Par une délibération du 26 mai 2026, la formation restreinte de la CNIL a prononcé une amende de 5 millions d’euros à l’encontre de la société IQVIA Operations France, en raison de manquements constatés dans la gestion de deux entrepôts de données de santé. Cette décision précise les contours de la notion de pseudonymisation et rappelle qu’une autorisation délivrée par la CNIL ne dispense pas d’un contrôle ultérieur de sa mise en œuvre effective.
Deux entrepôts de données de santé au cœur du contrôle
IQVIA Operations France exploite deux entrepôts de données de santé autorisés par la CNIL, destinés à la réalisation d’études pour le compte de laboratoires pharmaceutiques. Le premier, dénommé LRX, est alimenté par les données d’environ 14 000 pharmacies. Le second, dénommé EMR, repose sur les données transmises par plusieurs milliers de médecins. Saisie de plaintes de particuliers et d’associations, la CNIL a mené des contrôles au siège de la société ainsi qu’auprès de plusieurs pharmacies partenaires.
L’argument de l’anonymisation écarté par la formation restreinte
La distinction entre données anonymes et données pseudonymes
Pour contester l’application du RGPD, IQVIA s’appuyait sur l’arrêt rendu par la Cour de justice de l’Union européenne le 4 septembre 2025, dit arrêt SRB, pour soutenir que les données figurant dans ses entrepôts étaient anonymes.
La formation restreinte a écarté cet argument, considérant que ces données demeuraient pseudonymes dès lors que leur réidentification restait possible par des moyens raisonnables, compte tenu notamment de la présence d’un identifiant unique par patient et de la richesse des informations collectées.
Les manquements relevés par la CNIL
Les contrôles ont révélé l’absence d’analyse régulière des journaux de connexion sur les deux entrepôts, l’absence d’authentification multifacteur pour l’accès à l’entrepôt EMR, ainsi qu’une notice d’information des patients jugée inexacte.
La CNIL a également constaté qu’aucune des pharmacies partenaires contrôlées n’informait ses clients de la transmission de leurs données à IQVIA, une carence dont la société demeure responsable en sa qualité de responsable de traitement, quand bien même l’information aux personnes concernées avait été déléguée aux pharmaciens.
Une amende assortie d’une injonction de mise en conformité
Au regard de la sensibilité des données concernées, du nombre élevé de personnes affectées et de la position de la société sur son marché, la formation restreinte a prononcé une amende de 5 millions d’euros, rendue publique, assortie d’une injonction de mise en conformité dans un délai de six mois sous astreinte de 10 000 euros par jour de retard.
Les enseignements pour les responsables de traitement
Cette décision illustre que la pseudonymisation constitue une mesure de sécurité et non une exemption au regard du RGPD, et que la délégation de l’information des personnes concernées à un partenaire commercial ne décharge pas le responsable de traitement de sa propre responsabilité.
Ces principes intéressent toute organisation qui structure des flux de données avec des partenaires commerciaux dans le cadre de sa conformité aux exigences du RGPD.
Source : CNIL, délibération SAN-2026-008 du 26 mai 2026 (cnil.fr).