Données de santé : le Garante inflige 7 millions d'euros à IQVIA Italie, dont la base « anonyme » permettait de réidentifier les patients

12/10/26

Le Garante italien a infligé le 23 septembre 2026 une amende de 7 millions d'euros à IQVIA Solutions Italy, pour une base de données de santé portant sur environ un million de patients de 800 médecins généralistes. La société la présentait comme anonyme ; l'autorité a jugé que les patients pouvaient être isolés et, avec des moyens raisonnables, réidentifiés. Pour un DPO, c'est un rappel net : une anonymisation affirmée par contrat ne vaut rien si elle n'est pas démontrée.

Ce que le Garante reproche à IQVIA

La décision n° 710 du 23 septembre 2026, rendue publique par un communiqué du 2 octobre, clôt une instruction ouverte après des inspections menées en avril 2025, à laquelle a été jointe une violation de données notifiée par la société elle-même. La base, alimentée depuis les logiciels de gestion des médecins par un module d'extraction installé sur leur logiciel, servait à des études commandées notamment par des laboratoires pharmaceutiques.

Le point central est la qualification des données. Selon le Garante, le code attribué à chaque patient permettait de le suivre dans le temps et, combiné à l'année de naissance, au sexe, aux diagnostics, symptômes, prescriptions, examens, vaccinations et données de localisation, d'isoler les individus. Les données étaient donc personnelles, et même des données de santé au sens de l'article 9 du RGPD.

De là découlent les autres manquements retenus :

IQVIA est qualifiée de responsable du traitement dès la collecte chez les médecins, et il lui est reproché de ne pas les avoir désignés comme sous-traitants au sens de l'article 28 ;
aucune base juridique adéquate et aucune information des patients (article 13) ;
aucune durée de conservation définie, avec des données remontant à 2001 selon le communiqué ;
une analyse d'impact lancée mais jamais achevée, alors que le traitement avait commencé en 2015 ;
des mesures de sécurité insuffisantes : des champs en texte libre ont fait entrer dans la base des données directement identifiantes d'environ 3 370 patients, dont environ 3 080 avec des données de santé, également transmises à une société savante de médecine générale.

Au total, la décision vise les articles 5.1 a), e) et f), 5.2, 9, 13, 25, 28, 32 et 35.

Pourquoi c'est important

D'abord parce que le Garante juge l'anonymisation sur des critères explicites : isolement d'une personne, corrélation entre jeux de données, inférence. Il s'appuie sur les lignes directrices 02/2026 du CEPD sur l'anonymisation, adoptées le 7 juillet 2026 et encore en consultation. Il reproche à IQVIA d'avoir accepté de façon passive le caractère anonyme des données, sur la foi d'évaluations génériques réalisées par un prestataire, sans estimer de façon chiffrée le risque de réidentification.

Ensuite parce que le dossier n'est pas isolé. La décision cite expressément la sanction de la CNIL du 26 mai 2026 : la CNIL avait infligé 5 millions d'euros à IQVIA Operations France pour ses entrepôts de données de santé. Deux autorités, deux filiales, le même sujet en quatre mois.

Enfin parce que le plafond de l'amende a été calculé sur le chiffre d'affaires consolidé de la maison mère américaine, IQVIA Holdings, considérée avec sa filiale italienne comme une seule entité économique. Le Garante a retenu comme circonstances atténuantes la coopération de la société et l'arrêt des envois de données par les médecins.

Ce que ça change pour les organisations

Si la société veut poursuivre le traitement, elle a 120 jours pour trouver une base juridique, informer les patients, réaliser l'analyse d'impact et désigner les médecins comme sous-traitants. À défaut, l'anonymisation devra être faite par les médecins eux-mêmes, avec une pseudonymisation qu'ils déterminent seuls et des classes d'équivalence d'au moins 10 personnes. Pour tout DPO qui réutilise des données présentées comme anonymes :

exiger une démonstration chiffrée du risque de réidentification (taux d'isolement, taille des classes), pas une attestation de principe ;
traquer les champs en texte libre dans les extractions : c'est là que les identifiants reviennent ;
vérifier la qualification des rôles quand un tiers fournit l'outil d'extraction et fixe le format des données ;
tenir une analyse d'impact achevée avant le premier flux, et une durée de conservation écrite ;
relire sa doctrine interne à l'aune du guide de l'anonymisation et des critères du CEPD.

Ce que Leto en pense

Le mot « anonyme » dans un contrat est une hypothèse, pas une preuve. Ce dossier montre que l'autorité attend des mesures, des seuils et une analyse d'impact datée, tenus dans le temps par le responsable du traitement. Documenter ces éléments au fil de l'eau, dans le registre et les fiches de traitement, est ce qui permet de répondre à une inspection sans reconstruire l'histoire après coup. Pour voir comment Leto vous aide à le faire, demandez une démo.

Sources

Restez connecté(e).

Téléchargez notre application mobile de veille RGPD, Intelligence Artificielle et Cybersécurité.
100% gratuite.

Je télécharge

Discutons ensemble - et voyons comment Leto peut vous simplifier votre quotidien

Demander une démo