Project Nightingale (Deutsch: „Projekt Nachtigall“) ist ein Datenaustauschprogramm zwischen dem Internetkonzern Google LLC und dem nordamerikanischen Non-Profit-Gesundheitsdienstleister Ascension. Ascension überließ dabei seit 2018 nicht-anonymisierte Patientendaten[1] aus seinen Krankenhäusern und Behandlungszentren in 21 US-Bundesstaaten dem Internetkonzern zur Auswertung, ohne dass Ärzte oder Patienten informiert wurden oder ihre Einwilligung zur Weitergabe der Daten gegeben hätten.[2] Project Nightingale ist die bisher umfangreichste Weitergabe von Gesundheitsdaten an Dritte.[1]
Journalisten des Wall Street Journal und der New York Times berichteten im Herbst 2019 als erste über das Arrangement der beiden Konzerne. Ascension lud dabei Daten in eine von Google bereitgestellte Cloud hoch. Etwa 150 Mitarbeiter von Google haben demnach Zugang zu Behandlungsdaten, Klarnamen und Adressen von Millionen Patienten erhalten, die in Ascension-Einrichtungen behandelt wurden.[3] Die Daten sollen nach der ursprünglichen Vereinbarung weiter stückweise bis März 2020 an Google geschickt werden. Die Daten von bis zu 50 Millionen Personen sollen bis dahin nach Schätzungen an Google gegangen sein.[1]
Ein Whistleblower hatte das Projekt öffentlich gemacht.[1] Die Firmen selbst gingen mit Details zu ihrer Zusammenarbeit erst später an die Öffentlichkeit.[2]
Nach Angaben von Ascension ist der Zweck des Programms das Angebot für Kunden und die angeschlossenen Unternehmen zu verbessern und die eigenen Dienstleistungen in moderne digitale Plattformen einzubinden, wie sie von den Betroffenen auch im Alltag genutzt werden. Nach einer Stellungnahme von Google dürfen die Ascension-Datenssätze von Google nicht mit Daten verknüpft werden, die Google über die betroffenen Personen im Zuge der sonstigen Aktivitäten gesammelt hat.[2] Ziel sei die Entwicklung von Diensten für den Gesundheitsbereich.[3] Bezüglich von Datenschutzbedenken äußerte Ascension, dass man überzeugt sei, die Zusammenarbeit mit Google verletze nicht die Datenschutzregelungen, die im Health Insurance Portability and Accountability Act (HIPAA) von 1996 festgelegt wurden.[1]
Das Ministerium für Gesundheitspflege und Soziale Dienste der Vereinigten Staaten kündigte nach dem Bekanntwerden der Zusammenarbeit eine Untersuchung der Vorgänge an.[4]