Sanction CNIL contre IQVIA : 5 M€ et la leçon des entrepôts de données de santé

La CNIL inflige 5 millions d'euros à IQVIA pour la gestion de deux entrepôts de données de santé alimentés par 14 000 pharmacies et des milliers de médecins. Retour sur une décision qui clarifie la frontière entre données anonymes et pseudonymes, et rappelle que la responsabilité ne se délègue pas.

N°: 071
Publié: 26.05.26
Révision: Originale
Lecture: 5 min
Sources: 8
Auteur: N. Verlhiac

Fig. 071

Sommaire · 7 sections

01 Qui est IQVIA et qu’est-ce qu’un entrepôt de données de santé ?
02 Les manquements retenus par la CNIL
03 Anonyme ou pseudonyme ? Le faux débat tranché par la CNIL
04 La responsabilité ne se délègue pas
05 Sanction et injonctions : une réponse graduée
06 Ce que cette décision change pour les entrepôts de données
07 Actions concrètes pour les responsables d’entrepôts et les DPO

Le 26 mai 2026, la formation restreinte de la CNIL a infligé une amende de 5 millions d’euros à la société IQVIA Operations France (délibération SAN-2026-008). En cause : la gestion de deux entrepôts de données de santé alimentés par environ 14 000 pharmacies et plusieurs milliers de médecins, au mépris des garanties prévues pour protéger les personnes.

Dans le sillage de l’affaire Cegedim, cette nouvelle décision confirme une tendance de fond : les données de santé sont devenues le terrain de contrôle privilégié de la CNIL. Et cette fois, il ne s’agit pas d’un piratage, mais d’un défaut de conformité dans le fonctionnement quotidien d’un acteur autorisé.

Si vous pilotez un entrepôt de données, un traitement de recherche ou un projet d’analyse à grande échelle, cette décision est un cas d’école. Voyons ensemble ce que la CNIL a reproché à IQVIA, pourquoi le débat sur l’anonymisation a tourné court, et les leçons à en tirer.

Qui est IQVIA et qu’est-ce qu’un entrepôt de données de santé ?

IQVIA Operations France, filiale du groupe IQVIA, mène des études de conseil et de recherche pour son propre compte ou pour des laboratoires pharmaceutiques. Pour cela, elle s’appuie sur deux entrepôts de données de santé autorisés par la CNIL :

l’entrepôt LRX, autorisé en 2018, alimenté par les données collectées auprès d’environ 14 000 pharmacies ;
l’entrepôt EMR, autorisé en 2021, alimenté par les données de plusieurs milliers de médecins.

Un entrepôt de données de santé (data warehouse) est une base centralisant de grands volumes de données médicales à des fins d’études et de statistiques. Compte tenu de leur sensibilité, ces traitements sont soumis à une autorisation préalable de la CNIL, assortie de conditions strictes. C’est précisément le respect de ces conditions qui était en jeu.

Les manquements retenus par la CNIL

La formation restreinte a constaté que la société n’avait pas respecté les termes des autorisations délivrées, sur trois fronts.

Information et transparence

C’est le point le plus parlant. Sur les quatre pharmacies contrôlées, aucune n’informait ses clients que leurs données étaient transmises à IQVIA. À cela s’ajoutaient une notice d’information inexacte et un droit d’opposition inopérant. Autrement dit, des millions de patients alimentaient ces entrepôts sans le savoir, et sans réelle possibilité de s’y opposer.

Sécurité technique

La CNIL a relevé l’absence de journalisation régulièrement analysée et l’absence d’authentification multifacteur (MFA) sur l’entrepôt EMR. Pour des bases concentrant des données de santé de dizaines de millions de personnes, ces lacunes sont loin d’être anecdotiques.

Base légale et respect des refus

Enfin, certaines études étaient réalisées hors du cadre légal autorisé, et les logiciels de pharmacie transmettaient des données même lorsque le patient avait exprimé son refus. Le consentement, ou son absence, n’était tout simplement pas respecté en pratique.

Anonyme ou pseudonyme ? Le faux débat tranché par la CNIL

C’est le cœur juridique de l’affaire. Pour sa défense, IQVIA soutenait que les données de ses entrepôts étaient anonymes, et donc hors du champ du RGPD.

La formation restreinte a écarté cet argument : ces données ne sont pas anonymes, mais pseudonymes, car la réidentification des personnes reste possible par des moyens raisonnables. La CNIL s’est appuyée sur un faisceau d’indices : la présence d’un identifiant unique, la profondeur des données (année de naissance, sexe, prescriptions, diagnostics, allergies) et la possibilité de croisement avec des données publiques.

Une donnée n’est anonyme que si la réidentification est devenue raisonnablement impossible. Tant qu’une clé ou un recoupement permet de remonter à la personne, elle reste une donnée personnelle, pleinement soumise au RGPD.

La distinction n’a rien de théorique. Si la donnée était anonyme, le RGPD ne s’appliquerait pas. Puisqu’elle est pseudonyme, toutes les obligations (information, sécurité, droits des personnes) demeurent. La tentative de requalification juridique a posteriori ne pouvait, en outre, effacer les conditions des autorisations CNIL déjà accordées.

La responsabilité ne se délègue pas

IQVIA avait confié aux pharmaciens le soin d’informer les patients. Mais en tant que responsable de traitement, c’est à elle qu’il revenait de vérifier que cette information était effectivement délivrée. Déléguer une tâche n’a jamais signifié déléguer la responsabilité.

On confie une mission à un tiers, jamais sa propre responsabilité : c’est le responsable de traitement qui répond, in fine, devant la CNIL.

C’est exactement le fil rouge que nous avions identifié dans l’affaire Cegedim : la chaîne de sous-traitance est désormais au centre de l’attention du régulateur. Que l’on soit éditeur de logiciel ou exploitant d’entrepôt, s’appuyer sur des intermédiaires ne dilue jamais ses propres obligations.

Sanction et injonctions : une réponse graduée

Pour fixer l’amende à 5 millions d’euros, la formation restreinte a retenu plusieurs critères : la gravité des manquements (données sensibles de santé), le nombre très élevé de personnes concernées (plusieurs dizaines de millions), la position de la société sur le marché et sa capacité financière.

Au-delà de l’amende, la CNIL a assorti sa décision d’injonctions : IQVIA doit remédier à certains manquements dans un délai de six mois, sous peine d’une astreinte de 10 000 euros par jour de retard. Le message est clair : la conformité n’est pas négociable, et le temps presse.

Ce que cette décision change pour les entrepôts de données

Cette affaire envoie plusieurs signaux forts à tout acteur manipulant de la donnée à grande échelle.

D’abord, une autorisation CNIL n’est pas un blanc-seing : elle suppose une conformité opérationnelle constante, vérifiée sur le terrain. Ensuite, l’argument de l’anonymisation ne tient que si la réidentification est réellement impossible, ce qui est rarement le cas pour des données de santé riches. Enfin, rappelons que la CNIL impose le MFA pour les recherches en santé à compter du 1er janvier 2027 : mieux vaut s’y préparer dès maintenant.

Actions concrètes pour les responsables d’entrepôts et les DPO

Les priorités à engager sans attendre :

Vérifier l’effectivité de l’information des personnes, et ne pas se contenter de la déléguer à un tiers : exiger des preuves que le message est réellement transmis.
Rendre le droit d’opposition opérationnel de bout en bout, jusqu’aux logiciels qui alimentent l’entrepôt.
Auditer le statut des données : une donnée présentée comme anonyme l’est-elle vraiment ? Tester la réidentification par recoupement.
Mettre à niveau la sécurité : journalisation analysée régulièrement et authentification multifacteur, en anticipant l’échéance de janvier 2027.
Aligner les usages sur l’autorisation : aucune étude ne doit sortir du périmètre autorisé.

Sources et références 8 sources

Sources officielles

Couverture et analyses

Réglementation

Notions de l'article

Entrepôt de données de santé: Base de données destinée à être utilisée notamment à des fins de recherche, d'études ou d'évaluations dans le domaine de la santé, qui réunit de grands volumes de données sur une longue durée pour les réutiliser dans plusieurs projets. En France, sa constitution relève d'un régime défini par la CNIL (consentement, référentiel ou autorisation).
Anonymisation: Traitement qui rend impossible, en pratique et de façon irréversible, toute identification d'une personne par quelque moyen que ce soit. Des données réellement anonymisées ne sont plus des données personnelles et sortent du champ du RGPD ; à défaut, il ne s'agit que de pseudonymisation.
Droit d'opposition: Droit de s'opposer à tout moment au traitement de ses données (article 21 du RGPD) : pour des raisons tenant à sa situation particulière lorsque le traitement repose sur l'intérêt légitime ou une mission d'intérêt public, et sans justification en cas de prospection.
Authentification multifacteur: Méthode de connexion qui exige au moins deux preuves d'identité de catégories distinctes : ce que l'on sait (mot de passe), ce que l'on possède (clé, application, carte) ou ce que l'on est (empreinte). Le vol du seul mot de passe ne suffit plus à ouvrir un compte.
RGPD: Le règlement général sur la protection des données (règlement (UE) 2016/679) encadre tout traitement de données personnelles dans l'Union européenne. Applicable depuis le 25 mai 2018, il fixe des principes, des droits pour les personnes et des amendes pouvant atteindre 4 % du chiffre d'affaires mondial.
Réidentification: Opération qui consiste à retrouver l'identité d'une personne à partir de données pseudonymisées ou présentées comme anonymes, en les recoupant avec d'autres informations. Si elle reste possible par des moyens raisonnables, les données demeurent des données personnelles soumises au RGPD.
Donnée personnelle: Toute information se rapportant à une personne physique identifiée ou identifiable, directement ou indirectement (article 4 du RGPD) : un nom, un numéro de téléphone, une adresse IP, un identifiant client ou le recoupement de plusieurs éléments. Les catégories particulières (santé, biométrie, opinions politiques, etc.) font l'objet d'une protection renforcée.
Responsable de traitement: Personne physique ou morale, autorité publique ou organisme qui détermine les finalités (pourquoi) et les moyens (comment) d'un traitement de données personnelles. Défini à l'article 4 du RGPD, il porte la responsabilité principale de la conformité et doit pouvoir la démontrer.
Astreinte: Montant dû par jour de retard lorsqu'une injonction de la CNIL n'est pas exécutée dans le délai fixé. Prévue par l'article 20 de la loi Informatique et Libertés et plafonnée à 100 000 euros par jour, elle contraint à la mise en conformité, alors que l'amende sanctionne le manquement constaté.