CNIL verhängt gegen IQVIA eine Geldbuße in Höhe von 5 Millionen Euro wegen Verstößen gegen Datenschutzvorschriften bei Gesundheitsdaten

Die französische Datenschutzbehörde (CNIL) hat gegen IQVIA OPERATIONS FRANCE eine Geldbuße in Höhe von 5 Millionen Euro verhängt, nachdem sie zahlreiche Verstöße gegen die DSGVO und das französische Datenschutzgesetz im Zusammenhang mit zwei großen Gesundheitsdatenbanken festgestellt hatte, die Informationen von mehreren zehn Millionen Patienten enthielten.

Die Untersuchung ergab mehrere Mängel bei der Einhaltung der Vorschriften, darunter die unzureichende Information der Patienten darüber, dass ihre Apothekendaten an IQVIA weitergegeben wurden, unzureichende Verfahren zur Ausübung des Widerspruchsrechts durch die Betroffenen sowie die Nichteinhaltung der von der CNIL in der Genehmigung zur Einrichtung der Datenlager festgelegten Bedingungen. Dazu gehörte auch, dass mehrere Sicherheitsanforderungen nicht erfüllt wurden, wie beispielsweise das Fehlen von Maßnahmen zur wirksamen Erkennung ungewöhnlicher Aktivitäten. Die Aufsichtsbehörde stellte zudem fest, dass IQVIA als Verantwortlicher dafür zuständig war, sicherzustellen, dass die betroffenen Personen über die Übermittlung ihrer Daten an IQVIA informiert wurden. Keine der Apotheken informierte ihre Kunden jedoch über diese Übermittlung. Darüber hinaus übermittelte die Software der Apotheken weiterhin Daten, selbst wenn betroffene Personen Widerspruch eingelegt hatten.

Der möglicherweise herausragendste Aspekt der Entscheidung ist die Haltung der CNIL zur Anonymisierung, da diese die Anwendbarkeit der Datenschutzvorschriften begründet und damit die vorstehenden Argumente ermöglicht.
IQVIA argumentierte, dass seine Datensätze anonym seien. Die CNIL widersprach dem und stellte fest, dass die Kombination aus detaillierten demografischen und gesundheitlichen Informationen, eindeutigen Patientenkennungen und der Möglichkeit, die Daten mit anderen öffentlich zugänglichen Informationen zu verknüpfen, dazu führe, dass betroffene Personen weiterhin mit angemessenen Mitteln wieder identifiziert werden könnten. Infolgedessen wurden die Daten als pseudonymisiert eingestuft und blieben somit personenbezogene Daten, wodurch die Datenschutzgesetze anwendbar waren.

Zusätzlich zu der Geldbuße hat die CNIL IQVIA aufgefordert, mehrere noch offene Compliance-Mängel innerhalb von sechs Monaten zu beheben, wobei bei Verzögerungen tägliche Strafzahlungen in Höhe von 10.000 € verhängt werden.

Diese Entscheidung bekräftigt mehrere wichtige Grundsätze des Datenschutzrechts. Aus Sicht der DSGVO müssen eine Reihe von Anforderungen erfüllt sein, bevor Daten als wirklich anonymisiert gelten können. Ohne eine sorgfältige Bewertung aller technischen und organisatorischen Maßnahmen sowie der Wahrscheinlichkeit einer Re-Identifizierung sind als „anonymisiert“ bezeichnete Daten möglicherweise in Wirklichkeit nur pseudonymisiert. In diesem Fall handelt es sich weiterhin um personenbezogene Daten, die der DSGVO unterliegen. Darüber hinaus betont die Entscheidung, dass die Verantwortlichen weiterhin dafür verantwortlich sind, sicherzustellen, dass die betroffenen Personen die erforderlichen Informationen erhalten, selbst wenn personenbezogene Daten in ihrem Auftrag von Dritten erhoben werden, und dass technische und organisatorische Maßnahmen in der Praxis wirksam funktionieren müssen, nicht nur auf dem Papier.

Gerne beraten wir Sie in all diesen Aspekten der DSGVO im Rahmen unserer Tätigkeit als externer Datenschutzbeauftragter, um Sie bei der Einhaltung der Datenschutzvorschriften zu unterstützen.