IQVIA Operations France, la filial francesa del grupo de analítica de salud IQVIA, operaba dos almacenes de datos de salud que la CNIL había autorizado: LRX, alimentado por datos de dispensación de unas 14.000 farmacias desde 2018, y EMR, alimentado por registros de aproximadamente 2.000-3.000 médicos desde 2021. Cada paciente recibe un identificador único que vincula compras, diagnósticos, síntomas, peso, vacunas y bajas por enfermedad en un único registro longitudinal — el propio folleto de IQVIA anunciaba «20 millones de pacientes anonimizados seguidos a lo largo del tiempo» — y los datos alimentan estudios que se venden a laboratorios farmacéuticos.
En 2021 el programa de televisión Cash Investigation mostró que los datos de los clientes de farmacias fluían a IQVIA sin su conocimiento; France Assos Santé presentó una reclamación ante la CNIL, que inspeccionó a la empresa y a las farmacias asociadas. Conclusiones: nadie analizaba regularmente los registros de conexión en ninguno de los dos almacenes, por lo que un acceso anómalo habría pasado desapercibido; EMR no contaba con autenticación multifactor, tenía una notificación al paciente inexacta y ninguna forma efectiva de oponerse. De cuatro farmacias de París comprobadas, ninguna informó a los clientes de que sus datos iban a IQVIA — un deber de información que IQVIA había delegado en los farmacéuticos pero que seguía asumiendo como responsable del tratamiento.
Peor aún, los módulos que IQVIA insertaba en el software de las farmacias podían extraer datos de pacientes incluso cuando el farmacéutico se oponía — una violación del artículo 25 del RGPD, protección de datos desde el diseño — y algunos estudios se ejecutaron sobre LRX al margen de cualquier marco legal. Durante el procedimiento IQVIA alegó que los datos eran anónimos y que el RGPD no era aplicable, citando la sentencia SRB del TJUE de 2025. La CNIL lo rechazó: un identificador único por paciente, la profundidad de los datos y la reidentificación mediante la combinación de fuentes públicas hacen que los datos sean seudónimos, no anónimos — y hasta entonces IQVIA nunca había cuestionado que trataba datos personales.
El 26 de mayo de 2026, la comisión restringida de la CNIL multó a IQVIA Operations France con 5 millones de euros, citando la sensibilidad de los datos de salud, las decenas de millones de personas afectadas y la posición de mercado de la empresa.
Multa de 5 millones de euros, con requerimientos de seis meses exigibles a razón de 10.000 euros por día de retraso
La notificación a los pacientes se externalizó a los farmacéuticos sin ningún mecanismo para verificar que se produjera — años de flujos de datos y ni una sola farmacia entregó la notificación.
La seguridad se detenía en la puerta: los registros de conexión nunca se analizaron y EMR no tenía autenticación multifactor, por lo que un uso indebido dentro de los almacenes habría sido invisible.
La oposición existía sobre el papel, pero el diseño del software la anulaba, extrayendo datos incluso tras la negativa — el cumplimiento nunca se incorporó al proceso.
Las condiciones de autorización se trataron como papeleo de 2018 y 2021 en lugar de obligaciones permanentes que el regulador algún día auditaría.
Los datos seudonimizados con un identificador por persona no son anónimos; el RGPD sigue siendo aplicable. Una autorización es un mínimo, no una licencia — incluidas las notificaciones y oposiciones que se delegan en terceros.
La multa se hizo pública el 28 de mayo de 2026 como deliberación SAN-2026-008. IQVIA corrigió las deficiencias de seguridad durante el procedimiento, lo que la comisión reconoció, pero los requerimientos se mantienen: corregir la notificación al paciente de EMR, hacer efectiva la oposición, garantizar que las farmacias informen realmente a los clientes, detener los estudios de LRX no conformes y cesar la extracción pese a la negativa — exigibles a razón de 10.000 euros por día tras seis meses. IQVIA tomó nota y se reservó el derecho a recurrir ante el Conseil d'État. La resolución llega en pleno debate sobre qué significa «anónimo» tras la sentencia SRB del TJUE.
CONSULTA LAS PRUEBAS
Las fuentes
- Données de santé : sanction de 5 millions d'euros à l'encontre de la société IQVIA CNIL (Commission Nationale de l'Informatique et des Libertés) · cnil.fr ·
- Pharmacies et données de santé : la CNIL inflige 5 millions d'euros d'amende à IQVIA Next (next.ink) · next.ink ·
- Données de santé : la CNIL sanctionne IQVIA et rappelle les limites de la pseudonymisation Caducée.net · caducee.net ·