En bref
En 2026, deux sociétés du groupe IQVIA ont été sanctionnées : 5 M€ par la CNIL en France, 7 M€ par le Garante en Italie.
Dans les deux cas, IQVIA présentait ses données de santé comme anonymes. Les autorités ont jugé qu'elles n'étaient que pseudonymisées.
La raison principale : un identifiant unique par patient, associé à des données médicales détaillées.
« Nos données sont anonymes, le RGPD ne s’applique pas. »
C’est l’argument qu’IQVIA, groupe multinational de l’analyse de données de santé et de la recherche clinique, a défendu devant deux autorités européennes en 2026.
Les deux l’ont rejeté.
Bilan : 12 M€ d’amendes pour deux sociétés du groupe, 5 M€ en France et 7 M€ en Italie.
Ces affaires disent clairement où s’arrête la pseudonymisation et où commence l’anonymisation.
En France : 5 M€ d’amende de la CNIL
Le 26 mai 2026, la CNIL a sanctionné IQVIA Operations France d’une amende de 5 millions d’euros.
La société exploite deux entrepôts de données de santé, autorisés par la CNIL :
- LRX.
Alimenté par les données d’environ 14 000 pharmacies. - EMR.
Alimenté par les données de plusieurs milliers de médecins.
Ils concernent plusieurs dizaines de millions de personnes.
On y trouve l’année de naissance, le sexe, les prescriptions et, pour EMR, des diagnostics, des symptômes, des allergies, des vaccins ou des arrêts de travail.
La CNIL a notamment relevé :
- Le non-respect des autorisations.
Pas d’analyse régulière des journaux de connexion, pas d’authentification multifacteur sur EMR, des études menées hors de tout cadre légal. - Le défaut d’information des patients.
Aucune des quatre pharmacies contrôlées n’informait ses clients de la transmission de leurs données. - Un logiciel mal conçu.
Le logiciel des pharmacies transmettait les données des clients à IQVIA, y compris en cas de refus.
La société dispose de six mois pour corriger certains manquements, sous peine d’une astreinte de 10 000 € par jour de retard.
L’argument de l’anonymat, rejeté
Devant la CNIL, IQVIA a invoqué l’arrêt SRB de la Cour de justice de l’Union européenne (4 septembre 2025).
Cet arrêt admet que des données pseudonymisées peuvent ne pas être personnelles pour un destinataire qui n’a aucun moyen de retrouver les personnes.
Nous l’expliquons dans notre guide de la pseudonymisation.
La CNIL a jugé que les données d’IQVIA n’étaient pas anonymes, mais seulement pseudonymes, pour trois raisons :
- Un identifiant unique par patient.
Il permettait de suivre le parcours de soins de chaque personne. - La profondeur des données.
Plus un dossier est détaillé, plus il est singulier. - Le croisement possible avec des données publiques.
Un recoupement avec des données accessibles publiquement pouvait permettre de retrouver des personnes.
Autrement dit, l’arrêt SRB n’est pas un joker.
Il ne fait pas de données pseudonymisées des données anonymes pour celui qui organise leur collecte.
En Italie : 7 M€ d’amende du Garante
Le 2 octobre 2026, l’autorité italienne de protection des données, le Garante, a annoncé une amende de 7 millions d’euros contre IQVIA Solutions Italy (décision du 23 septembre 2026).
En cause : une base de données de santé d’environ un million de patients, alimentée par 800 médecins généralistes et utilisée pour des études, dont certaines commandées par des laboratoires.
Le raisonnement est le même qu’en France :
- Un code associé à chaque patient, qui permettait de le suivre dans le temps.
- Des données très détaillées : année de naissance, sexe, diagnostics, symptômes, prescriptions, examens, vaccins, données de localisation.
- Une ré-identification possible par des moyens raisonnables.
La base contenait même des identifiants directs (noms, codes fiscaux, adresses) pour plus de 3 300 patients.
Le Garante a aussi relevé l’absence de base juridique adaptée, une information insuffisante des patients, l’absence de durée de conservation (les données remontaient à 2001) et l’absence d’analyse d’impact.
IQVIA doit se mettre en conformité dans les 120 jours si elle veut poursuivre ce traitement.
Sinon, ce sont les médecins eux-mêmes qui devront anonymiser les données, selon les garanties fixées par le Garante.
IQVIA a indiqué se réserver le droit de faire appel.
Un cas qui n’est pas isolé
En France, la CNIL avait déjà sanctionné en 2024 trois sociétés du groupe Cegedim (GERS, Santestat et Cegedim Santé), pour un total de 1,8 M€.
Leurs bases, alimentées par des logiciels de médecins et de pharmacies, identifiaient les patients par des codes.
La CNIL avait montré qu’avec des outils courants, on pouvait retracer des parcours de soins et retrouver certaines personnes, surtout en cas de traitement rare.
Le Conseil d’État a confirmé ces sanctions le 13 février 2026.
Il a rappelé qu’une donnée n’est anonyme que si le risque de ré-identification est insignifiant, c’est-à-dire si l’identification est irréalisable en pratique.
La CNIL avait démontré concrètement que ce n’était pas le cas, et les sociétés ne l’avaient pas utilement contesté.
Ce qu’il faut en retenir
- Un identifiant constant, c’est de la pseudonymisation.
Suivre un patient dans le temps est utile, mais les données restent alors personnelles, avec toutes les obligations du RGPD. - Le détail des données compte autant que le nom.
Année de naissance, sexe, commune, diagnostic rare : combinés, ils désignent une personne. C’est le risque de ré-identification. - L’anonymat se démontre.
Analyse du risque, méthode, tests : sans documentation, l’argument ne tient pas. Le CEPD le rappelle dans ses lignes directrices 2026 sur l’anonymisation. - Anonymiser à la source.
C’est l’alternative prévue par le Garante : que les médecins anonymisent eux-mêmes les données, avant qu’elles partent. Une base centrale n’est alors constituée qu’avec des données déjà anonymisées. - Le logiciel doit respecter les choix des patients.
Un refus doit bloquer la transmission : c’est la protection des données dès la conception (article 25 du RGPD).
Pour les comptes rendus et le texte libre, où les identités sont les plus difficiles à repérer, voir notre article sur l’anonymisation des comptes rendus médicaux.
Avec NymData
NymData anonymise les données de santé sur vos propres serveurs, avant qu’elles soient transmises :
- Cartographie d’abord.
Une analyse sans rien modifier, pour voir quelles données personnelles sont présentes, y compris dans le texte libre des comptes rendus. - La méthode selon l’usage.
Anonymisation par type de donnée ([PERSONNE], [EMAIL]) quand le suivi n’est pas nécessaire ; identifiant constant quand il l’est, en sachant que les données restent alors pseudonymisées. - Rapport d’audit.
Chaque traitement indique ce qui a été détecté et ce qui a été fait : une base pour démontrer votre démarche.
Questions fréquentes
Pourquoi IQVIA a-t-elle été sanctionnée par la CNIL ?
Le 26 mai 2026, la CNIL a infligé 5 M€ d'amende à IQVIA Operations France pour la gestion de deux entrepôts de données de santé alimentés par des pharmacies et des médecins.
Elle a notamment relevé le non-respect des conditions de ses autorisations, un défaut d'information des patients et des manques de sécurité.
Les données d'IQVIA étaient-elles anonymes ?
Non, selon la CNIL comme selon l'autorité italienne.
Chaque patient avait un identifiant unique qui permettait de suivre son parcours de soins, et les données étaient détaillées : elles n'étaient que pseudonymisées.
Pourquoi l'autorité italienne a-t-elle sanctionné IQVIA ?
Le Garante a infligé 7 M€ à IQVIA Solutions Italy (décision du 23 septembre 2026) pour une base de données de santé d'environ un million de patients de 800 médecins généralistes.
Il a jugé que les données n'étaient pas anonymes et relevé, entre autres, l'absence de base juridique adaptée et d'analyse d'impact.
Un identifiant de patient suffit-il à rendre des données personnelles ?
Il ne suffit pas toujours à lui seul, mais il permet de relier toutes les informations d'une même personne.
Associé à des données détaillées, il rend la ré-identification possible par des moyens raisonnables : les données restent alors personnelles.
Qui doit prouver que des données sont anonymes ?
Celui qui les traite : le principe de responsabilité du RGPD (article 5.2) l'oblige à pouvoir démontrer sa conformité.
Dans l'affaire Cegedim, le Conseil d'État a jugé, le 13 février 2026, que des données ne sont anonymes que si le risque d'identification est insignifiant.