Le 28 mai 2026, la Commission nationale de l’informatique et des libert\u00e9s (ci-apr\u00e8s \u00ab Cnil \u00bb) a rendu publique une sanction de 5 millions d’euros prononc\u00e9e \u00e0 l’encontre de la soci\u00e9t\u00e9 IQVIA OPERATIONS FRANCE. Cette d\u00e9cision intervient \u00e0 l’issue de plusieurs ann\u00e9es d’investigations portant sur deux importants entrep\u00f4ts de donn\u00e9es de sant\u00e9 exploit\u00e9s par l’entreprise. L’autorit\u00e9 a relev\u00e9 plusieurs manquements relatifs \u00e0 l’information des personnes concern\u00e9es, \u00e0 l’exercice de leurs droits, au respect des conditions attach\u00e9es aux autorisations d\u00e9livr\u00e9es ainsi qu’\u00e0 la s\u00e9curit\u00e9 des donn\u00e9es. Cette affaire rappelle les exigences particuli\u00e8rement \u00e9lev\u00e9es qui entourent le traitement des donn\u00e9es de sant\u00e9 et l’exploitation des entrep\u00f4ts de donn\u00e9es de sant\u00e9.<\/p>\n\n\n\n
IQVIA OPERATIONS FRANCE, filiale fran\u00e7aise du groupe am\u00e9ricain IQVIA<\/a>, exerce une activit\u00e9 de conseil et de r\u00e9alisation d’\u00e9tudes dans le domaine de la sant\u00e9, pour son propre compte ou pour celui d’acteurs de l’industrie pharmaceutique. Pour mener ces travaux, la soci\u00e9t\u00e9 s’appuie notamment sur deux entrep\u00f4ts de donn\u00e9es de sant\u00e9 autoris\u00e9s par la Cnil : l’entrep\u00f4t LRX, aliment\u00e9 par les donn\u00e9es collect\u00e9es aupr\u00e8s d’environ 14 000 pharmacies, et l’entrep\u00f4t EMR, aliment\u00e9 par des donn\u00e9es provenant de plusieurs milliers de m\u00e9decins.<\/p>\n\n\n\n L’affaire trouve son origine dans la diffusion d’un reportage de l’\u00e9mission \u00ab Cash Investigation \u00bb, qui a suscit\u00e9 de nombreuses interrogations sur les traitements de donn\u00e9es r\u00e9alis\u00e9s par la soci\u00e9t\u00e9. \u00c0 la suite de cette diffusion, la Cnil a re\u00e7u plusieurs plaintes \u00e9manant de particuliers et d’associations d\u00e9non\u00e7ant notamment un manque de transparence concernant la collecte et l’utilisation des donn\u00e9es de sant\u00e9.<\/p>\n\n\n\n L’autorit\u00e9 a alors engag\u00e9 plusieurs contr\u00f4les aupr\u00e8s de la soci\u00e9t\u00e9 ainsi que de certains partenaires participant \u00e0 l’alimentation des entrep\u00f4ts. Ces v\u00e9rifications ont conduit la formation restreinte de la Cnil \u00e0 constater que plusieurs garanties impos\u00e9es lors de la d\u00e9livrance des autorisations n’\u00e9taient pas respect\u00e9es. Les manquements relev\u00e9s concernaient notamment l’information des personnes concern\u00e9es, l’exercice effectif de leurs droits ainsi que certaines mesures de s\u00e9curit\u00e9 destin\u00e9es \u00e0 prot\u00e9ger les donn\u00e9es trait\u00e9es.<\/p>\n\n\n\n Compte tenu de la nature particuli\u00e8rement sensible des donn\u00e9es concern\u00e9es, du nombre tr\u00e8s important de personnes touch\u00e9es et de la position de la soci\u00e9t\u00e9 sur le march\u00e9, la Cnil a prononc\u00e9 une amende de 5 millions d’euros assortie d’injonctions de mise en conformit\u00e9.<\/p>\n\n\n\n Dans le cadre de sa d\u00e9fense, IQVIA soutenait que les donn\u00e9es exploit\u00e9es dans ses entrep\u00f4ts \u00e9taient anonymes et qu’elles ne relevaient donc plus du champ d’application du R\u00e8glement g\u00e9n\u00e9ral sur la protection des donn\u00e9es (ci-apr\u00e8s \u00ab RGPD \u00bb). Cet argument s’appuyait notamment sur les enseignements tir\u00e9s d’un arr\u00eat rendu par la Cour de justice de l’Union europ\u00e9enne le 4 septembre 2025.<\/p>\n\n\n\n La Cnil n’a toutefois pas retenu cette analyse. Selon elle, les donn\u00e9es concern\u00e9es demeuraient pseudonymis\u00e9es et non anonymis\u00e9es. Cette distinction est fondamentale en droit de la protection des donn\u00e9es. Alors que l’anonymisation rend impossible toute r\u00e9identification d’une personne, la pseudonymisation consiste uniquement \u00e0 remplacer certains \u00e9l\u00e9ments identifiants afin de r\u00e9duire les risques d’identification sans les faire dispara\u00eetre totalement.<\/p>\n\n\n\n Pour l’autorit\u00e9, les donn\u00e9es conserv\u00e9es dans les entrep\u00f4ts LRX et EMR restaient donc des donn\u00e9es \u00e0 caract\u00e8re personnel soumises aux exigences du RGPD. Les garanties pr\u00e9vues par la r\u00e9glementation ainsi que par les autorisations d\u00e9livr\u00e9es demeuraient pleinement applicables.<\/p>\n\n\n\n Cette position confirme l’approche constante des autorit\u00e9s de contr\u00f4le europ\u00e9ennes : la pseudonymisation constitue une mesure de s\u00e9curit\u00e9 importante, mais elle ne permet pas \u00e0 elle seule de soustraire un traitement au cadre juridique applicable aux donn\u00e9es personnelles.<\/p>\n\n\n\n La formation restreinte a notamment reproch\u00e9 \u00e0 IQVIA de ne pas avoir respect\u00e9 certaines conditions attach\u00e9es aux autorisations d\u00e9livr\u00e9es pour l’exploitation des deux entrep\u00f4ts de donn\u00e9es de sant\u00e9. Parmi les manquements constat\u00e9s figurent des insuffisances dans les mesures de s\u00e9curit\u00e9 ainsi que l’absence d’analyse r\u00e9guli\u00e8re de certains journaux de connexion.<\/p>\n\n\n\n La Cnil a \u00e9galement relev\u00e9 des d\u00e9faillances concernant l’information des personnes dont les donn\u00e9es alimentaient les entrep\u00f4ts. Les contr\u00f4les effectu\u00e9s aupr\u00e8s de pharmacies partenaires ont notamment mis en \u00e9vidence des lacunes dans l’information fournie aux patients sur la transmission de leurs donn\u00e9es \u00e0 IQVIA et sur l’exercice de leurs droits.<\/p>\n\n\n\n Cette d\u00e9cision illustre une nouvelle fois l’attention particuli\u00e8re port\u00e9e par la Cnil aux traitements de donn\u00e9es de sant\u00e9, consid\u00e9r\u00e9s comme des donn\u00e9es sensibles au sens du RGPD. Les organismes qui exploitent de tels traitements doivent non seulement disposer d’une base juridique appropri\u00e9e et, le cas \u00e9ch\u00e9ant, des autorisations requises, mais \u00e9galement respecter de mani\u00e8re effective l’ensemble des garanties destin\u00e9es \u00e0 prot\u00e9ger les droits et libert\u00e9s des personnes concern\u00e9es.<\/p>\n\n\n\n L’affaire IQVIA rappelle ainsi que l’obtention d’une autorisation pr\u00e9alable ne constitue pas une dispense de conformit\u00e9. Le respect continu des engagements pris aupr\u00e8s de la Cnil demeure une condition essentielle \u00e0 la lic\u00e9it\u00e9 des traitements mis en \u0153uvre.<\/p>\n\n\n\n Par LOCK-T & LOCK-T Avocat, avec la participation de Chelsea MINKA, stagiaire.<\/em><\/strong><\/p>\n","protected":false},"excerpt":{"rendered":" Le 28 mai 2026, la Commission nationale de l’informatique et des libert\u00e9s (ci-apr\u00e8s \u00ab Cnil \u00bb) a rendu publique une sanction de 5 millions d’euros prononc\u00e9e \u00e0 l’encontre de la soci\u00e9t\u00e9 IQVIA OPERATIONS FRANCE. Cette d\u00e9cision intervient \u00e0 l’issue de plusieurs ann\u00e9es d’investigations portant sur deux importants entrep\u00f4ts de donn\u00e9es de sant\u00e9 exploit\u00e9s par l’entreprise. … Read more<\/a><\/p>\n","protected":false},"author":1,"featured_media":428,"comment_status":"open","ping_status":"open","sticky":false,"template":"","format":"standard","meta":{"footnotes":""},"categories":[33,23],"tags":[],"type_ressource":[19],"class_list":["post-426","post","type-post","status-publish","format-standard","has-post-thumbnail","hentry","category-cnil","category-rgpd","type_ressource-articles"],"_links":{"self":[{"href":"https:\/\/www.lock-t-avocat.com\/index.php\/wp-json\/wp\/v2\/posts\/426","targetHints":{"allow":["GET"]}}],"collection":[{"href":"https:\/\/www.lock-t-avocat.com\/index.php\/wp-json\/wp\/v2\/posts"}],"about":[{"href":"https:\/\/www.lock-t-avocat.com\/index.php\/wp-json\/wp\/v2\/types\/post"}],"author":[{"embeddable":true,"href":"https:\/\/www.lock-t-avocat.com\/index.php\/wp-json\/wp\/v2\/users\/1"}],"replies":[{"embeddable":true,"href":"https:\/\/www.lock-t-avocat.com\/index.php\/wp-json\/wp\/v2\/comments?post=426"}],"version-history":[{"count":1,"href":"https:\/\/www.lock-t-avocat.com\/index.php\/wp-json\/wp\/v2\/posts\/426\/revisions"}],"predecessor-version":[{"id":429,"href":"https:\/\/www.lock-t-avocat.com\/index.php\/wp-json\/wp\/v2\/posts\/426\/revisions\/429"}],"wp:featuredmedia":[{"embeddable":true,"href":"https:\/\/www.lock-t-avocat.com\/index.php\/wp-json\/wp\/v2\/media\/428"}],"wp:attachment":[{"href":"https:\/\/www.lock-t-avocat.com\/index.php\/wp-json\/wp\/v2\/media?parent=426"}],"wp:term":[{"taxonomy":"category","embeddable":true,"href":"https:\/\/www.lock-t-avocat.com\/index.php\/wp-json\/wp\/v2\/categories?post=426"},{"taxonomy":"post_tag","embeddable":true,"href":"https:\/\/www.lock-t-avocat.com\/index.php\/wp-json\/wp\/v2\/tags?post=426"},{"taxonomy":"type_ressource","embeddable":true,"href":"https:\/\/www.lock-t-avocat.com\/index.php\/wp-json\/wp\/v2\/type_ressource?post=426"}],"curies":[{"name":"wp","href":"https:\/\/api.w.org\/{rel}","templated":true}]}}La distinction essentielle entre anonymisation et pseudonymisation<\/h2>\n\n\n\n
Des obligations renforc\u00e9es pour les acteurs de la sant\u00e9<\/h2>\n\n\n\n