L'autorité italienne de protection des données a sanctionné la société IQVIA pour avoir constitué une base de données de santé à partir d'informations prétendument anonymisées, jugeant que la persistance d'un code patient et la richesse des informations permettaient en réalité une ré-identification.

Faits et contexte

L'autorité italienne de protection des données (Garante) a aujourd'hui publié une décision de sanction à l'encontre de IQVIA Solutions Italy S.r.l. comprenant le prononcé d'une amende de 7 000 000 € pour des manquements liés à la constitution d'une base de données de santé prétendument anonymisée.

L'affaire trouve son origine dans une enquête initiée suite à des inspections menées en avril 2025, à laquelle a été joint un signalement de violation de données par la société elle-même, concernant une base de données contenant les informations d'un million de patients provenant de 800 médecins généralistes.

Motifs de la décision

L'autorité a estimé que la société devait être qualifiée de responsable du traitement dès la collecte des données auprès des médecins et a relevé plusieurs violations :

• Obligation de licéité du traitement (articles 6 et 9 du RGPD) : L'autorité a rejeté l'argument de la société selon lequel les données étaient anonymes. Elle a constaté que le code associé à chaque patient permettait de le suivre dans le temps. Ce suivi longitudinal, combiné à un ensemble très détaillé d'informations (année de naissance, sexe, diagnostics, prescriptions, examens, etc.), rendait possible d'isoler des individus et de les ré-identifier avec des moyens raisonnables. Par conséquent, la société traitait des données de santé à caractère personnel sans disposer d'une base juridique valable.

• Obligation d'information (article 14 du RGPD) : Les patients, dont les données étaient collectées indirectement via leurs médecins, n'avaient pas été correctement informés du traitement réalisé par la société à des fins d'études, notamment pour des entreprises pharmaceutiques.

• Obligation de limitation de la conservation (article 5 du RGPD) : La société n'avait défini aucune durée de conservation pour les données collectées, dont certaines remontaient jusqu'à l'année 2001, en violation du principe de limitation de la conservation.

• Obligation de réaliser une analyse d'impact (article 35 du RGPD) : Compte tenu de la nature des données traitées (santé) et de l'échelle du traitement (un million de personnes), une analyse d'impact relative à la protection des données aurait dû être effectuée avant de commencer les opérations, ce qui n'a pas été fait.

• Obligation de sécurité (article 32 du RGPD) : L'autorité a jugé que les mesures de sécurité étaient inadéquates, ce qui a été corroboré par la présence non intentionnelle de données directement identifiantes (noms, codes fiscaux, adresses) pour plus de 3 300 patients dans la base de données.

Décision de l'autorité

En conséquence, l'autorité a imposé une amende de 7 000 000 € à IQVIA Solutions Italy S.r.l.

En outre, l'autorité a ordonné à la société de mettre ses traitements en conformité dans un délai de 120 jours si elle souhaite poursuivre son activité. À défaut, l'anonymisation devra être effectuée directement par les médecins, selon les garanties prescrites par l'autorité.

Enseignements

Cette décision rappelle que :

• Des données pseudonymisées, même sans identifiants directs, ne sont pas considérées comme anonymes si un code persistant permet de suivre un individu dans le temps et que la richesse des informations collectées rend sa ré-identification possible par des moyens raisonnables.

• Une entité qui collecte des données auprès de tiers (ici, des médecins) et en détermine les finalités et les moyens pour ses propres études est qualifiée de responsable du traitement dès la collecte, et non de simple sous-traitant.

• La constitution d'une base de données à grande échelle contenant des données de santé détaillées impose systématiquement la réalisation d'une analyse d'impact relative à la protection des données avant le début du traitement.