L’Italie inflige 7 M€ à IQVIA pour des données de santé dites anonymes

C’est la deuxième fois cette année. Le 26 mai, la CNIL avait sanctionné la filiale française, IQVIA Operations France, de 5 millions d’euros, pour des données elles aussi défendues comme anonymes. Les deux enquêtes ont été menées séparément, sur des bases distinctes, et arrivent au même constat.

IQVIA est un groupe américain qui vend des études et des analyses de données de santé, notamment aux laboratoires pharmaceutiques. Selon la délibération de la CNIL, sa filiale française est détenue à 100 % par IQVIA Holdings Inc., dont le chiffre d’affaires atteignait 15 milliards de dollars en 2023 (environ 12,9 milliards d’euros).

Un code à la place du nom ne suffit pas

Toute l’affaire tient dans la différence entre deux mots que l’on confond souvent. La CNIL les définit ainsi :

• une donnée anonymisée a subi un traitement qui rend « impossible, en pratique, toute identification de la personne par quelque moyen que ce soit et de manière irréversible ». Le règlement européen sur les données personnelles (RGPD) ne s’applique plus : l’entreprise peut l’exploiter librement ;
• une donnée pseudonymisée a seulement été privée de ce qui désigne directement la personne (le nom remplacé par un code, par exemple), de sorte qu’on ne puisse plus la lui attribuer « sans information supplémentaire ». Elle reste une donnée personnelle, avec toutes les obligations qui vont avec : informer les gens, leur permettre de refuser, protéger les fichiers.

Pour vérifier qu’un jeu de données est vraiment anonyme, la CNIL applique trois tests. Le premier est le plus simple : « il ne doit pas être possible d’isoler un individu dans le jeu de données ». Or un code stable, attribué à chaque patient pour le suivre d’une consultation ou d’un achat de médicament à l’autre, sert précisément à cela. C’est l’intérêt commercial de ces bases (suivre un traitement dans le temps) et c’est ce qui les fait tomber du côté du pseudonyme.

Deux enquêtes, le même raisonnement

En Italie, le Garante écrit que le code associé à chaque patient « permettait de le suivre dans le temps » et que, joint à des informations aussi détaillées, il rendait possible d’« isoler chaque patient et, avec des moyens raisonnables, de le réidentifier ». L’autorité ajoute qu’IQVIA était responsable du traitement, c’est-à-dire l’organisme qui décide de ce qu’on fait des données et en répond, dès la collecte chez les médecins. Elle lui reproche l’absence de base juridique (le motif légal qui autorise un traitement), une information insuffisante des patients, l’absence de durée de conservation (les données remontaient jusqu’à 2001), l’absence d’analyse d’impact (l’évaluation des risques obligatoire avant un traitement sensible) et des mesures de sécurité insuffisantes.

Plus gênant pour la thèse de l’anonymat : la base contenait aussi des noms, codes fiscaux, adresses et coordonnées. Le communiqué italien parle de « plus de 3 300 patients », le CEPD donne un chiffre plus précis, qui est celui à retenir : environ 3 370 patients, dont environ 3 080 avec des données de santé.

En France, la CNIL examinait deux « entrepôts de données de santé », des bases autorisées par elle pour servir à la recherche : LRX, alimenté depuis 2018 par environ 14 000 pharmacies, et EMR, alimenté depuis 2021 par plusieurs milliers de médecins. La délibération chiffre les personnes concernées à « plusieurs dizaines de millions ». La démonstration y est concrète : en recoupant des informations publiques sur une patiente, la délibération estime qu’il « serait aisé d’isoler la patiente au sein de la base de données LRX », et le rapporteur de la CNIL précise que ces recherches « n’ont pris que quelques minutes avec un simple accès à Internet ».

IQVIA avait plaidé l’anonymat en s’appuyant sur un arrêt de la Cour de justice de l’Union européenne du 4 septembre 2025, dit « arrêt SRB », selon lequel le caractère identifiable d’une personne s’apprécie selon les circonstances de chaque traitement : une donnée peut être personnelle pour l’un et non pour l’autre. La CNIL a répondu que l’arrêt distingue le responsable d’un traitement, pour qui les données restent personnelles, d’un simple destinataire extérieur ; or IQVIA est titulaire des autorisations des deux entrepôts. Conclusion de la délibération : les données des deux entrepôts « doivent dès lors être considérées comme étant des données à caractère personnel ».

Ce qu’IQVIA doit changer, et dans quel délai

En France, outre l’amende, la CNIL a enjoint à IQVIA d’informer complètement les patients, de rendre le droit d’opposition réellement utilisable, de s’assurer que les pharmacies partenaires informent leurs clients, de cesser les études sur LRX menées sans autorisation et de s’assurer techniquement que les modules installés dans les logiciels des pharmacies n’extraient plus de données lorsque le pharmacien a refusé la transmission. Le délai est de six mois à compter de la notification de la décision, dont la date n’est pas publique : il ne peut donc pas expirer avant le 26 novembre 2026. Passé ce délai, une astreinte (une pénalité qui court chaque jour) de 10 000 euros par jour de retard s’applique.

En Italie, IQVIA a 120 jours, soit au plus tôt jusqu’au 21 janvier 2027. Si elle veut continuer, elle doit trouver une base juridique, informer les patients, réaliser l’analyse d’impact et faire des médecins ses sous-traitants (des prestataires qui traitent les données pour son compte), précise le CEPD. Sinon, l’anonymisation devra être faite par les médecins eux-mêmes, selon les garanties fixées par le Garante. Pour fixer le montant, l’autorité a tenu compte de l’arrêt des envois par les médecins à partir de 2023 et de la coopération de l’entreprise.

IQVIA n’a pas abandonné sa position. Après la décision française, elle a dit au Monde Informatique se réserver « le droit de faire appel ». En Italie, selon Il Sole 24 Ore, elle affirme protéger les données par « de solides mesures de sécurité, dont la pseudonymisation et le chiffrement », dit avoir déjà pris les mesures demandées et se réserve de présenter un recours. En France, ce recours se forme devant le Conseil d’État dans les deux mois suivant la notification ; le 14 octobre, nous n’en avons trouvé aucune trace publique, ni en France ni en Italie.

En France, refuser chez le pharmacien ou le médecin

La question pratique du lecteur français est simple : mes achats en pharmacie ou mes consultations alimentent-ils ces bases, et puis-je dire non ? Les décisions ne nomment pas les pharmacies et les médecins partenaires : le plus sûr est de leur poser la question. Les autorisations accordées par la CNIL prévoient deux voies.

• En pharmacie (LRX) : selon la délibération de 2018, le pharmacien enregistre l’opposition dans son logiciel, à l’aide d’un code-barres, « de façon à ce que ses données n’alimentent pas l’entrepôt de données ». Encore faut-il le savoir : dans les officines contrôlées, la CNIL a constaté qu’« aucune d’entre elles n’informait ses clients de la transmission de leurs données à la société IQVIA ».
• Chez le médecin (EMR) : selon la délibération de 2021, le médecin peut enregistrer l’opposition du patient « au moyen d’une case à cocher » dans son logiciel. Pour qui veut s’adresser directement à IQVIA, la CNIL a jugé la procédure « trop complexe et hypothétique » : elle exigeait des informations complémentaires « particulièrement détaillées » dont le patient ne dispose pas toujours. C’est l’un des points que l’entreprise doit corriger d’ici la fin du délai.

Une définition que Bruxelles propose d’assouplir

Le désaccord entre IQVIA et les deux autorités ne relève pas seulement de l’interprétation d’un arrêt. Le 19 novembre 2025, la Commission européenne a proposé, dans un ensemble de textes de simplification appelé « Omnibus numérique », de préciser la définition des données personnelles dans le RGPD et de pouvoir fixer elle-même, par actes d’exécution (des textes techniques adoptés par la Commission), les cas où des données pseudonymisées cessent d’être personnelles. Le CEPD et le Contrôleur européen de la protection des données ont demandé le 11 février au Parlement européen et au Conseil de l’UE de ne pas adopter cette modification, qui va selon eux « bien au-delà » d’un ajustement technique et réduirait sensiblement la notion de donnée personnelle. Il ne s’agit que d’une proposition : tant qu’une modification n’est pas adoptée, c’est la définition actuelle qui s’applique, celle que la CNIL et le Garante viennent d’utiliser.

Côté recherche, la décision italienne inquiète aussi. Dans Agenda Digitale, Anna Cataleta, associée (senior partner) du cabinet de conseil P4I, résume le dilemme : « celui qui conçoit l’anonymisation devient responsable du traitement, mais ne dispose pas d’une base juridique ». Selon elle, constituer une base de données de santé pour la recherche est aujourd’hui « pratiquement impossible » en Italie. La solution laissée par le Garante, une anonymisation faite par les médecins eux-mêmes, montre où les autorités placent désormais la limite : le nom remplacé par un code ne fait pas sortir une donnée du RGPD tant que celui qui la détient peut encore suivre la même personne d’un fichier à l’autre.

Les citations tirées de documents en italien et en anglais sont traduites par la rédaction.