Stéphane Ulmer Conseil

Le 26 mai 2026, la CNIL a infligé 5 millions d’euros à la société IQVIA Operations France pour des manquements liés à deux entrepôts de données de santé. Au cœur de la décision, une confusion que je rencontre très souvent sur le terrain : croire que des données « pseudonymisées » sont « anonymes ». Ce n’est pas un détail de vocabulaire — c’est la ligne qui sépare la conformité de la sanction.

Les faits

IQVIA exploitait deux entrepôts de données de santé (connus sous les noms LRX et EMR), pourtant autorisés par la CNIL, mais sans respecter les conditions de ces autorisations. Les traitements portaient sur les données de plusieurs dizaines de millions de personnes : année de naissance, sexe, consultations, prescriptions, informations cliniques. La société considérait ces données comme anonymes. La CNIL a jugé qu’elles étaient seulement pseudonymisées : compte tenu de la richesse des informations et d’identifiants uniques, le risque de ré-identification d’une personne était trop élevé.

Pourquoi pseudonyme n’est pas anonyme

La distinction est juridique, pas cosmétique. Une donnée est anonyme lorsqu’il est devenu impossible, par des moyens raisonnables, de remonter à la personne : le RGPD ne s’applique alors plus. Une donnée est pseudonymisée lorsqu’on a simplement remplacé les identifiants directs, mais qu’un recoupement reste possible : le RGPD continue de s’appliquer pleinement. Dès qu’un jeu de données est profond — dates, actes, prescriptions, parcours de soins — la ré-identification redevient possible, et l’anonymat prétendu s’effondre.

C’est l’erreur de qualification la plus coûteuse en santé : elle fait croire qu’on est sorti du RGPD alors qu’on y est en plein. La première question à se poser n’est jamais « comment traiter ces données ? » mais « ces données sont-elles réellement anonymes, et puis-je le démontrer ? ».

Les manquements retenus

• Traitements menés hors des conditions des autorisations obtenues (art. 66 de la loi Informatique et Libertés) ;
• Défaut d’information des personnes : les pharmacies, intermédiaires de la collecte, n’informaient pas les patients de la transmission de leurs données (art. 14 du RGPD) ;
• Mentions d’information inexactes et droit d’opposition non fonctionnel ;
• Sécurité insuffisante : absence d’analyse des journaux de connexion, pas de double authentification sur l’un des entrepôts (art. 25 du RGPD, protection dès la conception).

Au-delà de l’amende, la CNIL a assorti sa décision d’une injonction de mise en conformité sous six mois, avec une astreinte de 10 000 euros par jour de retard.

Trois enseignements pour les acteurs de la santé

1. L’autorisation n’est pas un blanc-seing. Obtenir l’autorisation d’un entrepôt de données de santé ne suffit pas : il faut en respecter les conditions tout au long de la vie du traitement, et pouvoir le démontrer.

2. La chaîne d’information vous engage. Ici, ce sont des pharmacies qui n’informaient pas les patients — et c’est le responsable du traitement qui a été sanctionné. Chaque maillon qui collecte pour vous doit informer les personnes ; c’est à vous de le vérifier.

3. Qualifier avant de traiter. Anonyme, pseudonyme, responsable de traitement, sous-traitant : ces qualifications décident du régime applicable. Les poser correctement, au départ, évite la quasi-totalité des mauvaises surprises.

C’est précisément le travail que je mène auprès des structures de santé : qualifier les données et les rôles sans approximation, sécuriser les entrepôts et les flux cliniques, et vérifier que l’information des personnes est réellement assurée sur toute la chaîne.

Source : CNIL, « Données de santé : sanction de 5 millions d’euros à l’encontre de la société IQVIA » (cnil.fr, 26 mai 2026). Cet article a une visée informative et ne constitue pas un avis juridique individualisé.