Cnil sanctionne Iqvia d’une amende record sur la gestion des données santé

La Commission nationale de l’informatique et des libertés vient de frapper fort dans le secteur de la santé numérique. Le 26 mai 2026, elle a infligé une amende de 5 millions d’euros à Iqvia France, filiale du groupe américain spécialisé dans les études pharmaceutiques. Cette décision, rendue publique deux jours plus tard, pointe du doigt des failles importantes dans la façon dont l’entreprise manipule des informations médicales sensibles appartenant à des dizaines de millions de personnes.

Des entrepôts de données sous autorisation stricte

Iqvia France se consacre à la réalisation d’études sur les maladies et les traitements, que ce soit pour son propre compte ou celui de laboratoires. Pour cela, elle exploite deux vastes entrepôts de données de santé validés par la Cnil. Le premier, alimenté par près de 14 000 pharmacies, et le second, par plusieurs milliers de médecins. Chacune de ces autorisations s’accompagnait pourtant de garanties précises destinées à protéger les droits des individus et à minimiser les risques liés à des informations aussi sensibles. La Cnil a considéré que ces conditions n’avaient pas été pleinement respectées sur le terrain.

Manquements à la transparence et à la sécurité

L’affaire trouve son origine dans un reportage diffusé en mai 2021 par Cash Investigation, qui a poussé des particuliers et des associations à saisir la Cnil. Après plusieurs inspections chez l’entreprise et chez des pharmaciens partenaires, les contrôleurs ont relevé plusieurs points de non-conformité. Parmi eux figurent des insuffisances dans l’information délivrée aux personnes concernées, des obstacles à l’exercice effectif de leurs droits, notamment le droit d’opposition, et des lacunes en matière de sécurité, comme l’absence d’analyse régulière des journaux de connexions ou le manque d’authentification multifacteur sur l’un des entrepôts. La Cnil a par ailleurs précisé que ces données, bien que pseudonymisées, ne peuvent être considérées comme anonymes en raison d’un identifiant unique et de la richesse des informations collectées, qui permettent une réidentification probable.

Injonctions et position de l’entreprise

Outre l’amende, la formation restreinte de la Cnil a prononcé des injonctions. Iqvia France dispose de six mois pour corriger certains manquements restants, sous peine d’une astreinte de 10 000 euros par jour de retard. L’entreprise a indiqué avoir mis en place les mesures de sécurité identifiées et précisé que les données utilisées dans ses études statistiques sont pseudonymisées via des tiers de confiance et des processus de chiffrement avancés. Elle a pris acte de la décision tout en se réservant le droit d’interjeter appel. Cette affaire rappelle l’importance croissante accordée à la protection des données de santé dans un écosystème numérique où la confiance des patients reste un pilier essentiel.