TL;DR
Par la décision n° 710 du 23 septembre 2026, annoncée le 2 octobre, le Garante italien a infligé à IQVIA Solutions Italy une amende de 7 millions d'euros. La base alimentée par les logiciels d'environ 800 médecins généralistes contenait l'historique clinique d'environ un million de patients. Elle n'était pas anonyme : chaque patient avait un code stable permettant de le suivre dans le temps. IQVIA a été qualifiée de responsable dès la collecte. Manquements : base juridique et condition de l'art. 9, information, conservation (données depuis 2001), absence de désignation des médecins comme sous-traitants, absence d'AIPD, sécurité. 120 jours pour se conformer ; la société se réserve un recours.
Ce qui s'est passé
Un module installé dans le logiciel de gestion des cabinets extrayait les données des patients et les envoyait à la base de la société : année de naissance, sexe, situation familiale, consultations, diagnostics, symptômes, allergies, poids, prescriptions, vaccins, examens, arrêts de travail, ainsi que des données de localisation. En échange, les médecins recevaient l'abonnement au logiciel. Les données servaient à des études observationnelles commandées par des laboratoires et livrées sous forme agrégée. Les contrôles datent d'avril 2025. Entre-temps, la société a notifié une violation : dans des champs en texte libre figuraient les noms, codes fiscaux et coordonnées de 3 370 patients, dont 3 080 avec des données de santé.
Pourquoi les données n'étaient pas anonymes
- LE CODE STABLE. Chaque patient gardait le même identifiant pendant toute la collecte : il servait justement à le suivre dans le temps. C'est la condition qui permet d'individualiser une personne dans un groupe, le premier des trois critères de l'anonymisation.
- LA k-ANONYMAT NE SUFFIT PAS. La contrainte ne portait que sur les quasi-identifiants. Or une suite de diagnostics, d'hospitalisations et de médicaments observée sur des années est elle-même un identifiant : de larges classes d'équivalence ne servent à rien si le reste de l'enregistrement est unique.
- LE HACHAGE NE SUPPRIME PAS L'UNICITÉ. Hacher le code rend l'identité illisible mais conserve le lien univoque entre un enregistrement et une personne : il est conçu pour cela.
- PAS UN SIMPLE DESTINATAIRE. L'arrêt SRB de la Cour de justice (C-413/23, 4 septembre 2025) admet que des données pseudonymisées puissent ne pas être personnelles pour un destinataire incapable de lever les mesures. IQVIA avait conçu ces mesures : elle était responsable dès la collecte, et la capacité de réidentifier par des moyens raisonnables suffit.
Anonymiser, c'est traiter
C'est le point qui vaut pour tous. L'anonymisation est un traitement de données personnelles et exige une base juridique. Le contrat avec les médecins ne pouvait pas en être une pour les patients, qui n'y étaient pas parties ; pour les données de santé, il fallait aussi une condition de l'art. 9, absente. L'information, déléguée aux médecins, ne comportait pas les éléments de l'art. 13. Et les médecins, qui ne décidaient ni des finalités ni des moyens de l'opération, auraient dû être désignés sous-traitants au titre de l'art. 28 : le Garante a aussi retenu ce manquement.
Les autres manquements et l'amende
Aucune durée de conservation : les données les plus anciennes remontaient à 2001, alors que la société affirmait que les études n'ont pas besoin de données de plus de dix ans ; la politique produite visait des documents administratifs et fiscaux. Pas d'analyse d'impact, mesures de sécurité inadéquates. La société a 120 jours pour mettre le traitement en conformité si elle veut poursuivre ; à défaut, l'anonymisation devra être réalisée par les médecins eux-mêmes, avec les garanties fixées par le Garante. Le montant tient compte du nombre de patients et de la nature des données, mais aussi de l'arrêt des envois depuis 2023 et de la coopération. Le 26 mai 2026, la CNIL avait sanctionné de 5 millions la société française du groupe, avec la même conclusion : pseudonymisé ne veut pas dire anonyme.
Ce que cela change pour un DPO
Cinq vérifications
Un : tout jeu de données qu'un client qualifie d'« anonyme » doit être examiné sous deux angles — un identifiant stable et un contenu riche. Si les deux sont présents, il est pseudonymisé et figure au registre comme traitement de données personnelles. Deux : celui qui conçoit l'anonymisation en est responsable et a besoin d'une base juridique, avec l'art. 9 pour la santé. Trois : les champs en texte libre sont par où s'échappent les noms ; il faut les tester sur des données réelles avant l'extraction. Quatre : les bases de recherche ont aussi besoin d'une durée de conservation écrite. Cinq : des données de santé à grande échelle exigent une AIPD avant, pas après. Dans DPO Workspace, un traitement comportant des catégories particulières sans condition de l'art. 9 ne peut pas être activé.
Vous cherchez un outil pour votre travail de DPO ?
DPO Workspace est conçu par un DPO certifié. 30 jours d'essai gratuit.
Commencer gratuitement
