La société Iqvia Opérations France a été sanctionnée d’une amende de 5 millions d’euros, notamment pour non-respect des garanties visant à limiter les risques pour les personnes dans le cadre de la gestion d’entrepôts de données de santé.La société Iqvia Opérations France, filiale du groupe Iqvia, exerce une activité de conseil et de réalisation d’études, pour son propre compte ou pour le compte de laboratoires pharmaceutiques.
A la suite de la diffusion en mai 2021 d’un reportage réalisé par le magazine « Cash Investigation », la Commission nationale de l’informatique et des libertés (Cnil) a été saisie de plusieurs plaintes, de particuliers et d’associations, faisant notamment état du manque de transparence des traitements mis en œuvre à l’égard des patients. La Cnil a dès lors mené plusieurs contrôles, tant auprès de la société que de pharmacies partenaires.
Les constatations effectuées lors de ces contrôles ont montré que les données figurant dans les entrepôts LRX et EMR n’étaient pas anonymes, mais seulement pseudonymes, la réidentification des personnes concernées étant possible, avec des moyens raisonnables.Iqvia collectait de très nombreuses données sur les personnes concernées, telles que l’année de naissance, le sexe, des informations relatives au médecin consulté et aux prescriptions délivrées, ainsi que, pour l’entrepôt EMR, la situation matrimoniale, le nombre d’enfants, la catégorie socio-professionnelle et diverses informations liées à la santé (diagnostic posé, symptômes, allergies, poids, taille, pouls, vaccins, examens ou encore arrêts de travail).Dans chaque entrepôt, ces données étaient reliées à un identifiant unique pour chaque patient, permettant de suivre son parcours de soin.
La formation restreinte a considéré que le risque que l’identité d’une personne puisse être retrouvée était trop élevé pour que les données traitées par la société soient considérées comme anonymes.
En conséquence, par une délibération SAN-2026-008 du 26 mai 2026, la formation restreinte a prononcé une amende de 5 millions d’euros à l’encontre de la société Iqvia Opérations France au regard de la gravité des manquements relevés, qui concernent des données de santé, donc des données sensibles, du nombre élevé de personnes concernées (plusieurs dizaines de millions), de la position de la société sur le marché et de ses capacités financières. 
La Cnil a également prononcé des injonctions de prendre des mesures permettant de mettre fin à certains manquements dans un délai de six mois, sous peine de 10.000 € par jour de retard.
SUR LE MEME SUJET : CJUE : notion de « données personnelles » pour un transfert de données pseudonymisées à des tiers – Legalnews, 25 septembre 2025