Données de santé : l’anonymisation dans le viseur des autorités

Le dossier italien concernait une base alimentée par les dossiers médicaux d’environ un million de patients suivis par 800 médecins généralistes. IQVIA Solutions Italy, spécialisée dans l’analyse des données de santé et la recherche clinique, l’exploitait pour réaliser des études destinées à ses clients, notamment des laboratoires pharmaceutiques.

Pourquoi les données de santé utilisées dans le cadre de ces études ont été qualifiées de données à caractère personnel, alors que des mesures d’anonymisation avaient été mises en place? La décision italienne apporte une réponse très concrète : supprimer les noms ne suffit pas lorsque la richesse de l’historique médical et les possibilités de recoupement permettent encore de réidentifier les patients. Elle rappelle aussi que les responsabilités se déterminent dès la collecte.

Comment les données des patients étaient réutilisées

Des médecins généralistes avaient accepté de contribuer à la base d’IQVIA en lui transmettant certaines données de leurs patients. Ces données provenaient des dossiers qu’ils renseignaient dans leur logiciel médical dans le cadre des soins. Un module installé dans ce logiciel extrayait certaines données destinées à IQVIA à des fins d’études. Avant leur envoi, ce logiciel devait supprimer les éléments directement identifiants, comme les noms. Les données d’un même patient restaient toutefois associées à un code.

IQVIA centralisait ensuite ces informations dans une base. Grâce au code patient, elle pouvait reconstituer un historique médical et suivre, dans la durée, les diagnostics, traitements et examens. La base comportait également des données de localisation. Cette base servait à réaliser les études commandées par ses clients, notamment des laboratoires pharmaceutiques, qui recevaient des rapports présentant des résultats agrégés, c’est-à-dire des statistiques établies à partir des données de plusieurs patients.

Des données présentées comme anonymes qui restent personnelles

L’autorité italienne a engagé une enquête sur ce dispositif à la suite de contrôles réalisés auprès d’IQVIA. La procédure relative à une violation de données personnelles notifiée par la société a ensuite été jointe à cette instruction.

Au cours de cette procédure, IQVIA contestait l’application du RGPD aux données reçues, qu’elle considérait comme anonymes. À l’appui de sa position, elle invoquait l’arrêt de la Cour de justice de l’Union européenne (CJUE) du 4 septembre 2025[3]. La Cour y admet que des données pseudonymisées puissent ne pas être personnelles pour un destinataire lorsque les mesures appliquées l’empêchent effectivement d’identifier les personnes.

Selon l’autorité italienne, le code patient et la richesse des informations accumulées au fil du suivi médical permettaient d’isoler les personnes et de les réidentifier par des moyens raisonnables. Le suivi dans le temps, qui faisait l’intérêt de la base pour les études, contribuait ainsi au risque de réidentification. Cette capacité suffit, selon l’autorité, sans qu’une intention de réidentifier les patients soit à démontrer.

Une responsabilité dès la collecte pour les médecins

L’autorité a retenu qu’IQVIA déterminait les finalités et les moyens de la collecte et de l’opération présentée comme une anonymisation. La société était donc responsable du traitement, même si de telles activités de traitement se déroulaient dans les logiciels des médecins.

L’autorité a rappelé que l’anonymisation constitue, elle-même, un traitement de données personnelles soumis au RGPD. La perspective d’exploiter ensuite des données anonymes ne dispense donc pas de justifier la licéité des opérations qui permettent de les produire. Elle a également reproché à IQVIA de ne pas avoir désigné les médecins comme sous-traitants pour les opérations réalisées pour son compte. Cette qualification concerne, selon l’autorité, leur intervention dans ce dispositif, distincte de leur activité de soins.

Des manquements qui dépassent l’anonymisation

Le traitement de données de santé à caractère personnel suppose de disposer d’une base légale au titre de l’article 6 du RGPD et de satisfaire à l’une des exceptions prévues à l’article 9. Selon l’autorité, ces conditions n’étaient pas réunies. Le contrat avec les médecins ne pouvait justifier le traitement sur le fondement de l’exécution d’un contrat auquel les patients n’étaient pas parties. IQVIA n’établissait pas davantage l’existence d’un consentement explicite des patients ou d’une autre exception applicable au titre de l’article 9.

L’autorité a également relevé une information insuffisante des patients, une analyse d’impact non achevée et des carences dans la maîtrise des durées de conservation et la suppression des données. Les défauts de contrôle ont aussi conduit à retenir des manquements à la sécurité, à la protection des données dès la conception et à l’obligation de démontrer la conformité des traitements.

Au-delà de l’amende, IQVIA doit, si elle entend poursuivre l’activité selon le dispositif examiné, le mettre en conformité et rendre compte des mesures prises dans les 120 jours suivant la notification.  L’autorité prévoit également une alternative pour IQVIA : recevoir des données préalablement anonymisées par les médecins, sous leur propre responsabilité, grâce à des mesures techniques empêchant la société de réidentifier les patients par des moyens raisonnables.

Sécuriser toute la chaîne de réutilisation

Pour les établissements de santé, les DSI et les éditeurs, cette décision invite à vérifier ce que recouvre concrètement la promesse de données « anonymes » : qui organise leur extraction, quels recoupements restent possibles et quels contrôles permettent de détecter des informations identifiantes, notamment dans les champs libres ?

Les contrats doivent refléter les rôles effectivement exercés, et l’efficacité des mesures techniques être vérifiée tout au long du circuit. Le projet de lignes directrices 02/2026 du CEPD et son guide pratique apportent des repères pour mener cette analyse[4].