.
- Die italienische DPA stellte fest, dass die Daten entgegen IQVIAs Behauptung nicht anonym waren.
Quelle: EDPB News (Englisch)