Données médicales sous surveillance : 5 millions d’euros d’amende pour Iqvia France

Le gendarme français de la protection des données a infligé une lourde sanction financière à la filiale hexagonale d’Iqvia, pointant des manquements graves dans la gestion des informations de santé de plusieurs dizaines de millions de personnes.

La Commission nationale de l’informatique et des libertés a annoncé une amende de cinq millions d’euros à l’encontre d’Iqvia France, filiale du groupe américain spécialisé dans les études et le conseil pour l’industrie pharmaceutique. Cette société exploite deux vastes entrepôts de données de santé, l’un alimenté par environ quatorze mille officines et l’autre par plusieurs milliers de cabinets médicaux, dans le cadre d’autorisations délivrées par l’autorité administrative.

À la suite d’un reportage télévisé diffusé au printemps 2021, plusieurs plaintes de particuliers et d’associations avaient été déposées, dénonçant un défaut de transparence dans le traitement des informations relatives aux patients. Les contrôles menés par la Cnil, tant au siège de l’entreprise que chez des pharmaciens partenaires, ont révélé que les conditions fixées par les autorisations n’avaient pas été respectées. Les griefs portent notamment sur l’information insuffisante des personnes concernées, les difficultés rencontrées pour exercer leurs droits et des lacunes dans la sécurisation des données.

Le montant de la sanction a été fixé en fonction de la gravité des infractions, qui portent sur des données particulièrement sensibles, du volume considérable de personnes touchées, de la position dominante de l’entreprise sur son marché et de ses capacités financières. Par ailleurs, la Cnil a enjoint à Iqvia France de prendre les mesures correctives nécessaires sous six mois, sous peine d’une astreinte de dix mille euros par jour de retard.

Dans une déclaration publique, Iqvia France a pris acte de la décision tout en se réservant la possibilité de former un recours. La société a assuré que les mesures de sécurité identifiées avaient déjà été mises en œuvre et qu’elle poursuivait le renforcement de son dispositif de gouvernance. Elle a également rappelé que les données utilisées pour ses études statistiques étaient pseudonymisées par des tiers de confiance et protégées par des processus de chiffrement, garantissant selon elle l’anonymat des patients.