Le 2 octobre 2026, la Garante per la protezione dei dati personali a annoncé une amende de 7 millions d’euros contre IQVIA Solutions Italy, filiale d’un groupe spécialisé dans l’analyse de données de santé et la recherche clinique. La décision, datée du 23 septembre, tranche une question d’anonymisation des données de santé issues d’environ 800 médecins généralistes : la base, présentée comme anonyme, permettait de réidentifier les personnes. Quatre mois plus tôt, la CNIL avait sanctionné une autre société du groupe en suivant un raisonnement très proche.
Ce que la Garante a constaté
La procédure a commencé par des inspections en avril 2025, puis a été jointe à une violation de données signalée par la société elle-même. La base couvrait environ un million de personnes et remontait à 2001. Elle servait à des études, commandées en partie par des laboratoires pharmaceutiques. Elle contenait aussi des données directement identifiantes (nom, code fiscal, adresse, coordonnées) pour plus de 3 300 personnes, dont plus de 3 000 avec des données de santé associées.
Pour l’autorité italienne, chaque personne était suivie dans le temps grâce à un code. Combiné à l’année de naissance, au sexe, aux diagnostics, symptômes, prescriptions, examens, vaccinations et à des données de localisation, ce code permettait d’isoler puis de réidentifier les individus par des moyens raisonnables. La Garante reproche aussi l’absence de base légale adaptée, une information insuffisante des personnes, l’absence de durées de conservation, l’absence d’analyse d’impact et des mesures de sécurité inadéquates. IQVIA dispose de 120 jours pour mettre le traitement en conformité selon ses indications. À défaut, les médecins devront anonymiser eux-mêmes les données, avec les garanties fixées par l’autorité.
La même analyse que la CNIL en mai 2026
Par sa délibération SAN-2026-008 du 26 mai 2026, la formation restreinte de la CNIL a infligé 5 millions d’euros d’amende à IQVIA Operations France, avec des injonctions sous astreinte. Deux entrepôts étaient en cause, alimentés l’un par environ 14 000 pharmacies, l’autre par plusieurs milliers de médecins. En s’appuyant sur l’arrêt de la Cour de justice de l’Union européenne du 4 septembre 2025, la société soutenait que les données étaient anonymes. La CNIL les a jugées pseudonymes : identifiant unique par personne, profondeur des informations (année de naissance, sexe, médecin consulté, prescriptions, et pour l’un des entrepôts diagnostics, poids, vaccins ou arrêts de travail), possibilité de croisement avec des données publiques. Elle a aussi relevé, selon son communiqué, que le logiciel des pharmacies transmettait les données même lorsque le client s’y était opposé, ce qui constitue un manquement à la protection des données dès la conception (article 25).
Anonymisation des données de santé : le test de la réidentification
Une donnée pseudonymisée reste une donnée personnelle, et le RGPD s’applique pleinement. Une donnée anonymisée sort de son champ, à condition que la réidentification soit impossible par des moyens raisonnables, compte tenu du coût, du temps et des technologies disponibles. Depuis l’avis 05/2014 du groupe de l’article 29, les autorités européennes vérifient s’il reste possible d’isoler une personne, de relier des enregistrements qui la concernent ou de déduire une information à son sujet.
Un identifiant persistant qui suit une personne sur plus de vingt ans de consultations échoue au premier de ces tests, même sans nom. Plus l’historique est long et détaillé, plus la combinaison des informations devient unique. Remplacer le nom par un code, hacher un numéro ou retirer l’adresse relève de la pseudonymisation. Pour anonymiser, il faut agréger, généraliser, supprimer les variables trop discriminantes ou produire des données synthétiques, puis tester le résultat contre des tentatives de réidentification.
Responsable de traitement dès la collecte
Les deux autorités placent aussi la responsabilité au bon endroit. Pour la Garante, IQVIA était responsable de traitement dès la collecte dans les cabinets médicaux. Pour la CNIL, les pharmaciens devaient informer les clients pour le compte d’IQVIA, mais la société, en sa qualité de responsable de traitement, devait s’assurer que cette information était réellement délivrée. Aucune des quatre pharmacies contrôlées ne le faisait. L’acteur qui conçoit l’entrepôt, choisit les variables et organise les flux ne peut pas se décharger sur les professionnels qui l’alimentent.
Ce que l’organisme doit vérifier
Ces décisions concernent les sociétés d’études, mais aussi les établissements de santé, les cabinets, les pharmacies et les services de santé au travail sollicités pour alimenter une base, ou qui envisagent de constituer leur propre entrepôt de données de santé :
- qualifier honnêtement les données transmises, pseudonymisées par défaut, sauf démonstration documentée de l’anonymisation ;
- établir qui est responsable de traitement à chaque étape, et le traduire dans un contrat (article 26 ou article 28 selon le cas) ;
- vérifier l’information des personnes prévue à l’article 14 et l’effectivité du droit d’opposition, jusque dans le paramétrage du logiciel qui transmet les données ;
- pour un entrepôt situé en France, vérifier sa conformité au référentiel de la CNIL sur les entrepôts de données de santé ou, à défaut, l’existence d’une autorisation ;
- conduire une analyse d’impact, fixer des durées de conservation, mettre en place l’authentification multifacteur et l’analyse régulière des journaux, deux points relevés par la CNIL chez IQVIA ;
- pour un SPST, appliquer la même grille à toute demande d’extraction portant sur les données des salariés suivis.
Les DPO du réseau DPO FRANCE interviennent auprès d’établissements de santé et de services de santé au travail sur la qualification des données, les contrats et les AIPD liés aux entrepôts. DPO SUITE documente les traitements, les responsables conjoints et les sous-traitants, les analyses d’impact et les preuves de conformité à présenter en cas de contrôle.
