La filiale italienne d'IQVIA condamnée à une amende de 7 M€ pour les données de santé d'un million de patients qui n'étaient pas anonymisées

L'autorité italienne de protection des données, le Garante, a infligé une amende de 7 millions d'euros à IQVIA Solutions Italy S.r.l. dans une décision du 23 septembre 2026 concernant une base de données contenant des données de santé relatives à environ un million de patients d'environ 800 médecins généralistes. Les données étaient extraites des systèmes de gestion de cabinet des médecins au moyen d'un module complémentaire, et chaque patient portait un identifiant persistant — un Pat ID — permettant de suivre les personnes dans le temps. IQVIA utilisait la base de données pour des études commanditées par des laboratoires pharmaceutiques.

Le Garante a conclu que les données n'étaient pas anonymes, contrairement à ce que prétendait l'entreprise : l'identifiant persistant combiné à l'année de naissance, au sexe, aux diagnostics, aux symptômes, aux prescriptions, aux examens, aux vaccinations et aux données de localisation permettait d'isoler et de réidentifier des individus.

L'autorité a énuméré les infractions : données de santé traitées sans base légale appropriée et sans information adéquate des patients, absence de durées de conservation (les données remontaient à 2001), absence d'analyse d'impact relative à la protection des données, sécurité inadéquate, et médecins généralistes jamais désignés comme sous-traitants. Des champs en texte libre laissaient également environ 3 370 patients directement identifiables — dont environ 3 080 avec des données de santé —, la violation qu'IQVIA avait elle-même notifiée.

IQVIA soutenait que les données étaient anonymes, invoquant l'arrêt de la CJUE dans l'affaire C-413/23, et affirmait n'avoir jamais détenu la clé reliant l'identifiant à une personne. Le Garante est parvenu à la conclusion inverse et a accordé à l'entreprise 120 jours pour mettre le traitement en conformité — base légale, information des patients, analyse d'impact, désignation des sous-traitants — ou pour que les médecins anonymisent eux-mêmes les données. Circonstances atténuantes : les médecins ont cessé d'envoyer des données à partir de 2023, et IQVIA a coopéré pendant la procédure.

Amende de 7 M€ ; 120 jours pour mettre le traitement en conformité avec le RGPD ou pour que les médecins anonymisent eux-mêmes les données

Elle prétendait que la base de données était anonyme alors qu'un identifiant patient persistant associé à l'année de naissance, au sexe, aux diagnostics et à la localisation pouvait isoler des individus.

Elle traitait des données de santé sans base légale appropriée et sans informer adéquatement les patients.

Elle n'avait fixé aucune limite de conservation, laissant les enregistrements s'accumuler de 2001 jusqu'à l'inspection.

Elle avait omis l'analyse d'impact requise et une sécurité adéquate, et n'avait jamais formalisé la désignation des médecins généralistes comme sous-traitants.

Son effacement automatique a échoué : des champs en texte libre conservaient noms, codes fiscaux et adresses d'environ 3 370 patients, l'obligeant à notifier elle-même la violation.

Qualifier un jeu de données d'« anonymisé » ne le rend pas tel : un identifiant patient persistant associé à des diagnostics et à des localisations constitue un kit de réidentification, et les autorités de régulation l'interprètent ainsi.

IQVIA dispose de 120 jours à compter de la décision pour rendre le traitement conforme au RGPD ou confier l'anonymisation aux médecins selon les garanties précisées par le Garante ; le CEPD a signalé l'affaire comme une décision nationale. Cela intervient quelques mois après que la filiale française du groupe, IQVIA Operations France, a été condamnée à une amende de 5 millions d'euros par la CNIL en mai 2026 dans un litige parallèle portant sur la même allégation d'« anonymisation ».