Délibération de la forma­tion restreinte n°SAN-2026–008 du 26 mai 2026 concer­nant la société IQVIA OPERATIONS FRANCE 

Introduction  

La Commission natio­nale de l’informatique et des liber­tés (CNIL) sanc­tionne le non-respect des auto­ri­sa­tions qu’elle a déli­vrées à la société IQVIA OPERATIONS France (IQVIA) (filiale du groupe état­su­nien IQVIA) pour deux entre­pôts de données de santé. Plus spéci­fi­que­ment, la CNIL offre son analyse des exigences natio­nales rela­tives aux trai­te­ments de données de santé (art. 66 Loi Informatique et Libertés), à l’information des personnes en cas de collecte indi­recte de données (art. 14 RGPD) et à la protec­tion des données dès la concep­tion et par défaut (art. 25 RGPD). 

Faits 

Afin d’analyser l’activité des phar­ma­cies (aussi appe­lées « offi­cines ») ainsi que le suivi des parcours de soins des patients, la société IQVIA a reçu deux auto­ri­sa­tions de la CNIL pour créer des entre­pôts de données de santé. D’une part, l’entrepôt Longitudinal pres­crip­tion data (LRX), alimenté par des données collec­tées auprès d’officines et auto­risé par la déli­bé­ra­tion n°2018–289 du 12 juillet 2018. Ce dernier a pour voca­tion de collec­ter auprès d’environ 14 000 offi­cines parte­naires, les données liées aux ventes de médi­ca­ments avec la créa­tion d’un code d’identification unique et iden­tique quelle que soit l’officine parte­naire, permet­tant un suivi du parcours de chaque patient. Les données sont par la suite pseu­do­ny­mi­sées et en contre­par­tie, la société trans­met aux offi­cines parte­naires, un tableau de bord de leurs données de vente afin de pouvoir compa­rer leur acti­vité à celle d’autres offi­cines et de gérer leur stock. D’autre part, l’entrepôt Electronic medi­cal records (EMR), alimenté par des données collec­tées auprès de méde­cins et auto­risé par la déli­bé­ra­tion n°2021–015 du 4 février 2021. Il a quant à lui pour objec­tif de collec­ter des données auprès de méde­cins, avec un iden­ti­fiant propre à chaque patient mais qui diffère pour chaque méde­cin. Les données sont égale­ment pseu­do­ny­mi­sées et en contre­par­tie, les méde­cins peuvent béné­fi­cier des publi­ca­tions réali­sées par la société et parti­ci­per à des études.  

À la suite de la diffu­sion d’un repor­tage portant notam­ment sur les données à carac­tère person­nel trai­tées par la société IQVIA, la CNIL a reçu de nombreuses plaintes et signa­le­ments la condui­sant à publier un commu­ni­qué rappe­lant les règles appli­cables et les garan­ties exigées à IQVIA. Ultérieurement, la CNIL a réalisé un contrôle sur place afin de véri­fier la confor­mité des trai­te­ments réali­sés par IQVIA à la loi n° 78–17 du 6 janvier 1978 modi­fiée rela­tive à l’informatique, aux fichiers et aux liber­tés (LIL) et au RGPD. Il en ressort plusieurs manque­ments à l’article 66 LIL (obli­ga­tion de respec­ter les auto­ri­sa­tions déli­vrées par la CNIL), un manque­ment à l’article 14 RGPD (infor­ma­tion des personnes s’agissant de l’entrepôt LRX) et un manque­ment à l’article 25 RGPD (protec­tion des données dès la concep­tion et par défaut).  

Droit 

Pour rappel, lorsqu’un respon­sable de trai­te­ment souhaite créer une base de données compor­tant des données de santé, ce dernier doit déter­mi­ner en amont si l’objectif est la réali­sa­tion ulté­rieure de plusieurs trai­te­ments ou la recherche, l’étude ou l’évaluation ponc­tuelle. Cela est déter­mi­nant puisque le régime juri­dique et les forma­li­tés appli­cables diffèrent selon les situa­tions (demande d’autorisation « santé » auprès de la CNIL incluant une AIPD, enga­ge­ment de confor­mité à la métho­do­lo­gie de réfé­rence, etc.). 

La CNIL détaille prin­ci­pa­le­ment son analyse en trois parties : (i) la respon­sa­bi­lité de la société et la nature des données trai­tées, (ii) les manque­ments liés à l’entrepôt LRX et (iii) les manque­ments liés à l’entrepôt EMR.  

(i) La respon­sa­bi­lité de la société et la nature des données trai­tées 

Se préva­lant de la juris­pru­dence EDPS vs SRB (commen­tée in https://​swiss​pri​vacy​.law/​3​85/), IQVIA argue que les données présentes dans ses entre­pôts ne doivent pas être consi­dé­rées comme des données à carac­tère person­nel. La CNIL conteste cette argu­men­ta­tion en rete­nant que les mesures de pseu­do­ny­mi­sa­tion mises en place par IQVIA, respon­sable de trai­te­ment, ne sont pas aptes à suppri­mer les risques de réiden­ti­fi­ca­tion. 

Concernant la quali­fi­ca­tion de respon­sable de trai­te­ment eu égard aux trai­te­ments mis en œuvre dans le cadre de la consti­tu­tion des entre­pôts LRX et EMR, la CNIL rappelle qu’aux termes de l’art. 4 ch. 7 RGPD, le respon­sable de trai­te­ment est « la personne physique ou morale, l’autorité publique, le service ou un autre orga­nisme qui, seul ou conjoin­te­ment avec d’autres, déter­mine les fina­li­tés et les moyens du trai­te­ment ». Les lignes direc­trices 07/​2020 du CEPD concer­nant les notions de respon­sable du trai­te­ment et de sous-trai­tant précisent que le respon­sable du trai­te­ment est l’acteur qui a déter­miné la raison pour laquelle le trai­te­ment a lieu et comment cet objec­tif sera atteint. 

En l’espèce, la CNIL relève que IQVIA a été auto­ri­sée à procé­der à la consti­tu­tion des entre­pôts LRX et EMR en qualité de respon­sable de trai­te­ment sur le fonde­ment des inté­rêts légi­times de cette dernière Concernant l’entrepôt EMR, la CNIL souligne que la notice d’information à desti­na­tion des patients est élabo­rée par IQVIA et que cette dernière se présente comme respon­sable de l’ensemble des opéra­tions. Par consé­quent, la CNIL retient que IQVIA déter­mine la fina­lité et les moyens de ces deux entre­pôts et doit être consi­dé­rée comme respon­sable de trai­te­ment de l’ensemble des opéra­tions mises en œuvre dans le cadre de ces derniers.  

Pour ce qui est du carac­tère person­nel des données trai­tées, la CNIL rappelle que l’ art. 4 al. 1 et 5 RGPD et le consi­dé­rant 26 RGPD four­nissent des éléments d’appréciation quant au carac­tère iden­ti­fiable et s’appuie sur la juris­pru­dence de la CJUE, notam­ment l’arrêt EDPS vs SRB (C‑413/​23 du 4 septembre 2025, commenté in https://​swiss​pri​vacy​.law/​3​85/) qui précise que des données pseu­do­ny­mi­sées ne sont pas consi­dé­rées comme des données à carac­tère person­nel au sens du RGPD si le desti­na­taire n’est pas en capa­cité de lever les mesures et que lors d’un recou­pe­ment avec d’autres éléments, la personne concer­née n’est pas ou plus iden­ti­fiable. Enfin, la CNIL soutient son argu­men­taire à l’aide d’une déci­sion du Conseil d’État fran­çais qui indique, à propos de données figu­rant dans des bases alimen­tées par des données collec­tées auprès de méde­cins et d’officines phar­ma­ceu­tiques, qu’il est « possible, (…) de retra­cer des parcours de soins et d’individualiser des clients et leurs patho­lo­gies » par des moyens raison­nables et qu’il s’agit par consé­quent de données à carac­tère person­nel (cf. CE du 13 février 2026, n°498628). 

En l’espèce, IQVIA n’est pas un simple desti­na­taire mais respon­sable du trai­te­ment, car la société déter­mine les fina­li­tés comme les moyens du trai­te­ment, de sorte que cette quali­fi­ca­tion fait obstacle à ce que les données puissent être consi­dé­rées comme anonymes. En effet, l’intention, l’intérêt ou la moti­va­tion du respon­sable de trai­te­ment ou du tiers à réiden­ti­fier les personnes concer­nées, ne sont pas des facteurs perti­nents à prendre en consi­dé­ra­tion pour appré­cier le carac­tère person­nel ou non d’un ensemble de données. De surcroît, en raison de l’accumulation d’informations sur la prise en charge de patients ainsi que la possi­bi­lité de les indi­vi­dua­li­ser, mais égale­ment compte tenu de la richesse des infor­ma­tions que ces entre­pôts contiennent, la CNIL retient à juste titre que des risques de réiden­ti­fi­ca­tion réels sont présents. Dès lors, les données figu­rant dans les entre­pôts LRX et EMR doivent être consi­dé­rées comme des données à carac­tère person­nel, soumises au RGPD et à la LIL. 

(ii) Les manque­ments liés à l’entrepôt LRX 

Pour l’entrepôt LRX, la CNIL retient plusieurs manque­ments aux art. 66 LIL et 14 et 25 RGPD. Afin de justi­fier le manque­ment à l’obligation de respec­ter l’autorisation déli­vrée par la CNIL dans le domaine de la santé en matière de recherche (art. 66 LIL), cette dernière rappelle les prin­cipes posés par l’art. 32 RGPD concer­nant la sécu­rité du trai­te­ment et se foca­lise sur le cloi­son­ne­ment du réseau et la traça­bi­lité des accès. S’agissant du cloi­son­ne­ment du réseau, il est fait réfé­rence au guide d’hygiène infor­ma­tique publié en janvier 2017 par l’Autorité fran­çaise en matière de cyber­sé­cu­rité et de cyber­dé­fense (ANSSI) qui précise que pour sécu­ri­ser un réseau, il convient de le segmen­ter et de mettre en place un méca­nisme de cloi­son­ne­ment. Or, il est repro­ché à IQVIA l’absence de cloi­son­ne­ment du réseau pour limi­ter l’accès à la base de données de l’entrepôt LRX ainsi que l’absence de poli­tique d’authentification multi­fac­teur alors que le cloi­son­ne­ment du réseau était expres­sé­ment exigé par l’autorisation déli­vrée par la CNIL. S’agissant de la traça­bi­lité des accès, la CNIL rappelle que la mise en place d’un dispo­si­tif de jour­na­li­sa­tion parti­cipe au respect de l’obligation de sécu­ri­sa­tion de tout trai­te­ment (cf. Délibération n° 2021-122 du 14 octobre 2021 portant adop­tion d’une recom­man­da­tion rela­tive à la jour­na­li­sa­tion), qu’« un contrôle des traces doit être réalisé régu­liè­re­ment et a minima bimes­triel­le­ment, ainsi qu’à la fin de chaque période d’habilitation liée à un projet de recherche  » (cf. Référentiel rela­tif aux trai­te­ments de données à carac­tère person­nel mis en œuvre à des fins de créa­tion d’entrepôts de données dans le domaine de la santé), et « que  le système de jour­na­li­sa­tion doit concer­ner non seule­ment les anoma­lies et événe­ments liés à la sécu­rité, mais égale­ment les acti­vi­tés métier des utili­sa­teurs et les inter­ven­tions tech­niques » (cf. CNIL, Sécurité : Tracer les opéra­tions). 

En l’espèce, bien que IQVIA ait mis en place un système permet­tant de détec­ter d’éventuels compor­te­ments anor­maux ou mésusages des données (SIEM), la CNIL sanc­tionne plus géné­ra­le­ment le fait de ne pas avoir mis en place un dispo­si­tif permet­tant une analyse régu­lière des jour­naux de connexion.   

La CNIL met égale­ment en exergue le fait que les études réali­sées par la société et pour son propre compte ne font l’objet d’aucune auto­ri­sa­tion. D’une part, ces dernières sont exclues du champ de l’autorisation déli­vrée pour l’entrepôt LRX. D’autre part, elles ne sont conformes à aucun réfé­ren­tiel appli­cable.   

En effet, si une société souhaite réali­ser des études, évalua­tions ou recherches à partir de données à carac­tère person­nel, cette dernière doit dépo­ser auprès de la CNIL une décla­ra­tion de confor­mité au réfé­ren­tiel de métho­do­lo­gie de réfé­rence MR-004. Cependant, pour qu’une société puisse s’en préva­loir, un certain nombre de condi­tions doivent être respec­tées, telles que l’affichage d’une infor­ma­tion géné­rale et la déli­vrance de l’information de manière indi­vi­duelle aux personnes concer­nées. En l’espèce, la CNIL retient que les personnes concer­nées n’étaient ni infor­mées de cette collecte ni de la réuti­li­sa­tion de leurs données dans le cadre des études réali­sées par la société. Eu égard à ces éléments, la CNIL retient que IQVIA ne respecte pas les termes de l’autorisation, ce qui consti­tue un manque­ment à l’art. 66 LIL.  

Concernant l’obligation de four­nir des infor­ma­tions lorsque les données à carac­tère person­nel n’ont pas été collec­tées auprès de la personne concer­née, l’art. 14 RGPD pose le prin­cipe selon lequel, dès lors qu’un respon­sable du trai­te­ment ne collecte pas des données à carac­tère person­nel auprès de la personne concer­née, ce dernier doit lui four­nir un grand nombre d’informations telles que son iden­tité, la durée de conser­va­tion, les fina­li­tés du trai­te­ment, etc.  

En l’espèce, la CNIL rappelle que dans la déli­bé­ra­tion concer­nant l’entrepôt LRX, il est indi­qué que « les phar­ma­ciens d’officine seront char­gés, contrac­tuel­le­ment, d’informer indi­vi­duel­le­ment leurs clients du trai­te­ment des données les concer­nant ». Cependant, sur les offi­cines contrô­lées, aucune d’entre elles ne déli­vraient lesdites infor­ma­tions. Par consé­quent, la CNIL impute ce manque­ment à IQVIA en raison de sa qualité de respon­sable de trai­te­ment.  

Pour ce qui est de la protec­tion des données dès la concep­tion et par défaut, la CNIL rappelle les obli­ga­tions présentent à l’art. 25 RGPD ainsi que le prin­cipe clari­fié dans les lignes direc­trices 4/​2019 y rela­tives (dans leur seconde version) selon lequel les données à carac­tère person­nel doivent être proté­gées dès la concep­tion du trai­te­ment et par défaut.  

En l’espèce, il est repro­ché à la société que les modules d’extraction de données des phar­ma­ciens trans­mettent systé­ma­ti­que­ment au premier tiers de confiance les données des patients. La CNIL retient ainsi que cette trans­mis­sion n’est pas justi­fiée et que IQVIA aurait dû prévoir, dès la concep­tion et par défaut, des mesures permet­tant de s’assurer que les logi­ciels n’extraient pas les données des patients lorsque le phar­ma­cien refuse cette commu­ni­ca­tion.   

(iii) Les manque­ments liés à l’entrepôt EMR 

Pour l’entrepôt EMR, la CNIL retient égale­ment un manque­ment à l’art. 66 LIL en raison de manque­ments liés à l’information des patients, l’exercice des droits, la sécu­rité et confi­den­tia­lité des données. 

Sur l’information des patients, la CNIL rappelle les obli­ga­tions prévues par l’art. 14 RGPD (cf. supra). Dans le cas d’espèce, l’autorisation déli­vrée par la CNIL à IQVIA indi­quait que les données de l’entrepôt EMR « seront conser­vées en base active pendant une durée de dix ans. Au-delà, les données seront anony­mi­sées ou suppri­mées ». Or, la notice desti­née à infor­mer les patients des trai­te­ments mis en œuvre ne mention­nait pas les mêmes infor­ma­tions puisqu’elle indi­quait que les données sont conser­vées pendant la durée de réali­sa­tion des études et analyses mises en œuvre par IQVIA et ses parte­naires contrac­tuels, avant de faire l’objet d’une procé­dure d’archivage sécu­ri­sée pour une durée conforme à la régle­men­ta­tion en vigueur.  

Néanmoins, il convient de souli­gner que IQVIA avait soumis ladite notice à la CNIL dans le cadre de sa demande d’autorisation et que cette dernière n’avait soulevé aucune inter­ro­ga­tion. Désormais, la CNIL retient que les infor­ma­tions four­nies dans la notice liti­gieuse ne corres­pondent ni à la durée prévue par l’autorisation, ni à celle prati­quée par IQVIA.  

Quant à l’exercice des droits, il est repro­ché à IQVIA de n’avoir prévu aucun méca­nisme a poste­riori permet­tant la levée du pseu­do­ny­mat et la réiden­ti­fi­ca­tion effec­tive des personnes concer­nées pour permettre la prise en compte de leur droit d’opposition. IQVIA se prévaut du fait que cela appa­rait tech­ni­que­ment impos­sible et que si une telle demande doit avoir lieu, la personne concer­née doit rensei­gner un certain nombre d’informations afin que IQVIA puisse tenter de réiden­ti­fier le patient. Toutefois, la CNIL consi­dère que dans la mesure ou IQVIA condi­tionne la prise en compte du droit d’opposition du patient à la four­ni­ture d’informations complé­men­taires, cela n’est ni conforme au RGPD, ni à l’autorisation qu’elle a déli­vrée. 

Pour ce qui est de la sécu­rité et de la confi­den­tia­lité des données, la CNIL relève, en sus de l’absence de cloi­son­ne­ment du réseau et de traça­bi­lité des accès, qu’aucun méca­nisme d’authentification forte ou multi­fac­teur n’est implé­menté s’agissant de l’accès à l’entrepôt et qu’un seul jeu d’identifiant/authentifiant était suffi­sant pour s’authentifier. Par consé­quent, IQVIA a violé l’art. 66 LIL.  

Conclusion 

Cette déli­bé­ra­tion sur la gouver­nance des entre­pôts de données de santé rappelle que le respect des forma­li­tés préa­lables ne consti­tue pas une simple exigence admi­nis­tra­tive, mais bien une condi­tion essen­tielle à la licéité du trai­te­ment. Elle met en évidence la néces­sité de distin­guer les infor­ma­tions présen­tées par le respon­sable de trai­te­ment dans sa demande d’au­to­ri­sa­tion, des obli­ga­tions qui résultent de l’au­to­ri­sa­tion déli­vrée par la CNIL. En effet, si la demande permet d’ex­po­ser le projet ainsi que les garan­ties envi­sa­gées, seule l’au­to­ri­sa­tion déli­vrée par la CNIL fixe le péri­mètre du trai­te­ment, les fina­li­tés ainsi que les obli­ga­tions auxquelles le respon­sable de trai­te­ment sera tenu de se confor­mer. Toute diver­gence est ainsi suscep­tible de carac­té­ri­ser un manque­ment au RGPD et/​ou à la LIL. 

De plus, l’ob­ten­tion d’une auto­ri­sa­tion ne marque pas la fin de la démarche de confor­mité, mais le point de départ d’une obli­ga­tion perma­nente de veiller au respect des enga­ge­ments pris auprès de la CNIL. Les respon­sables de trai­te­ment doivent ainsi mettre en place des méca­nismes de contrôle interne permet­tant de s’as­su­rer que les trai­te­ments réali­sés, les données collec­tées, les desti­na­taires, les durées de conser­va­tion ou encore les mesures de sécu­rité demeurent conformes aux condi­tions énon­cées dans l’au­to­ri­sa­tion. 

Finalement, cette déci­sion illustre que l’ab­sence de réac­tion de la CNIL à la récep­tion d’un docu­ment ne saurait être assi­mi­lée à une vali­da­tion tacite de son contenu, ni faire obstacle à une sanc­tion ulté­rieure. La CNIL étant compo­sée de diffé­rents services, le service en charge de l’ins­truc­tion des demandes d’au­to­ri­sa­tion pour les entre­pôts de données de santé est distinct de celui des contrôles et sanc­tions. Le silence ou l’ab­sence de remarque d’un service ne saurait ainsi lier et/​ou limi­ter l’ap­pré­cia­tion de la forma­tion restreinte char­gée de pronon­cer, a poste­riori et de manière auto­nome, des sanc­tions en raison de la non-confor­mité d’un trai­te­ment au RGPD ou à la LIL.  

Par consé­quent, au-delà du risque de sanc­tion finan­cière, le non-respect des condi­tions de l’au­to­ri­sa­tion est suscep­tible d’en­traî­ner une remise en cause de l’au­to­ri­sa­tion déli­vrée par la CNIL, un préju­dice répu­ta­tion­nel ainsi qu’une perte de confiance des personnes concer­nées comme des parte­naires. La confor­mité ne se limite pas à l’ob­ten­tion d’une auto­ri­sa­tion de la CNIL mais suppose le respect strict et continu des obli­ga­tions figu­rant dans la déci­sion d’au­to­ri­sa­tion tout au long de la vie du traitement.