Données de santé : la Cnil inflige une amende de 5 millions d'euros au cabinet Iqvia

La sanction est tombée. La Cnil a prononcé une amende de cinq millions d'euros à l'encontre d’Iqvia France. Pour rappel, la société exerce une activité de conseil et réalise des études sur des traitements. Pour procéder à ces études, elle s'appuie sur deux entrepôts de données de santé que la Cnil l'autorise à constituer. L'un alimenté par des données collectées auprès d'environ 14 000 pharmacies et l'autre par des données collectées auprès de plusieurs milliers de médecins.

La Cnil avait exigé un certain nombre de garanties pour limiter les risques pour les personnes et respecter leurs droits, les données de santé étant jugées sensibles. À la suite de la diffusion d'un reportage Cash Investigation en mai 2021, la Cnil avait été saisie de plusieurs plaintes, de particuliers et d'associations, dénonçant un manque de transparence dans le traitement des données des patients.

À l'issue de plusieurs contrôles menés par la Cnil, elle a considéré que "la société n'avait pas respecté les termes des autorisations délivrées, s'agissant notamment de l'information des personnes, de l'exercice de leurs droits et de la sécurité des données", selon le communiqué, consulté par l’AFP. 

Injonction de prendre des mesures 

Le montant de la sanction a été fixé "au regard de la gravité des manquements relevés, qui concernent des données de santé, donc des données sensibles, du nombre élevé de personnes concernées (plusieurs dizaines de millions), de la position de la société sur le marché et de ses capacités financières", précise la Cnil.

Le gendarme de la vie privée en France a également prononcé "des injonctions de prendre des mesures permettant de mettre fin à certains manquements dans un délai de six mois, sous peine de 10.000 euros par jour de retard".
Dans un communiqué, Iqvia France a pris acte de cette décision et se réserve le droit de faire appel. "Les mesures de sécurité identifiées ont été mises en place et nous restons engagés à renforcer en continu notre dispositif de sécurité et de gouvernance", a réagi la société, citée par l’AFP.

"Toutes les données de santé utilisées pour nos études statistiques sont pseudonymisées via des tiers de confiance et des processus de chiffrement robustes. Ainsi, elles ne contiennent pas l'identité des personnes afin de respecter leur anonymat", conclut-elle. 

[Avec AFP]