IMS Health: Patientendaten sind angeblich nicht rückrechenbar

In einer Stellungnahme äußert sich ausgerechnet das US-Unternehmen IMS Health zu den vom Nachrichtenmagazin Spiegel erhobenen Vorwürfen, dass die Patientendaten des Apothekenzentrum VSA nicht ausreichend anonymisiert sind. Es schließt eine Rückrechenbarkeit kategorisch aus.

Artikel veröffentlicht am 20. August 2013, 10:25 Uhr, Andreas Sebayang

IMS Health verteidigt die Sammlung der Daten durch das Apothekenzentrum VSA. (Bild: IMS Health/Screenshot: Golem.de)

Das US-Unternehmen IMS Health hat in einer PDF-Stellungnahme Vorwürfe des Nachrichtenmagazins Der Spiegel zurückgewiesen. Die Zeitschrift hatte am Wochenende dem Apothekenzentrum VSA vorgeworfen, Daten nicht ausreichend zu anonymisieren. Der 64-stellige Pseudonym-Code eines Versicherten lasse sich zur Versicherungsnummer zurückrechnen, und dieser Code werde von VSA an IMS Health weitergegeben. IMS Health verteidigt nun das Vorgehen des Partnerunternehmens, das vor allem in Süddeutschland aktiv ist und Rezeptabrechnungen für Apotheken durchführt.

Die Daten sind seiner Überzeugung nach sicher anonymisiert. Um die Sicherheit der Daten zu belegen, bezieht sich IMS Health auf Erkenntnisse der Bayerischen Datenschutzbehörde. Die stellte im Jahresbericht 2011/2012 fest, dass die Patientendaten und das Anonymisierungsverfahren des Apothekenzentrums VSA ausreichend sind. Auch dem Unternehmen IMS ist kein Weg der Rückrechnung bekannt. Die Möglichkeit, dass durch technischen Fortschritt sich Schwachstellen im Algorithmus zeigen, erwähnt IMS Health nicht.

Trotz der angeblichen Sicherheit stellt IMS Health klar, dass es übermittelte und anonyme Daten, die sie etwa von dem Apothekenzentrum VSA bekommen haben, so nicht an Kunden weitergeben würde. Die gewonnenen Daten könnten zudem weder Ärzten noch Patienten zugeordnet werden. Das liege daran, dass die Daten in Segmenten geliefert würden, die etwa Rezepte von durchschnittlich zehn Ärzten oder Apothekern in einem Datensatz enthielten. IMS Health stellt zudem klar, dass mit patientenindividuellen Angeboten keine namentlich genannten Patienten gemeint sind. Was IMS mit dem Begriff patientenindividuell tatsächlich meint, lässt der Konzern offen.

Übertriebener Schutz von Daten könnte als Datenschutzmissbrauch eingestuft werden

Mit einem Zitat macht IMS Health gleich eingangs in seiner Mitteilung deutlich, dass es von der Debatte eigentlich nicht viel hält. Dabei lässt das Unternehmen allerdings einen anderen für sich sprechen. Es zitiert den Professor Bertram Häussler, der die Arbeiten einzelner Datenschutzbeauftragter mit dem Missbrauch des Datenschutzes gleichsetzt: "Nun kommen auf einmal einzelne Datenschutzbeauftragte auf die Idee, dass solche Daten aus grundsätzlichen Erwägungen nicht verwendet werden dürfen. Hier wird der Datenschutz missbraucht."