Données de santé : la CNIL inflige une amende de 5 millions d’euros à l’entreprise Iqvia
Un reportage de « Cash Investigation » diffusé en mai 2021 avait relevé des manquements de cette société partenaire de milliers de pharmacies en France..
La Commission nationale de l’informatique et des libertés (CNIL), l’autorité française chargée de protéger les données personnelles, a infligé une amende de 5 millions d’euros à la filiale française de l’entreprise américaine Iqvia. Cette sanction, annoncée le 28 mai 2023, fait suite à des manquements graves dans la gestion des données de santé collectées et traitées par Iqvia. La CNIL a estimé que ces manquements justifiaient une amende importante en raison de la sensibilité des données concernées, du nombre élevé de personnes impactées (plusieurs dizaines de millions) et de la taille financière de l’entreprise. Iqvia dispose d’un délai de six mois pour se mettre en conformité avec les exigences légales.
Iqvia France est une entreprise spécialisée dans le conseil et la réalisation d’études sur les maladies ou les traitements, pour son propre compte ou pour le compte de laboratoires pharmaceutiques. Pour mener à bien ses analyses, elle utilise deux bases de données de santé particulièrement sensibles. La première est alimentée par des données collectées auprès d’environ 14 000 pharmacies, tandis que la seconde provient de données recueillies auprès de plusieurs milliers de médecins. Ces données permettent à Iqvia de produire des études statistiques, mais leur collecte et leur traitement doivent respecter des règles strictes pour protéger la vie privée des patients.
En mai 2021, l’émission Cash Investigation a diffusé un reportage mettant en lumière des pratiques controversées de collecte et de traitement des données par Iqvia. Le reportage révélait notamment que les clients des pharmacies partenaires n’étaient pas informés de l’utilisation de leurs données personnelles, alors que la loi française l’exige. Cette diffusion a déclenché plusieurs plaintes de particuliers et d’associations, conduisant la CNIL à diligenter une enquête approfondie sur les activités d’Iqvia.
À l’issue de ses contrôles, la CNIL a relevé plusieurs manquements graves chez Iqvia. Parmi eux, des défauts de sécurité, comme l’absence d’authentification multifacteurs pour accéder à certaines bases de données. La commission a également constaté un défaut d’information des patients dont les données étaient collectées, notamment dans quatre pharmacies parisiennes partenaires d’Iqvia. Ces manquements ont été jugés d’autant plus graves que les données de santé sont considérées comme particulièrement sensibles en raison de leur caractère intime et de leur potentiel de discrimination.
Iqvia France a pris acte de la décision de la CNIL et se réserve le droit de faire appel. Dans un communiqué, l’entreprise a affirmé avoir déjà mis en place des mesures de sécurité et s’engager à renforcer en continu son dispositif de protection des données. Iqvia précise que toutes les données de santé utilisées pour ses études sont *pseudonymisées* via des tiers de confiance et des processus de chiffrement robustes, garantissant ainsi l’anonymat des personnes concernées. La CNIL a enjoint à l’entreprise de se conformer aux exigences légales dans un délai de six mois.
