Par une décision du 26 mai 2026, la formation restreinte de la CNIL a prononcé à l’encontre de la société IQVIA OPERATIONS France (société IQVIA) une amende de 5 millions d’euros pour non-respect des mesures de sécurité et des garanties requises dans le cadre de la gestion d’entrepôts de données de santé[1].
En l’occurrence, la société IQVIA est spécialisée en conseil stratégique et analyse des données de santé. À ce titre, elle exploite deux entrepôts de données de santé, dont les données proviennent de pharmacies et de médecins.
À la suite de plusieurs plaintes, la CNIL a procédé à plusieurs contrôles et a relevé que la société avait manqué à ses obligations en matière de protection des données, notamment en :
- pseudonymisant les données pourtant jugées sensibles au lieu de les anonymiser, rendant ainsi possible la réidentification des personnes concernées alors que le risque encouru était trop élevé ;
- méconnaissant les autorisations délivrées par la CNIL au titre de l’article 66 de la loi informatique et libertés, en ne respectant pas les obligations de sécurité. La formation restreinte a notamment constaté l’absence de mise en œuvre d’une procédure effective permettant aux personnes concernées d’exercer leur droit d’opposition ;
- manquant à son obligation d’information des personnes concernées au titre de l’article 14 du RGPD à propos de l’entrepôt LRX. La formation restreinte a en effet constaté que les pharmacies n’informaient pas leur clientèle de la transmission de leurs données vers la société IQVIA.
La CNIL a donc prononcé une sanction lourde mais justifiée au regard de la gravité des manquements relevés, de la nature des données (données sensibles de santé) et du nombre de personnes concernées (plusieurs millions de personnes).
La formation restreinte a par ailleurs assorti sa décision d’injonctions, imposant à la société de mettre fin aux manquements dans un délai de six mois, sous astreinte de 10 000 euros par jour de retard.
[1] Délibération SAN-2026-008 du 26 mai 2026 – Légifrance
