IQVIA ist ein multinationales Unternehmen für Gesundheitsdatenanalyse, Technologie und klinische Forschung. Auf seiner Website gibt das Unternehmen an, in mehr als 100 Ländern tätig zu sein und 68 Petabyte Daten sowie 1,2 Milliarden Patientendatensätze zu verwalten.

Die italienischen Behörden hatten die Datenverarbeitung des Unternehmens im April 2025 untersucht und im vergangenen Monat entschieden, dass IQVIA entgegen eigener Darstellung keine ausreichenden Garantien für die Anonymisierung von Gesundheitsdaten bot. Die italienische Niederlassung hatte den Feststellungen zufolge eine Datenbank mit Gesundheitsinformationen von etwa einer Million Patienten aufgebaut, indem sie Daten von 800 Allgemeinmedizinern zusammenführte.

Statt der Namen verwendete das Unternehmen in diesen Datensätzen einen eindeutigen Code. Dieser ließ sich nach Einschätzung der Behörde jedoch nutzen, um Patienten über längere Zeit zu verfolgen und zu de-anonymisieren. “Der jedem Patienten zugeordnete Code ermöglichte es, ihn über die Zeit hinweg zu verfolgen”, erklärte die GPDP in einer Ende vergangener Woche veröffentlichten Mitteilung. “In Kombination mit einem sehr detaillierten Satz von Informationen (Geburtsjahr, Geschlecht, Diagnosen, Symptome, Verschreibungen, Untersuchungen, Impfungen sowie Standortdaten) machte er es möglich, einzelne Patienten herauszugreifen und sie mit angemessenen Mitteln erneut zu identifizieren.”

Darüber hinaus verarbeitete IQVIA die Daten nach Angaben der Behörde ohne geeignete Rechtsgrundlage und ohne die Patienten zu informieren – ein Verstoß gegen die Datenschutz-Grundverordnung (DSGVO). Zudem soll das Unternehmen keine Aufbewahrungsfristen festgelegt oder eingehalten haben; die GPDP fand Datensätze, die bis ins Jahr 2001 zurückreichten. Für eine Teilmenge von 3.300 Patienten enthielt die Datenbank außerdem Namen, Steueridentifikationsnummern, Adressen und Kontaktdaten.

Neben dem Bußgeld ordneten die italienischen Behörden an, die Verarbeitungspraktiken innerhalb von 120 Tagen in Einklang mit den Vorgaben zu bringen.

Ein Unternehmenssprecher erklärte: “IQVIA ist dem verantwortungsvollen Umgang mit Daten und Informationen verpflichtet und arbeitet weiterhin mit der Behörde zusammen. Der Schutz von Daten ist für IQVIA eine zentrale Priorität, und wir unterhalten robuste Schutzmaßnahmen, einschließlich des Einsatzes von Pseudonymisierung und Verschlüsselung, um eine verantwortungsvolle Datennutzung im Gesundheitswesen zu unterstützen.” IQVIA nehme die Entscheidung der italienischen Datenschutzbehörde zur Kenntnis und behalte sich das Recht auf Berufung vor. Der Datensatz, auf den sich die Entscheidung beziehe, werde von IQVIA nicht bei der Erbringung klinischer Forschungsdienstleistungen genutzt und stehe nicht im Zusammenhang mit der Durchführung klinischer Studien im Auftrag von Sponsoren. Man habe sich während des gesamten Verfahrens konstruktiv eingebracht und bereits Schritte unternommen, um die erforderlichen Maßnahmen für eine vollständige Übereinstimmung mit den Vorgaben der Behörde zu ergreifen.