Die IQVIA-Sanktion der CNIL: Das SRB-Urteil ist kein Freifahrtschein

Als der Europäische Gerichtshof am 4. September 2025 sein SRB-Urteil (C-413/23 P) fällte, sahen viele darin einen Wendepunkt. Der Gerichtshof bestätigte, dass pseudonymisierte Daten in bestimmten Fällen nicht unter die DSGVO fallen können. Die französische Datenschutzbehörde CNIL hat nun, unterstützt vom höchsten französischen Verwaltungsgericht, deutlich gemacht, dass das Urteil aus ihrer Sicht kaum etwas ändert.

Der Fall

Im Jahr 2021 wies eine Reportage auf mögliche Verstöße gegen die DSGVO durch IQVIA France, ein großes Unternehmen für Gesundheitsdaten, hin. Jahre zuvor hatte die CNIL IQVIA gestattet, zwei Gesundheitsdatenbanken aufzubauen: eine, die von Apotheken (LRX) gespeist wurde, und eine, die von Arztpraxen (EMR) gespeist wurde. Jeder Patient erhielt einen Code, der mehrfach gehasht und zusammen mit einer Vielzahl weiterer Daten – Alter, Geschlecht, Medikamente, Diagnosen, Verschreibungen usw. – an die Datenbank gesendet wurde.

Bis zur SRB-Entscheidung räumte IQVIA ein, dass es personenbezogene Gesundheitsdaten verarbeitete. Danach änderte es seine Position und argumentierte, die Daten seien nun so stark pseudonymisiert, dass sie nicht mehr als personenbezogen gelten – die DSGVO sei daher nicht mehr anwendbar. Der Fall, der sich bis dahin um die oben genannten Genehmigungen drehte, bot der CNIL die Gelegenheit, die Frage zu beantworten: „Was sind personenbezogene Daten nach dem SRB-Urteil?“

Die Antwort der CNIL

Die CNIL widersprach der neuen Position von IQVIA und führte dafür zwei Hauptgründe an:

• Verantwortlichkeit: Anders als im Fall SRB war IQVIA verantwortlich für die Datenverarbeitung. Das Unternehmen legte den Zweck und die Mittel des gesamten Prozesses fest, einschließlich der technischen Spezifikationen der von Dritten durchgeführten Hash-Verarbeitung. Es verfügte somit sowohl über die Schlüssel zur Pseudonymisierung der Patienten als auch über die Mittel zu deren Re-Identifizierung.
   
• Umfang und Genauigkeit: Die Daten waren so umfangreich, dass eine Re-Identifizierung leicht möglich war – dem Berichterstatter zufolge innerhalb von Minuten und lediglich mit einer Internetverbindung (in einem Beispiel durch die Kombination von Daten aus der Datenbank mit einer krankheitsspezifischen Facebook-Gruppe). Die CNIL betonte, dass bereits das Risiko der Re-Identifizierung einer einzigen Person den gesamten Datensatz zu personenbezogenen Daten mache und dass hierfür keine Absicht oder sogar Interesse an der Re-Identifizierung erforderlich sei.

Die CNIL behandelte die Daten daher als personenbezogene Daten und verhängte gegen IQVIA Sanktionen wegen zweier nachgewiesener Verstöße: Nichteinhaltung der Genehmigungsbedingungen (unzureichende technische Sicherheitsvorkehrungen, keine Zugriffsprotokollierung, unbefugte Weiterverwendung der Daten) und Verletzung der Informationspflicht gegenüber Patienten gemäß Art. 14 DSGVO. Gegen IQVIA wurde eine Geldbuße in Höhe von 5 Millionen Euro verhängt und das Unternehmen wurde aufgefordert, die verbleibenden Verstöße innerhalb von sechs Monaten zu beheben (Beschluss SAN-2026-008).

Kein Ausweg über die Gerichte

Die CNIL hatte im Jahr 2024 in drei vergleichbaren Fällen ähnliche Sanktionen verhängt. Am 13. Februar dieses Jahres bestätigte der Conseil d'État (Frankreichs oberstes Verwaltungsgericht) diese und stellte fest, dass die Daten lediglich pseudonymisiert und wiederidentifizierbar seien. Dies macht es sehr unwahrscheinlich, dass ein französisches Gericht nun im Fall IQVIA anders entscheiden würde, zumal sich die CNIL bei der Verhängung dieser jüngsten Sanktion auf die bestätigenden Urteile stützte.

Fazit

Die SRB-Entscheidung räumt Unternehmen zwar mehr Spielraum bei der Verarbeitung pseudonymisierter Daten ein, stellt jedoch keine Freikarte dar. Französische Gerichte und die CNIL zeigen, dass der Begriff „personenbezogene Daten“ weiterhin weit gefasst ist, während die Anforderungen an eine echte Anonymisierung und Pseudonymisierung hoch bleiben. Unternehmen sollten ihre Methoden weiterhin sorgfältig prüfen und ihren Datenschutzbeauftragten einbeziehen, bevor sie sich auf das SRB-Urteil stützen.