Sanction récente de la CNIL sur les données de santé : quelles leçons ?

Analyse des Sanctions de la CNIL dans le Secteur de la Santé

La protection des données de santé est un enjeu majeur, surtout avec l’augmentation des traitements numériques. Récemment, la Commission Nationale de l’Informatique et des Libertés (CNIL) a infligé une amende significative à la société Iqvia, soulignant l’importance du respect des réglementations en matière de données personnelles.

Contexte de la Sanction

Le 26 mai 2026, la CNIL a sanctionné Iqvia Operations France d’une amende de 5 millions d’euros pour divers manquements aux obligations du Règlement général sur la protection des données (RGPD). Cette entreprise, qui se positionne comme un leader mondial dans le domaine de la recherche clinique, avait été autorisée à créer deux entrepôts de données de santé, à savoir le Longitudinal prescription data (LRX) et les Electronic medical records (EMR). Cependant, des plaintes, notamment suite à un reportage de « Cash Investigation », ont conduit à un contrôle approfondi de ses pratiques.

Responsabilité du Traitement des Données

Un des points clés soulevés par la CNIL concerne la responsabilité du traitement des données. Iqvia a tenté de faire valoir que les pharmaciens et médecins étaient responsables de la communication des données de leurs patients. Toutefois, la CNIL a rappelé que, en tant que responsable de traitement, Iqvia devait assumer la responsabilité des données collectées et traitées. Cette décision met en lumière l’importance d’une qualification précise des rôles des acteurs impliqués dans le traitement des données.

Nature des Données et Pseudonymisation

La CNIL a également abordé la question de la nature des données contenues dans les entrepôts. Suite à un arrêt de la Cour de justice de l’Union européenne (CJUE), Iqvia a tenté de contester la qualification de certaines données comme étant personnelles. Cependant, la CNIL a souligné que même des données pseudonymisées peuvent être considérées comme personnelles si elles permettent d’identifier des individus, surtout lorsque des moyens simples peuvent être utilisés pour réidentifier ces personnes.

Non-Respect des Autorisations

Un autre manquement significatif relevé par la CNIL concerne le non-respect des termes des autorisations accordées. Iqvia n’a pas respecté les mesures de sécurité exigées et n’a pas correctement informé les patients sur le traitement de leurs données. La CNIL a insisté sur le fait que la responsabilité d’informer les patients incombe à l’entreprise, même si cette tâche est déléguée à des partenaires comme les pharmacies.

Conclusion

Cette affaire souligne l’importance cruciale de la conformité aux réglementations sur la protection des données, en particulier dans le secteur de la santé. Les entreprises doivent non seulement documenter leurs pratiques, mais également s’assurer d’une mise en œuvre effective des mesures de sécurité et d’information. La vigilance est de mise pour éviter des sanctions similaires à l’avenir. Pour plus d’informations sur la protection des données, vous pouvez consulter le site de la CNIL.