IQVIA : 7 millions d'euros d'amende pour des données de santé dites « anonymes »

Sept millions d'euros. En Italie, l'autorité de protection des données a sanctionné IQVIA Solutions Italy pour plusieurs manquements concernant une base d'environ un million de patients. Annoncée le 2 octobre 2026, puis relayée par le Comité européen de la protection des données, l'affaire pose une question décisive : sur quelles preuves un projet peut-il affirmer que ses données de santé sont anonymes ?

Pour les lecteurs français, l'affaire a un écho immédiat : quatre mois plus tôt, la CNIL avait infligé 5 millions d'euros d'amende à IQVIA Operations France pour des traitements distincts. Douze millions d'euros de sanctions en 2026, deux autorités, et une même qualification refusée : des données de santé présentées comme anonymes.

Pour un établissement, un éditeur ou un promoteur de recherche, cette qualification détermine une partie essentielle du cadre du projet. Si elle est erronée, l'organisation peut écarter des obligations qui s'appliquent pourtant à ses traitements. Notre analyse : la qualification des données doit être établie, et démontrée, avant de servir de fondement aux décisions du projet.

Ce que l'autorité italienne a constaté

La décision du Garante est datée du 23 septembre 2026. La base était alimentée par les données de patients d'environ 800 médecins généralistes et utilisée pour des études. L'autorité a écarté la qualification de données anonymes défendue par la société.

Retirer les noms ne prouve pas l'anonymat. Un code persistant permettait de suivre un patient dans le temps. Combiné à des informations cliniques et de localisation détaillées, il rendait possibles l'individualisation et une réidentification par des moyens raisonnables. La décision relève aussi, à la suite d'une violation notifiée par la société elle-même, la présence d'informations directement identifiantes concernant 3 370 patients — dont 3 080 pour lesquels des données de santé figuraient également. Elles avaient été saisies par des médecins dans des zones de texte libre, puis extraites avec le reste.

La sanction porte sur plusieurs manquements : base juridique inadéquate, information insuffisante, conservation mal encadrée, absence d'analyse d'impact et sécurité insuffisante. Présenter l'affaire comme une amende pour une simple maladresse de vocabulaire ferait perdre l'essentiel : la qualification retenue avait des conséquences sur l'ensemble du dispositif de conformité.

L'amende n'est pas la seule conséquence. La décision laisse à IQVIA 120 jours, à compter de sa notification, pour mettre le traitement en conformité et rendre compte par écrit à l'autorité des mesures adoptées. Si la société entend poursuivre la constitution de la base selon le modèle actuel, elle doit identifier une base juridique appropriée, informer les patients, réaliser une analyse d'impact et désigner les médecins comme sous-traitants pour les opérations qu'ils effectuent. À défaut, l'anonymisation doit être réalisée par les médecins eux-mêmes, avant toute transmission, selon les garanties fixées par l'autorité. Pour fixer le montant, le Garante a tenu compte de l'arrêt des transmissions par les médecins depuis 2023 et de la coopération de la société au cours de la procédure.

IQVIA a pris acte de la décision et s'est réservé le droit de former un recours. La société indique que cette base ne sert ni à ses services de recherche clinique ni à des études commandées par des sponsors.

Qui organise réellement la collecte et l'utilisation des données ?

Le Garante considère IQVIA comme responsable du traitement dès la collecte auprès des médecins : il examine les choix réels de finalités et de moyens, notamment l'organisation de l'extraction et de la constitution de la base. Et, comme la CNIL le rappelle, une opération d'anonymisation constitue elle-même un traitement de données personnelles, soumis aux règles applicables.

Pour vos contrats, la question utile devient donc : qui décide quelles informations sont extraites, avec quel outil, pour quelle utilisation et au bénéfice de qui ? Une qualification contractuelle doit correspondre à cette organisation concrète. C'est un point à examiner avant de demander aux professionnels de santé de participer à un nouveau projet.

Le cas rappelle enfin le risque des zones de texte libre : un contrôle limité aux colonnes « nom » et « prénom » peut manquer des données identifiantes présentes ailleurs dans le dossier, dans un commentaire, un courrier ou une pièce jointe.

En France aussi, les garanties doivent fonctionner en pratique

Revenons à la sanction française. Par une délibération du 26 mai 2026, rendue publique le 28 mai, la CNIL a infligé 5 millions d'euros d'amende à IQVIA Operations France au titre de deux entrepôts de données de santé. Les deux affaires concernent des sociétés et des traitements distincts. En France, la CNIL reprochait le non-respect des garanties attachées aux autorisations des entrepôts : information des personnes, exercice de leurs droits et sécurité.

Un point relie pourtant les deux décisions. Devant la CNIL aussi, IQVIA soutenait que les données de ses entrepôts étaient anonymes, en s'appuyant sur l'arrêt rendu par la Cour de justice de l'Union européenne le 4 septembre 2025 ; la formation restreinte a écarté l'argument. En quatre mois, deux autorités européennes ont refusé la même qualification.

Notre lecture commune de ces décisions est opérationnelle : une autorisation, un contrat ou une description technique doit être confronté au fonctionnement réel. Qui a effectivement reçu l'information ? Quelles données sont réellement extraites ? Quelles mesures sont appliquées et vérifiées ? Ce sont ces questions qui permettent de passer d'un dossier de conformité à une conformité démontrable.

Anonymes pour qui ? La nuance à conserver en octobre 2026

Il serait tout aussi réducteur d'en déduire qu'aucune donnée de santé ne peut être anonymisée. Les lignes directrices 02/2026 du CEPD, adoptées le 7 juillet 2026 pour consultation publique, précisent que l'analyse peut varier selon les entités concernées et les moyens raisonnablement susceptibles d'être utilisés. Leur consultation publique reste ouverte jusqu'au 30 octobre 2026 : il ne s'agit pas encore d'une version finale.

Ces travaux proposent d'examiner l'isolement des enregistrements, leurs possibilités de rapprochement et les informations qui peuvent en être déduites. L'échec d'un critère appelle une analyse complémentaire ; il ne remplace pas, à lui seul, l'appréciation juridique de l'identifiabilité. Ils s'inscrivent dans la ligne de l'arrêt du 4 septembre 2025 : une donnée pseudonymisée peut, sous conditions, ne pas constituer une donnée personnelle pour un destinataire qui ne dispose d'aucun moyen raisonnable de réidentification, tout en restant personnelle pour celui qui détient la clé.

La question à documenter devient précise : pour quel destinataire le jeu de données est-il censé être anonyme, dans quel environnement et au regard de quelles informations accessibles ? Une conclusion valable pour une transmission donnée ne doit pas être réutilisée sans examen pour un autre destinataire ou un nouveau partage.

La pseudonymisation reste, de son côté, une mesure utile de protection. Remplacer des identifiants directs réduit les risques, mais cette seule opération ne démontre pas une anonymisation. La CNIL rappelle notamment l'importance d'examiner les possibilités de rapprochement avec d'autres informations.

Cinq questions à poser avant la prochaine extraction

Nous recommandons d'organiser une revue courte réunissant le DPO, le responsable du projet et l'équipe technique. Elle doit produire des réponses vérifiables à cinq questions :

1. 1Que contient réellement l'export ? Comparer les spécifications au résultat produit. Examiner les textes libres, les pièces jointes et les identifiants persistants, pas seulement les champs explicitement désignés comme identifiants.
2. 2Pour qui les données sont-elles censées être anonymes ? Identifier les destinataires, leurs accès, les rapprochements envisageables et les limites de l'évaluation. Éviter une attestation générale détachée de ces conditions.
3. 3Qui a pris les décisions essentielles ? Retracer les choix de finalité, de variables, d'outils et de destinataires. Vérifier leur cohérence avec les rôles décrits dans les contrats.
4. 4Quels documents soutiennent le projet ? Retrouver l'analyse de la base juridique et des conditions applicables aux données de santé, l'information des personnes et l'analyse d'impact lorsqu'elle est requise. Une affirmation d'anonymat ne remplace pas ces vérifications.
5. 5Quand faut-il réexaminer la conclusion ? Prévoir une revue lors d'un ajout de variables, d'un changement de destinataire ou d'une évolution des possibilités de rapprochement. Désigner la personne chargée de déclencher cette revue.

Une conclusion à pouvoir expliquer et vérifier

Le livrable utile est un dossier qui relie le périmètre étudié, la version des données, la méthode retenue, ses limites et la décision prise. Si une information manque, le dossier doit le montrer. Si les données restent personnelles, le projet doit être construit dans le cadre correspondant.

C'est le prolongement de notre position sur la conformité exécutable, prouvable et rejouable : conserver les éléments qui permettent de comprendre une décision et de la réexaminer. Dans un projet de données de santé, pouvoir expliquer pourquoi une base a été qualifiée d'anonyme fait partie de cette exigence.

Sécuriser votre projet de données de santé

Vous préparez un entrepôt, une étude, une extraction vers un partenaire ou la réutilisation de données pour un produit ? Les DPO de la Santé vous accompagnent dans la qualification du traitement, l'examen des responsabilités, l'analyse d'impact et l'organisation de la conformité. Un premier échange gratuit de 30 minutes permet de préciser votre besoin : faire le point sur mon projet de données de santé.

À lire également : notre recensement des sanctions en santé.

Sources vérifiées le 14 octobre 2026. Les recommandations pratiques sont l'analyse des DPO de la Santé.