Statt Namen verwendete IQVIA in den betroffenen Datensätzen einen eindeutigen Code je Patient. Genau dieser Code wurde der Firma zum Verhängnis: Laut GPDP ließ er sich nutzen, um Patienten über die Zeit hinweg nachzuverfolgen.
“Der jedem Patienten zugeordnete Code machte es möglich, ihn über die Zeit hinweg zu verfolgen”, erklärte die Behörde in einer Mitteilung, die Ende vergangener Woche veröffentlicht wurde. “In Verbindung mit einem sehr detaillierten Informationsbestand (Geburtsjahr, Geschlecht, Diagnosen, Symptome, Verschreibungen, Untersuchungen, Impfungen sowie Standortdaten) erlaubte er es, einzelne Patienten herauszugreifen und sie mit vertretbarem Aufwand wieder zu identifizieren.”
Für eine Teilmenge von 3.300 Patienten enthielt die Datenbank darüber hinaus Klarnamen, Steueridentifikationsnummern, Adressen und Kontaktdaten. Von einer Anonymisierung konnte in diesen Fällen ohnehin keine Rede sein.
Die Behörde beanstandete außerdem, dass IQVIA die Daten ohne geeignete Rechtsgrundlage und ohne Information der betroffenen Patienten verarbeitet habe – ein Verstoß gegen die Datenschutz-Grundverordnung. Hinzu kommt das Fehlen definierter Löschfristen: Die Prüfer stießen auf Datensätze, die bis ins Jahr 2001 zurückreichen.
Neben der Geldbuße von 7 Millionen Euro setzte die GPDP dem Unternehmen eine Frist von 120 Tagen, um seine Verarbeitungspraxis rechtskonform zu gestalten.
Auf Anfrage von BleepingComputer erklärte ein Unternehmenssprecher: “IQVIA ist dem verantwortungsvollen Umgang mit Daten und Informationen verpflichtet und kooperiert weiterhin mit der Behörde. Der Schutz von Daten ist für IQVIA eine zentrale Priorität, und wir unterhalten robuste Schutzmaßnahmen, einschließlich des Einsatzes von Pseudonymisierung und Verschlüsselung, um eine verantwortungsvolle Datennutzung im Gesundheitswesen zu unterstützen.”
Das Unternehmen erkenne die Entscheidung der italienischen Datenschutzbehörde an, behalte sich jedoch das Recht vor, Rechtsmittel einzulegen. Der betroffene Datenbestand werde, so der Sprecher weiter, von IQVIA nicht im Rahmen klinischer Forschungsdienstleistungen eingesetzt und stehe nicht im Zusammenhang mit der Durchführung klinischer Studien im Auftrag von Sponsoren. Man habe sich während des gesamten Verfahrens konstruktiv mit der Behörde ausgetauscht und bereits Schritte unternommen, um die notwendigen Maßnahmen für eine vollständige Übereinstimmung mit den Vorgaben der Behörde umzusetzen.