Données de santé: la Cnil inflige une amende de 5 millions d'euros au cabinet Iqvia

La Commission nationale de l'informatique et des libertés (Cnil) a annoncé jeudi avoir prononcé une amende de cinq millions d'euros à l'encontre de la filiale française de la société américaine Iqvia pour des manquements liés à la gestion des données de santé qu'elle traite.

Iqvia France exerce une activité de conseil et réalise des études sur des maladies ou des traitements, pour son propre compte ou pour le compte de laboratoires pharmaceutiques.

Pour procéder à ces études, elle s’appuie sur deux entrepôts de données de santé que la Cnil l’a autorisée à constituer, l'un alimenté par des données collectées auprès d’environ 14.000 pharmacies et l'autre par des données collectées auprès de plusieurs milliers de médecins.

La Cnil avait exigé un certain nombre de garanties pour limiter les risques pour les personnes et respecter leurs droits, les données de santé étant jugées sensibles.

À la suite de la diffusion d’un reportage du magazine "Cash Investigation" diffusé en mai 2021, la Cnil avait été saisie de plusieurs plaintes, de particuliers et d’associations, dénonçant un manque de transparence dans le traitement des données des patients.

A l'issue de plusieurs contrôles menés par la Cnil, tant auprès de la société que de pharmacies partenaires, la Cnil a considéré que "la société n’avait pas respecté les termes des autorisations délivrées, s’agissant notamment de l’information des personnes, de l’exercice de leurs droits et de la sécurité des données", selon le communiqué.

Le montant de la sanction a été pris "au regard de la gravité des manquements relevés, qui concernent des données de santé, donc des données sensibles, du nombre élevé de personnes concernées (plusieurs dizaines de millions), de la position de la société sur le marché et de ses capacités financières", précise la Cnil.

Le gendarme de la vie privée en France a également prononcé "des injonctions de prendre des mesures permettant de mettre fin à certains manquements dans un délai de six mois, sous peine de 10.000 euros par jour de retard".

Dans un communiqué, Iqvia France a pris acte de cette décision et se réserve le droit de faire appel.

"Les mesures de sécurité identifiées ont été mises en place et nous restons engagés à renforcer en continu notre dispositif de sécurité et de gouvernance", a réagi la société.

"Toutes les données de santé utilisées pour nos études statistiques sont pseudonymisées via des tiers de confiance et des processus de chiffrement robustes. Ainsi, elles ne contiennent pas l’identité des personnes afin de respecter leur anonymat",selon elle.