IQVIA : la CNIL sanctionne les manquements, pas le modèle

Cinq millions d'euros pour des conditions non tenues

La délibération SAN-2026-008, rendue le 26 mai 2026 par la formation restreinte de la CNIL présidée par Philippe-Pierre Cabourdin, sanctionne IQVIA Operations France, filiale française du groupe américain IQVIA. L'amende est assortie d'injonctions de mise en conformité sous six mois, sous astreinte de 10 000 euros par jour de retard. La décision est rendue publique pour une durée de deux ans.

Les manquements retenus couvrent trois registres distincts. Le premier est le non-respect des conditions d'autorisation fixées par la CNIL elle-même pour les deux entrepôts de données de santé exploités par IQVIA : l'entrepôt LRX (Longitudinal prescription data), autorisé en 2018, alimenté par des données collectées auprès d'environ 14 000 pharmacies, et l'entrepôt EMR (Electronic medical records), autorisé en 2021, alimenté par des données issues de plusieurs milliers de médecins. Le deuxième registre concerne l'article 14 du RGPD (défaut d'information des personnes lors de la collecte indirecte) et l'article 25 (protection des données dès la conception). Le troisième est l'article 66 de la loi Informatique et Libertés : IQVIA réalisait des études pour son propre compte à partir des entrepôts, hors de tout cadre légal.

Chiffres-clés de la délibération SAN-2026-008

5 millions d'euros d'amende. 10 000 euros d'astreinte par jour de retard. Deux entrepôts visés : LRX (autorisé en 2018, environ 14 000 pharmacies) et EMR (autorisé en 2021, plusieurs milliers de médecins). Plusieurs dizaines de millions de personnes concernées. Données collectées : année de naissance, sexe, prescriptions, diagnostics, allergies, situation matrimoniale, nombre d'enfants, catégorie socio-professionnelle, arrêts de travail. Un identifiant unique par patient permettant le suivi longitudinal du parcours de soins. Procédure déclenchée par le reportage Cash Investigation de mai 2021 et les plaintes qui ont suivi.

Le montant peut paraître modeste au regard du plafond théorique du RGPD (4 % du chiffre d'affaires mondial, soit potentiellement plusieurs centaines de millions d'euros pour un groupe affichant 16,3 milliards de dollars de revenus en 2025). La portée de la décision ne tient pas au montant. Elle tient à ce qu'elle documente et à ce qu'elle tranche.

Le logiciel transmettait même en cas de refus

Le fait le plus révélateur de la délibération ne relève ni de la doctrine juridique ni de l'architecture institutionnelle. Il relève du code informatique. Lors des contrôles effectués en 2021, la CNIL a constaté que le logiciel de gestion d'officine développé pour IQVIA transmettait les données des patients à la société « même en cas de refus » du patient, et « même pour les officines ne participant pas au panel LRX ». Aucune des quatre pharmacies parisiennes contrôlées n'affichait d'information à destination des clients sur la transmission de leurs données.

Le praticien du système d'information reconnaît ici un mécanisme familier. La conformité est documentée dans les dossiers d'autorisation, dans les notices d'information théoriques, dans les procédures déclarées. Mais le comportement effectif du logiciel s'en écarte, et personne ne le vérifie, parce que personne n'a intérêt à regarder. Le pharmacien ne sait pas ce que le logiciel transmet. Le patient ne sait pas qu'il est concerné. Le régulateur n'intervient qu'après un signal externe (ici, un reportage télévisé). Et le responsable de traitement construit sa défense sur la présomption que ses propres procédures sont appliquées.

Ce schéma correspond précisément à ce que le juriste Frank Pasquale désigne comme la « boîte noire » (black box) dans ses travaux sur les intermédiaires de données. La métaphore, qui donne son titre à The Black Box Society (Harvard University Press, 2015), porte un double sens : la boîte noire est à la fois un dispositif de surveillance (elle enregistre tout) et un système opaque (son fonctionnement interne est inaccessible à ceux qu'elle concerne). Pour Pasquale, les courtiers de données incarnent cette dualité. Ils voient tout de leurs sujets. Leurs sujets ne voient rien de leurs opérations. Et l'opacité n'est pas un défaut du système, elle en est une propriété structurelle, parce qu'elle préserve l'asymétrie informationnelle dont dépend la valeur marchande des données.

La « boîte noire » selon Frank Pasquale

Dans The Black Box Society: The Secret Algorithms That Control Money and Information (Harvard University Press, 2015), Frank Pasquale, professeur de droit à l'université de Cornell, analyse le rôle des intermédiaires opaques dans les marchés de la donnée. La « boîte noire » désigne un système qui enregistre et exploite des informations sur les individus tout en rendant ses propres opérations invisibles à ceux qu'il concerne, aux régulateurs et parfois à ses propres partenaires. Pasquale soutient que cette opacité n'est pas accidentelle : elle est le fondement du modèle économique des courtiers de données, parce que la valeur des données dépend de l'exclusivité de leur accès. Dans le champ de la santé, il identifie les courtiers pharmaceutiques comme un cas emblématique de cette logique, où la granularité des données collectées (prescriptions, diagnostics, parcours de soins) produit un pouvoir d'information que ni les patients, ni les professionnels de santé, ni parfois les autorités de régulation ne parviennent à contrebalancer.

La délibération SAN-2026-008 est, au sens strict, une tentative de forcer l'ouverture de la boîte noire. Le contrôle sur place, dans les pharmacies, est un acte d'inspection de ce que le code fait réellement, par opposition à ce que les documents déclarent. Et ce qu'il révèle (transmission malgré refus, absence d'information, études hors cadre) n'est pas un accident. C'est le fonctionnement normal d'un système dont l'opacité est la condition d'existence.

Le pseudonyme n'est plus un bouclier juridique

La portée doctrinale de la décision dépasse le cas IQVIA. IQVIA avait tenté, en s'appuyant sur l'arrêt SRB de la Cour de justice de l'Union européenne du 4 septembre 2025 (affaire C-413/23 P), de faire requalifier les données de ses entrepôts en données anonymes, donc hors du champ du RGPD. L'argument était le suivant : puisque l'arrêt SRB adopte une approche « relative » de la donnée personnelle (une même donnée peut être personnelle pour l'entité qui détient les clés de réidentification, et non personnelle pour un tiers qui ne les détient pas), les données des entrepôts, pseudonymisées, ne seraient pas des données personnelles pour les destinataires des études.

La formation restreinte a écarté cet argument sans ambiguïté. Elle a retenu que les données traitées par IQVIA n'étaient « pas anonymes, mais seulement pseudonymes, la réidentification des personnes concernées étant possible, avec des moyens raisonnables ». Trois éléments fondent cette qualification. L'existence d'un identifiant unique par patient permettant le suivi longitudinal de son parcours de soins. La profondeur exceptionnelle des données collectées pour chaque individu pseudonymisé (année de naissance, sexe, diagnostics, prescriptions, allergies, situation matrimoniale, nombre d'enfants, catégorie socio-professionnelle, arrêts de travail). Et la possibilité de croisement avec des données publiquement accessibles. La CNIL a de surcroît relevé un argument de cohérence procédurale : IQVIA avait elle-même sollicité les autorisations de la CNIL, reconnaissant implicitement qu'elle traitait des données personnelles.

Ce raisonnement ne concerne pas seulement IQVIA. Au 1er septembre 2025, le portail esante.gouv.fr recensait 125 entrepôts de données de santé autorisés par la CNIL, gérés par 102 opérateurs distincts. Tous reposent sur la même fondation technique : la pseudonymisation des données de patients avant ouverture à l'usage secondaire. Le raisonnement retenu par le régulateur vise, par construction, un trait architectural, pas une singularité du cas IQVIA. Tout opérateur détenant les clés de réidentification de données pseudonymisées est désormais exposé au même raisonnement.

La tension ne s'arrête pas aux frontières nationales. Le 19 novembre 2025, la Commission européenne a publié sa proposition de règlement « Digital Omnibus », qui propose précisément d'exclure du champ du RGPD les données pseudonymisées lorsque leur détenteur ne dispose pas des moyens de réidentification. Le comité européen de la protection des données (CEPD) et le contrôleur européen des données (EDPS) ont adopté le 11 février 2026 un avis conjoint alarmé, estimant que ces modifications iraient « au-delà d'un ajustement technique » et « réduiraient considérablement le périmètre des données protégées ». Selon un texte de compromis du Conseil qui a fuité au printemps 2026, la proposition de redéfinition de la donnée personnelle aurait été retirée.

La CNIL durcit donc sa position au moment précis où l'Europe envisage de l'assouplir. La délibération SAN-2026-008 pourrait devenir un jalon doctrinal durable ou un dernier rempart avant un changement de paradigme européen, selon l'issue des négociations sur l'Omnibus.

D'IMS Health à IQVIA : soixante-cinq ans d'infrastructure invisible

Le cas IQVIA n'est pas un accident de parcours. Il est le produit d'une trajectoire de plus de six décennies pendant lesquelles un même acteur a construit, sous des noms successifs, la principale infrastructure privée de données pharmaceutiques en France.

IMS Health, l'ancêtre direct d'IQVIA, a été fondé en 1954 aux États-Unis sous le nom d'Intercontinental Medical Statistics, avec pour activité la collecte et la revente de données sur les ventes de médicaments. L'entreprise s'est implantée en France en 1960. Sa spécialité, dès l'origine, était de compiler des informations sur les prescriptions et les ventes en pharmacie pour les revendre aux laboratoires pharmaceutiques sous forme d'études de marché. Le modèle économique n'a, dans sa structure fondamentale, jamais changé en soixante-cinq ans : collecter des données auprès des professionnels de santé, les agréger, les analyser, et vendre les résultats à l'industrie.

En 1994, le réseau Pharmastat a été créé en partenariat avec les syndicats de pharmaciens (FSPF et USPO). Il regroupe aujourd'hui plus de 60 % des pharmacies françaises et constitue le socle de la collecte de données de dispensation. Le réseau se présente comme un outil au service de la profession, permettant aux officines de comparer leurs performances. Mais il alimente simultanément les entrepôts de données d'IQVIA.

En 2016, Quintiles (société américaine de recherche clinique fondée en 1982) a fusionné avec IMS Health pour former QuintilesIMS, rebaptisée IQVIA en novembre 2017. Le groupe est aujourd'hui coté au NYSE (symbole IQV), emploie plus de 88 000 salariés et revendique l'accès à plus d'un milliard de dossiers patients à travers le monde.

Un épisode illustre la profondeur de l'encastrement entre le courtier privé et l'infrastructure publique de santé. En décembre 2019, Jean-Marc Aubert, alors directeur de la DREES (Direction de la recherche, des études, de l'évaluation et des statistiques du ministère de la Santé) et principal architecte du projet Health Data Hub lancé le même mois, a quitté le service public pour diriger la filiale française d'IQVIA. Le parcours inverse n'est pas moins significatif : avant sa nomination à la DREES, Aubert avait travaillé pour IMS Health de 2013 à 2017. Ce mouvement de va-et-vient entre l'infrastructure publique de données de santé et son principal opérateur privé n'a fait l'objet d'aucune mise en cause judiciaire, mais il a été documenté par plusieurs enquêtes journalistiques, dont le reportage de Cash Investigation qui a déclenché la procédure CNIL.

La trajectoire historique révèle ce que la sanction, par construction, ne peut pas nommer. L'entrepôt LRX n'est pas un système qui aurait débordé de son cadre d'autorisation par négligence. C'est le dernier avatar d'une infrastructure de collecte patiemment constituée sur plusieurs décennies, dont l'enracinement dans le tissu professionnel des pharmacies françaises est tel qu'il résiste aux sanctions. IQVIA a d'ailleurs indiqué « se réserver le droit d'exercer tout recours, y compris juridictionnel ».

Ce que la sanction ne nomme pas : un courtier devenu infrastructure

La CNIL sanctionne des manquements. Elle ne met pas en cause le modèle. La nuance est décisive.

La délibération SAN-2026-008 reproche à IQVIA de ne pas avoir respecté les conditions de ses autorisations, de ne pas avoir informé les personnes, de ne pas avoir rendu le droit d'opposition effectif, de ne pas avoir sécurisé ses systèmes de façon adéquate, et d'avoir réalisé des études hors cadre. Chacun de ces manquements est documenté, sourcé, et juridiquement fondé. Mais aucun ne pose la question de savoir si un courtier privé devrait disposer d'un tel accès structurel aux données de santé de la population française.

La question n'est pas abstraite. En parallèle de l'écosystème privé des courtiers (IQVIA, Cegedim, GERS), l'État français a tenté de construire sa propre infrastructure de données de santé. Le Système national des données de santé (SNDS), géré par la CNAM, et la Plateforme des données de santé (Health Data Hub), créée en 2019, avaient précisément pour vocation de centraliser et d'ouvrir les données de santé dans un cadre public. Le bilan est contrasté. Le Health Data Hub, hébergé sur Microsoft Azure, a été critiqué pour sa dépendance à un cloud américain. La Cour des comptes, dans son rapport de novembre 2025 sur le FTAP, a relevé un retour sur investissement effondré : le ROI initialement estimé à 54 millions d'euros avait été révisé « à peine à 500 000 euros ».

Le paradoxe est là. L'État peine à bâtir une infrastructure souveraine de données de santé pendant qu'un courtier américain en agrège des dizaines de millions via les pharmacies. La sanction CNIL corrige des manquements opérationnels sans modifier ce rapport de force structurel. Pasquale décrirait cette situation comme l'ouverture partielle d'une boîte noire : on voit désormais ce qu'il y a à l'intérieur (le logiciel qui transmet malgré le refus, l'absence d'information, les études non autorisées), mais le dispositif de collecte lui-même reste en place, autorisé, opérationnel, et largement invisible pour les patients concernés.

La sanction Cegedim Santé du 5 septembre 2024 (800 000 euros), confirmée par le Conseil d'État le 13 février 2026, avait déjà posé le même raisonnement pseudonyme/anonyme sur un cas structurellement similaire. La sanction IQVIA le confirme à une échelle supérieure. Le signal envoyé aux 102 opérateurs d'entrepôts autorisés est clair sur les manquements. Il reste silencieux sur l'architecture de marché qui produit ces manquements.

Hypothèse : la doctrine CNIL entre jalon et sursis

La délibération SAN-2026-008 établit, dans un cadre répressif et pour un entrepôt de grande dimension, que les données pseudonymisées restent des données personnelles pour l'entité qui détient les clés de réidentification. Cette position est cohérente avec la jurisprudence convergente du Conseil d'État et s'inscrit dans le prolongement de l'arrêt SRB de la CJUE.

Mais la solidité de cette doctrine dépend d'un paramètre que la CNIL ne maîtrise pas. Le règlement Digital Omnibus, proposé par la Commission européenne le 19 novembre 2025, envisageait initialement d'exclure du RGPD les données pseudonymisées pour les entités ne disposant pas des moyens de réidentification, et de confier à la Commission le pouvoir de préciser, par actes d'exécution, les critères de qualification. Si cette disposition était adoptée dans sa version initiale, elle ne contredirait pas directement la position de SAN-2026-008 (qui vise le détenteur des clés, pas le tiers sans moyens), mais elle créerait un cadre européen plus permissif pour la circulation des données pseudonymisées, affaiblissant la portée systémique de la doctrine CNIL. Des indications suggèrent que le Conseil aurait retiré cette proposition de redéfinition dans son texte de compromis, sans que cette information soit confirmée dans un document officiel publié.

L'hypothèse testable est la suivante. Si les lignes directrices EDPB 01/2025 sur la pseudonymisation, dont la consultation publique s'est close fin 2025, confirment dans leur version finale la position « relative » stricte (pseudonymisé = personnel pour le détenteur des clés), la doctrine de SAN-2026-008 deviendra le standard européen de facto pour les entrepôts de données de santé. Si au contraire l'Omnibus est adopté avec une clause déléguant à la Commission la qualification des pseudonymes, la doctrine CNIL risque de devenir une position nationale isolée.

L'indicateur observable est double : la publication des lignes directrices finales EDPB 01/2025 sur la pseudonymisation (attendue au plus tôt au second semestre 2027, soit douze à dix-huit mois après la clôture de la consultation), et le texte final du Digital Omnibus tel qu'adopté par le Parlement européen et le Conseil. L'horizon de vérification est de dix-huit mois (fin 2027).

---

Note méthodologique

Cet article repose principalement sur le communiqué de la CNIL du 28 mai 2026, sur la délibération SAN-2026-008 telle que publiée sur Légifrance, et sur la couverture de presse spécialisée (Dastra, Solutions Numériques, Le Monde du Droit, DataGuidance, ActuIA). Le texte intégral de la délibération sur Légifrance n'a pu être lu au-delà des visas et des premiers points de procédure dans le cadre de cette rédaction, les motifs détaillés provenant du communiqué CNIL et de la presse juridique spécialisée recoupée. Une divergence de source existe sur le montant de l'astreinte : 10 000 euros par jour selon le communiqué officiel de la CNIL et la délibération Légifrance (chiffre retenu dans l'article), 50 000 euros par jour selon leto.legal (non retenu). Le départ de Jean-Marc Aubert de la DREES vers IQVIA en décembre 2019 est documenté par Wikipedia (fr), Cash Investigation (2021) et plusieurs articles de presse, mais l'article ne lui attribue aucune mise en cause au-delà du constat factuel du mouvement de personnel. L'information selon laquelle le Conseil de l'UE aurait retiré la clause de redéfinition de la donnée personnelle dans son texte de compromis sur l'Omnibus provient d'un article DSIH du 19 mai 2026 citant un texte « qui a fuité », et n'a pas pu être confirmée dans un document officiel publié. Le choix de Frank Pasquale comme concept central s'explique par l'adéquation directe entre la notion de « boîte noire » et la structure du cas (un intermédiaire opaque collectant des données à grande échelle via des logiciels dont le comportement réel échappe à tous les acteurs de la chaîne, y compris au régulateur jusqu'au contrôle sur place). D'autres cadres auraient pu éclairer le cas, notamment la sociologie de la régulation de Jean-Daniel Reynaud (la sanction comme moment de production de règles par le régulateur) ou la théorie de la capture régulatoire de George Stigler (le régulé qui définit les termes techniques de sa propre régulation). Ces pistes ont été écartées au profit de Pasquale parce que la « boîte noire » nomme la structure matérielle du problème (l'opacité du logiciel, de la collecte, du modèle économique), pas seulement sa dynamique institutionnelle.

---

Sources

Sources primaires institutionnelles

CNIL, « Données de santé : sanction de 5 millions d'euros à l'encontre de la société IQVIA », communiqué du 28 mai 2026. https://www.cnil.fr/fr/donnees-sante-sanction-5-millions-iqvia

CNIL, délibération SAN-2026-008 du 26 mai 2026, Légifrance. https://www.legifrance.gouv.fr/cnil/id/CNILTEXT000054136834

CNIL, « Health data: fine of 5 million euros against IQVIA », version anglaise du communiqué. https://www.cnil.fr/en/health-data-fine-5-million-euros-against-iqvia

CJUE, arrêt du 4 septembre 2025, CEPD c. CRU, affaire C-413/23 P.

Conseil d'État, 13 février 2026, n° 498626 (confirmation de la sanction Cegedim Santé).

Commission européenne, proposition de règlement « Digital Omnibus », 19 novembre 2025.

Avis et positions institutionnelles

CEPD et EDPS, avis conjoint sur la proposition Digital Omnibus, 11 février 2026. Synthèse dans Banque des Territoires : https://www.banquedesterritoires.fr/pour-les-regulateurs-europeens-des-donnees-le-digital-omnibus-remet-en-cause-les-fondements-du-rgpd

Cadre théorique

Frank Pasquale, The Black Box Society: The Secret Algorithms That Control Money and Information, Harvard University Press, 2015.

Frank Pasquale et Benedetta Brevini, « Revisiting the Black Box Society by rethinking the political economy of big data », Big Data & Society, 2020.

Parallèle historique

IQVIA, page France : présence en France depuis 1960. https://www.iqvia.com/fr-fr/locations/france

Pharmastat (IQVIA), page de présentation. https://pharmastat.iqvia.com/pharmastat

Wikipedia (fr), article « IQVIA ». https://fr.wikipedia.org/wiki/IQVIA

Presse spécialisée et analyses juridiques

Dastra, « IQVIA sanctionnée par la CNIL : 6 enseignements RGPD pour tous les responsables de traitement », juin 2026. https://www.dastra.eu/fr/blog/iqvia-sanctionnee-cnil-5-enseignements-responsables-traitement/60080

FYTT / Privacy Angels, « SAN-2026-008, Essentiels », juin 2026. https://www.fytt.me/san-2026-008-essentiels/

ActuIA, « The CNIL Fines IQVIA €5 Million: Pseudonymization Remains GDPR for Key Holders », juin 2026. https://www.actuia.com/en/news/the-cnil-fines-iqvia-eur5-million-pseudonymization-remains-gdpr-for-key-holders/

Solutions Numériques, « IQVIA sanctionnée à 5 millions d'euros : la CNIL durcit la gestion des données de santé », juin 2026. https://www.solutions-numeriques.com/iqvia-sanctionnee-a-5-millions-deuros-la-cnil-durcit-la-gestion-des-donnees-de-sante/

DSIH, « Omnibus et numérique en santé : objectif de simplification et résistance des autorités et des États membres », 19 mai 2026. https://dsih.fr/articles/6282/omnibus-et-numerique-en-sante-objectif-de-simplification-et-resistance-des-autorites-et-des-etats-membres

Banque des Territoires, « Digital Omnibus : la simplification des textes numériques européens suscite des réactions contrastées », 24 novembre 2025. https://www.banquedesterritoires.fr/digital-omnibus-la-simplification-des-textes-numeriques-europeens-suscite-des-reactions-contrastees

Le Monde du Droit, « Données de santé : IQVIA sanctionné par la CNIL », juin 2026. https://www.lemondedudroit.fr/pi-tic/300-protection-de-la-vie-privee/104486-donnees-de-sante-iqvia-sanctionne-par-la-cnil.html