Ce qui a été décidé
Le 23 septembre 2026, l'autorité italienne a adopté la décision n° 710 à l'encontre d'IQVIA Solutions Italy S.r.l., rendue publique le 2 octobre. L'amende est de sept millions d'euros. L'instruction faisait suite à des contrôles d'avril 2025. La base couvrait environ un million de patients de quelque huit cents médecins généralistes et servait à des études commandées en partie par des laboratoires. Outre l'amende, l'Autorité a ordonné de mettre le traitement en conformité sous cent vingt jours si l'activité se poursuit.
La défense de l'entreprise était la plus courante dans ce domaine : les données sont anonymes, donc le RGPD ne s'applique pas. Le raisonnement est correct sur la forme — le considérant 26 dit bien que le règlement ne concerne pas les informations anonymes — et presque toujours faux dans les faits. La question n'est pas de savoir si le nom y figure : c'est de savoir si la personne peut être retrouvée.
La ligne entre anonyme et pseudonymisé
Dans la base, chaque patient avait un code. Pas le nom, un code. Mais ce code était stable : il servait à suivre la même personne dans le temps, parce que c'est exactement ce qu'une étude longitudinale doit faire. Un identifiant qui permet de relier entre elles les données d'une même personne n'est pas une mesure d'anonymisation : c'est la définition de la pseudonymisation à l'article 4, point 5. Et la donnée pseudonymisée reste une donnée personnelle.
- Le considérant 26 demande d'apprécier les moyens raisonnablement susceptibles d'être utilisés pour identifier : coût, temps, technologie disponible, et non l'impossibilité absolue.
- Un code stable par personne permet de relier des événements dans le temps, et c'est précisément ce qui rend la donnée attribuable.
- Année de naissance, sexe, diagnostics, prescriptions et une référence territoriale, réunis, réduisent le groupe à très peu de personnes.
- Celui qui soutient qu'une donnée est anonyme doit pouvoir le démontrer, et la démonstration est technique : une analyse de réidentification, pas une phrase dans une mention d'information.
- Si la donnée n'est pas anonyme, il faut une base légale et une information, et pour les données de santé une condition de l'article 9, paragraphe 2.
La question au prestataire, et la réponse qui ne vaut rien
Quand un prestataire déclare traiter des « données anonymes », la question n'est pas « sont-elles anonymes ? » — il répondra oui. La question est : « le même patient a-t-il le même code dans deux extractions à six mois d'intervalle ? ». Si la réponse est oui, les données ne sont pas anonymes, quoi qu'en dise le contrat. C'est une question technique à laquelle on répond en trente secondes, et elle sépare une déclaration d'une vérification.
Il y a ensuite l'amont. Les données venaient de médecins généralistes. Pour un DPO qui conseille un cabinet, un laboratoire ou un établissement de santé, la question du jour est de savoir si certaines de ses données finissent dans des bases de recherche ou d'information commerciale, sur quelle base légale, et si les patients le savent. Le fait qu'un tiers les traite ne déplace pas la responsabilité de celui qui les a collectées.
Ce qu'il faut retenir, concrètement. Le mot « anonyme » dans un contrat ou dans un registre des traitements n'est pas une qualification juridique : c'est une affirmation à prouver. Là où il apparaît, il vaut la peine de se poser trois questions : qui l'a vérifié, selon quelle méthode, et quand. Si les trois réponses manquent, cette ligne du registre décrit un traitement que l'on croit hors du RGPD et qui est en réalité dedans, avec tout ce que cela implique.
Source officielle:Garante per la protezione dei dati personali — Données de santé : sept millions d'euros d'amende (2 octobre 2026)Source officielle:Cybersecurity360 — Quand une donnée de santé est vraiment anonymeSource officielle:Il Sole 24 Ore — Données de santé, sept millions d'amende pour IQVIAVous cherchez un outil pour votre travail de DPO ?
DPO Workspace est conçu par un DPO certifié. 30 jours d'essai gratuit.
Commencer gratuitement
