Une sanction majeure contre le traitement illégal de données médicales
En septembre 2024, l'autorité italienne de protection des données a prononcé une amende administrative de 7 millions d'euros contre IQVIA Solutions Italy S.r.l., filiale d'un groupe multinational spécialisé dans l'analyse de données de santé et la recherche clinique. Cette décision illustre la rigueur croissante des régulateurs européens face aux violations du RGPD, particulièrement dans le secteur sensible des données médicales.
L'enquête a porté sur une base de données contenant les informations de santé d'environ un million de patients issus de 800 médecins généralistes, utilisée pour des études commanditées notamment par des laboratoires pharmaceutiques. Les inspections menées en avril 2025 ont révélé des manquements graves aux principes fondamentaux du Règlement général sur la protection des données.
À retenir :
- IQVIA a traité des données de santé sans base légale appropriée et sans information adéquate des patients
- Les données n'étaient pas réellement anonymisées malgré les affirmations de l'entreprise
- Absence de document d'analyse d'impact sur la protection des données (AIPD)
- Défaillances majeures en matière de sécurité et de retention des données
Les données n'étaient pas anonymisées : un risque de réidentification majeur
L'un des éléments centraux de la décision concerne le statut prétendu « anonyme » des données. IQVIA affirmait traiter des données anonymisées, ce qui aurait permis une utilisation sans consentement préalable. Or, l'enquête a démontré que cette affirmation était fausse.
Chaque patient était associé à un identifiant persistant permettant un suivi dans le temps. Combiné à des informations détaillées incluant l'année de naissance, le sexe, les diagnostics, les symptômes, les prescriptions, les examens, les vaccinations et les données de localisation, cet identifiant rendait possible la réidentification des individus par des moyens raisonnablement disponibles.
De plus, la base contenait directement les données d'identification d'environ 3 370 patients, dont 3 080 avec des informations de santé. Cette situation constitue une violation directe de l'article 9 du RGPD relatif au traitement des données sensibles, et notamment des données de santé.
La différence entre anonymisation et pseudonymisation
Ce cas souligne une confusion fréquente entre anonymisation et pseudonymisation. L'anonymisation véritable supprime toute possibilité de réidentification, tandis que la pseudonymisation (utilisation d'identifiants) maintient cette possibilité. Selon les lignes directrices du Comité européen de la protection des données, une donnée n'est anonyme que si la réidentification est impossible par tous les moyens raisonnablement disponibles.
Absence de base légale et manquements informationnels
IQVIA a traité les données de santé sans justifier d'une base légale appropriée au titre du RGPD. L'article 5 impose que tout traitement soit licite, loyal et transparent. Dans ce contexte, aucune base légale valide n'a pu être établie : le consentement n'avait pas été recueilli, et aucune autre base légale (obligation légale, mission d'intérêt public, etc.) ne s'appliquait.
Parallèlement, les patients n'avaient pas reçu les informations obligatoires prévues par l'article 13 du RGPD : identité du responsable du traitement, finalités du traitement, durée de conservation, droits des personnes, etc. Cette carence informationnelle prive les patients de la transparence qui devrait caractériser tout traitement de leurs données.
Défaillances en matière de sécurité et de gouvernance des données
L'autorité italienne a également relevé plusieurs manquements critiques :
- Absence d'analyse d'impact sur la protection des données (AIPD) : L'article 35 du RGPD impose une AIPD préalable pour les traitements présentant des risques élevés, notamment ceux portant sur des données de santé à grande échelle. IQVIA n'avait pas effectué cette analyse.
- Mesures de sécurité inadéquates : Aucune mesure technique ou organisationnelle suffisante n'avait été mise en place pour protéger les données contre les accès non autorisés.
- Absence de délais de conservation définis : Les données étaient conservées sans période de rétention clairement établie.
- Défaillance du modèle responsable/sous-traitant : Les médecins généralistes n'avaient pas été formellement désignés comme sous-traitants au sens de l'article 28, créant une confusion dans les responsabilités.
Les principes de privacy by design ignorés
L'article 25 du RGPD impose la mise en œuvre de la protection des données dès la conception (privacy by design) et par défaut. IQVIA n'avait intégré aucune mesure de protection à la conception de son système. Une véritable approche privacy by design aurait impliqué :
- Une anonymisation véritable dès la collecte, ou un consentement explicite
- La limitation de la collecte aux seules données nécessaires
- Le chiffrement des données sensibles
- La mise en place de contrôles d'accès stricts
- L'audit régulier du traitement
Les conditions imposées pour poursuivre le traitement
L'autorité italienne n'a pas ordonné l'arrêt complet du traitement, mais a imposé des conditions strictes pour toute continuation. IQVIA dispose de 120 jours pour se conformer au RGPD :
- Identifier une base légale appropriée (probablement le consentement explicite des patients)
- Respecter pleinement les obligations d'information envers les patients
- Réaliser une analyse d'impact complète sur la protection des données
- Désigner formellement les médecins généralistes comme sous-traitants avec contrats appropriés
Alternativement, IQVIA peut procéder à une anonymisation véritable et indépendante, effectuée directement par les médecins généralistes selon les safeguards définis par l'autorité italienne.
Implications pour les entreprises du secteur de la santé et de la recherche
Cette décision envoie un message clair aux organisations travaillant avec des données de santé. Le secteur médical et pharmaceutique doit repenser ses modèles de traitement des données. Les enjeux sont majeurs : données sensibles, populations vulnérables, enjeux de recherche scientifique et d'innovation thérapeutique.
Les entreprises doivent désormais :
- Vérifier l'authenticité de l'anonymisation de leurs données
- Documenter scrupuleusement chaque base légale
- Mettre en place une gouvernance claire des rôles (responsable du traitement vs. sous-traitants)
- Réaliser des AIPD robustes avant tout nouveau traitement
- Établir des politiques de rétention explicites
Questions fréquentes
Pourquoi l'anonymisation d'IQVIA n'était-elle pas valide ?
Parce que les patients pouvaient être réidentifiés en combinant l'identifiant persistant avec d'autres informations (année de naissance, sexe, localisation, etc.). Selon le RGPD, une donnée anonyme doit être irréversiblement impossible à lier à une personne par tous les moyens raisonnablement disponibles.
Qu'est-ce qu'une analyse d'impact sur la protection des données (AIPD) ?
C'est un document obligatoire (article 35 du RGPD) pour les traitements à haut risque. Elle évalue les risques pour les droits et libertés des personnes, et les mesures pour les atténuer. Elle est essentielle avant de traiter des données de santé à grande échelle.
Peut-on traiter des données de santé sans consentement ?
Exceptionnellement oui, si une autre base légale s'applique (obligation légale, intérêt public légitime, etc.). Mais dans ce cas, l'article 13 impose une information complète et transparente des personnes concernées.
Vers une conformité renforcée au RGPD dans le secteur de la santé
Cette sanction de 7 millions d'euros illustre l'engagement des autorités de protection des données à défendre les droits des citoyens européens. Le secteur de la santé, particulièrement sensible, fait l'objet d'une surveillance accrue. Les entreprises qui traitent des données médicales doivent adopter une approche proactive : audit de conformité, mise à jour des contrats de sous-traitance, formation des équipes, et surtout, une culture de respect de la vie privée intégrée dès la conception des systèmes. Le RGPD n'est pas un obstacle à l'innovation, mais un cadre garantissant que les bénéfices de la recherche ne se font pas au détriment des droits fondamentaux.