Par une décision du 26 mai 2026, la CNIL a prononcé une sanction de 5 millions d’euros à l’encontre d’IQVIA Operations France, acteur mondial spécialisé dans la recherche clinique, l’analyse de données de santé et les études de marché pharmaceutiques. Cette décision apporte d’importantes précisions sur le régime juridique applicable aux données pseudonymisées et aux entrepôts de données de santé.
IQVIA exploite notamment des bases de données alimentées par plusieurs milliers de pharmacies et de médecins, permettant la réalisation d’études statistiques et d’analyses destinées aux acteurs du secteur de la santé. À l’issue de plusieurs contrôles, la CNIL a relevé différents manquements relatifs à l’information des personnes concernées, à l’exercice du droit d’opposition ainsi qu’à certaines mesures de sécurité.
L’un des principaux enseignements concerne la distinction entre anonymisation et pseudonymisation. La société soutenait que les données traitées étaient anonymes et ne relevaient donc plus du RGPD. La CNIL a rejeté cette analyse, considérant que les données demeuraient des données personnelles dès lors qu’une réidentification des personnes concernées restait raisonnablement possible. La pseudonymisation constitue une mesure de protection, mais ne remet pas en cause la qualification de données personnelles lorsque le responsable de traitement conserve des moyens d’identification, directs ou indirects.
La décision rappelle également l’importance de l’effectivité des obligations du RGPD : le responsable de traitement ne peut se contenter de prévoir contractuellement l’information des personnes ou les modalités d’exercice de leurs droits ; il doit démontrer que ces dispositifs fonctionnent concrètement.
Enfin, cette affaire illustre le niveau d’exigence croissant de la CNIL à l’égard des traitements portant sur des données de santé. Une autorisation préalable accordée pour un entrepôt de données de santé ne constitue pas une garantie définitive de conformité : les organismes concernés doivent assurer un contrôle continu de leurs pratiques, en matière de gouvernance, de sécurité et de respect des droits des personnes.
Source : CNIL — Données de santé : sanction de 5 millions d’euros à l’encontre d’IQVIA.