Sanction de 5 millions d’euros infligée à la société IQVIA par la CNIL pour manquements dans la gestion de données de santé
L'autorité française de protection des données (CNIL) a publié une décision de sanction à l'encontre de la société IQVIA OPERATIONS FRANCE, comprenant le prononcé d'une amende de 5 000 000 €, pour des manquements en lien avec la gestion d'entrepôts de données de santé. Cette affaire débute par plusieurs plaintes de particuliers et d'associations, faisant suite à la diffusion d'un reportage et signalant un manque de transparence des traitements mis en œuvre à l'égard des patients.
L’enquête menée par l’autorité a permis de constater :
* Non-respect des autorisations délivrées (article 66 de la loi Informatique et Libertés) : Les traitements mis en œuvre par la société ne respectaient pas les conditions des autorisations qui lui avaient été accordées pour la constitution de ses entrepôts de données. Des obligations de sécurité n'étaient pas respectées, comme l'absence d'analyse régulière des journaux de connexion ou l'absence d'authentification multifacteur pour un entrepôt. De plus, la notice d'information d'un des entrepôts était inexacte et aucune procédure effective ne permettait aux personnes d'exercer leur droit d'opposition. Enfin, la société a réalisé des études pour son propre compte en dehors de tout cadre légal.
* Manquement à l'obligation d'information (article 14 du RGPD) : Concernant l'entrepôt alimenté par les données de pharmacies, les contrôles ont démontré qu'aucune des pharmacies partenaires visitées n'informait ses clients de la transmission de leurs données à la société. L'autorité a rappelé qu'en tant que responsable du traitement, il incombait à IQVIA de s'assurer que cette information était bien délivrée, même si la tâche était confiée aux pharmaciens.
* Manquement à la protection des données dès la conception (article 25 du RGPD) : Il a été constaté que la conception du logiciel de gestion utilisé dans les pharmacies transmettait les données des clients à la société, y compris en cas de refus de leur part.
En conséquence, l’autorité a imposé une amende de 5 000 000 € à la société IQVIA OPERATIONS FRANCE.
En outre, l’autorité a ordonné à la société de prendre des mesures pour mettre fin à certains manquements dans un délai de six mois, sous peine d'une astreinte de 10 000 € par jour de retard.
L’enquête menée par l’autorité a permis de constater :
* Non-respect des autorisations délivrées (article 66 de la loi Informatique et Libertés) : Les traitements mis en œuvre par la société ne respectaient pas les conditions des autorisations qui lui avaient été accordées pour la constitution de ses entrepôts de données. Des obligations de sécurité n'étaient pas respectées, comme l'absence d'analyse régulière des journaux de connexion ou l'absence d'authentification multifacteur pour un entrepôt. De plus, la notice d'information d'un des entrepôts était inexacte et aucune procédure effective ne permettait aux personnes d'exercer leur droit d'opposition. Enfin, la société a réalisé des études pour son propre compte en dehors de tout cadre légal.
* Manquement à l'obligation d'information (article 14 du RGPD) : Concernant l'entrepôt alimenté par les données de pharmacies, les contrôles ont démontré qu'aucune des pharmacies partenaires visitées n'informait ses clients de la transmission de leurs données à la société. L'autorité a rappelé qu'en tant que responsable du traitement, il incombait à IQVIA de s'assurer que cette information était bien délivrée, même si la tâche était confiée aux pharmaciens.
* Manquement à la protection des données dès la conception (article 25 du RGPD) : Il a été constaté que la conception du logiciel de gestion utilisé dans les pharmacies transmettait les données des clients à la société, y compris en cas de refus de leur part.
En conséquence, l’autorité a imposé une amende de 5 000 000 € à la société IQVIA OPERATIONS FRANCE.
En outre, l’autorité a ordonné à la société de prendre des mesures pour mettre fin à certains manquements dans un délai de six mois, sous peine d'une astreinte de 10 000 € par jour de retard.
Informations complémentaires
L’analyse complète est réservée aux membres
Montant de la sanction, thèmes, secteurs, entités et données concernées : l’essai gratuit de 14 jours ouvre la fiche entière et la veille personnalisée.
Essayer gratuitement 14 jours · accès complet · sans carte bancaire