IQVIA condamnée à une amende de 5 millions d'euros pour des entrepôts de données de santé qui suivaient les patients sans les informer

IQVIA Operations France, la branche française du groupe d'analyse de données de santé IQVIA, exploitait deux entrepôts de données de santé que la CNIL avait autorisés : LRX, alimenté par les données de délivrance d'environ 14 000 pharmacies depuis 2018, et EMR, alimenté par les dossiers d'environ 2 000 à 3 000 médecins depuis 2021. Chaque patient se voit attribuer un identifiant unique qui relie achats, diagnostics, symptômes, poids, vaccins et arrêts de travail en un seul dossier longitudinal — la brochure d'IQVIA elle-même annonçait « 20 millions de patients anonymisés suivis dans le temps » — et ces données alimentent des études vendues à des laboratoires pharmaceutiques.

En 2021, l'émission de télévision Cash Investigation a montré que les données des clients des pharmacies parvenaient à IQVIA à leur insu ; France Assos Santé a saisi la CNIL, qui a contrôlé l'entreprise et des pharmacies partenaires. Constats : personne n'analysait régulièrement les journaux de connexion dans l'un ou l'autre entrepôt, de sorte qu'un accès anormal serait passé inaperçu ; EMR ne disposait pas d'authentification multifacteur, d'une mention d'information des patients exacte, ni d'un moyen effectif de s'opposer. Sur quatre pharmacies parisiennes contrôlées, aucune n'informait ses clients que leurs données étaient transmises à IQVIA — une obligation d'information qu'IQVIA avait déléguée aux pharmaciens mais dont elle restait responsable en tant que responsable de traitement.

Pire, les modules qu'IQVIA intégrait aux logiciels des pharmacies pouvaient extraire des données de patients même lorsque le pharmacien s'y opposait — une violation de l'article 25 du RGPD, la protection des données dès la conception — et certaines études étaient menées sur LRX en dehors de tout cadre juridique. Durant la procédure, IQVIA a soutenu que les données étaient anonymes et que le RGPD ne s'appliquait pas, invoquant l'arrêt SRB rendu par la CJUE en 2025. La CNIL a rejeté cet argument : un identifiant unique par patient, la profondeur des données et la réidentification par croisement de sources publiques rendent les données pseudonymisées, et non anonymes — et jusqu'alors IQVIA n'avait jamais contesté traiter des données personnelles.

Le 26 mai 2026, la formation restreinte de la CNIL a infligé à IQVIA Operations France une amende de 5 millions d'euros, invoquant la sensibilité des données de santé, les dizaines de millions de personnes concernées et la position de l'entreprise sur le marché.

Amende de 5 millions d'euros, assortie d'injonctions de six mois exécutoires à 10 000 euros par jour de retard

L'information des patients a été externalisée aux pharmaciens sans aucun mécanisme permettant de vérifier qu'elle avait bien eu lieu — des années de flux de données et pas une seule pharmacie n'a délivré l'information.

La sécurité s'arrêtait à la porte d'entrée : les journaux de connexion n'étaient jamais analysés et EMR ne disposait pas d'authentification multifacteur, de sorte qu'un usage abusif à l'intérieur des entrepôts serait resté invisible.

L'opposition existait sur le papier, mais la conception des logiciels la contournait, en extrayant des données même après un refus — la conformité n'a jamais été intégrée au pipeline.

Les conditions d'autorisation ont été traitées comme de simples formalités de 2018 et 2021, et non comme des obligations permanentes que le régulateur finirait un jour par contrôler.

Des données pseudonymisées assorties d'un identifiant par personne ne sont pas anonymes ; le RGPD continue de s'appliquer. Une autorisation est un plancher, non un permis — y compris pour les informations et les oppositions que vous déléguez à des partenaires.

L'amende a été rendue publique le 28 mai 2026 sous la référence de délibération SAN-2026-008. IQVIA a corrigé les failles de sécurité durant la procédure, ce que la formation restreinte a reconnu, mais des injonctions subsistent : corriger la mention d'information des patients d'EMR, rendre l'opposition effective, faire en sorte que les pharmacies informent réellement les clients, cesser les études non conformes sur LRX et cesser l'extraction malgré un refus — exécutoires à 10 000 euros par jour après six mois. IQVIA a pris acte et s'est réservé le droit de faire appel devant le Conseil d'État. La décision intervient au cœur d'un débat sur ce que signifie « anonyme » après l'arrêt SRB de la CJUE.