IQVIA multada em €5 milhões por armazéns de dados de saúde que rastreavam pacientes sem avisá-los

A IQVIA Operations France, braço francês do grupo de análise de saúde IQVIA, operava dois armazéns de dados de saúde que a CNIL havia autorizado: o LRX, alimentado por dados de dispensação de cerca de 14.000 farmácias desde 2018, e o EMR, alimentado por registros de aproximadamente 2.000 a 3.000 médicos desde 2021. Cada paciente recebe um identificador único que vincula compras, diagnósticos, sintomas, peso, vacinas e licenças médicas em um único registro longitudinal — o próprio folheto da IQVIA anunciava "20 milhões de pacientes anonimizados acompanhados ao longo do tempo" — e os dados alimentam estudos vendidos a laboratórios farmacêuticos.

Em 2021, o programa de TV Cash Investigation mostrou dados de clientes de farmácias fluindo para a IQVIA sem o conhecimento deles; a France Assos Santé reclamou à CNIL, que inspecionou a empresa e farmácias parceiras. Constatações: ninguém analisava regularmente os registros de conexão em nenhum dos armazéns, de modo que acessos anormais passariam despercebidos; o EMR não tinha autenticação multifator, tinha um aviso ao paciente impreciso e nenhuma forma eficaz de oposição. Das quatro farmácias parisienses verificadas, nenhuma informou aos clientes que seus dados iam para a IQVIA — um dever de informação que a IQVIA havia delegado aos farmacêuticos, mas que ainda lhe cabia como controladora.

Pior ainda, módulos que a IQVIA integrava ao software das farmácias podiam extrair dados de pacientes mesmo quando o farmacêutico se opunha — uma violação do Artigo 25 do GDPR, proteção de dados desde a concepção — e alguns estudos rodavam no LRX fora de qualquer marco legal. Durante o procedimento, a IQVIA argumentou que os dados eram anônimos e que o GDPR era inaplicável, citando a decisão SRB do TJUE de 2025. A CNIL rejeitou isso: um identificador único por paciente, a profundidade dos dados e a reidentificação pela combinação de fontes públicas tornam os dados pseudonimizados, não anônimos — e até então a IQVIA nunca havia contestado o tratamento de dados pessoais.

Em 26 de maio de 2026, o comitê restrito da CNIL multou a IQVIA Operations France em €5 milhões, citando a sensibilidade dos dados de saúde, as dezenas de milhões de pessoas afetadas e a posição de mercado da empresa.

Multa de €5 milhões, com injunções de seis meses exigíveis a €10.000 por dia de atraso

A notificação aos pacientes foi terceirizada aos farmacêuticos sem nenhum mecanismo para verificar se ela ocorria — anos de fluxos de dados e nem uma única farmácia entregou o aviso.

A segurança parava na porta de entrada: os registros de conexão nunca eram analisados e o EMR não tinha MFA, de modo que o uso indevido dentro dos armazéns teria sido invisível.

A oposição existia no papel, mas o desenho do software a sobrepunha, extraindo dados mesmo após a recusa — a conformidade nunca foi incorporada ao fluxo de dados.

As condições de autorização foram tratadas como papelada de 2018 e 2021, e não como obrigações permanentes que o regulador um dia auditaria.

Dados pseudonimizados com um identificador por pessoa não são anônimos; o GDPR continua aplicável. Uma autorização é um piso, não uma licença — incluindo os avisos e as oposições que você delega a parceiros.

A multa foi tornada pública em 28 de maio de 2026 como deliberação SAN-2026-008. A IQVIA corrigiu as falhas de segurança durante o processo, o que o comitê reconheceu, mas as injunções permanecem: corrigir o aviso ao paciente do EMR, tornar a oposição eficaz, garantir que as farmácias realmente informem os clientes, interromper estudos não conformes no LRX e cessar a extração apesar da recusa — exigíveis a €10.000 por dia após seis meses. A IQVIA tomou nota e reservou-se o direito de recorrer ao Conseil d'État. A decisão chega em meio à disputa sobre o que significa "anônimo" após a decisão SRB do TJUE.