AgentPublic/cnil huggingface dataset:
149. S’agissant des modalités d’analyse des journaux d’événements, leur caractère manuel ou automatique a pu être pris en compte par la Commission dans le cadre de demandes d’autorisation ou de référentiels. Ainsi, à titre d’éclairage, le référentiel relatif à la création d’entrepôts de données dans le domaine de la santé, publié en octobre 2021, prévoit qu’en matière de journalisation, " un contrôle des traces doit être réalisé régulièrement et a minima bimestriellement, ainsi qu’à la fin de chaque période d’habilitation liée à un projet de recherche. Ce contrôle doit être réalisé par une solution réalisant une surveillance automatique avec une remontée d’alertes traitées manuellement par un opérateur habilité, ou par un contrôle semi-automatique via exécution de programmes permettant une sélection des traces anormales, suivi d’une relecture manuelle par un opérateur habilité ".
150. Enfin, la CNIL précise, sur son site web, que le système de journalisation doit concerner non seulement les anomalies et événements liés à la sécurité (traces techniques ou " système "), mais également les activités métier des utilisateurs (traces applicatives) et les interventions techniques (y compris par les administrateurs) (https://www.cnil.fr/fr/securite-tracer-les-operations).
151. Le rapporteur relève que, contrairement aux exigences figurant dans l’autorisation, il ressort des constatations de la délégation de contrôle que la société ne met en œuvre aucune analyse des journaux de connexion permettant de retracer les opérations de consultation, création, modification et suppression réalisées au sein de l’entrepôt. Il considère en effet que si le système de gestion des informations et des événements de sécurité mis en place permet de détecter des anomalies techniques, aucune surveillance n’est opérée s’agissant des activités métier. 
152. La société estime quant à elle avoir respecté les termes de l’autorisation délivrée par la CNIL en se dotant d’un système permettant de détecter d’éventuels comportements anormaux ou mésusages des données (SIEM). Elle précise en outre avoir mis en place un contrôle mensuel afin de vérifier que seules les personnes habilitées se connectent à la base de données LRX. Elle estime enfin que la délibération n° 2021-122 du 14 octobre 2021 relative à l’adoption d’une recommandation relative à la journalisation n’est pas susceptible de lui être opposée, dans la mesure où les contrôles réalisés sont antérieurs.
153. A titre liminaire, la formation restreinte rappelle d’abord que, si certaines recommandations auxquelles se réfère le rapporteur dans ses écritures, et qui sont reprises dans la présente délibération, sont postérieures aux opérations de contrôle, ces recommandations n’ont pas pour objet d’établir le manquement en cause (qui ne peut reposer que sur l’absence de respect de l’autorisation délivrée par la CNIL et sur le non-respect des obligations résultant du RGPD et de la loi Informatique et Libertés), mais d’expliquer l’importance et le caractère substantiel des exigences posées par l’autorisation. 
154. Ensuite, la formation restreinte relève que l’autorisation délivrée à la société IQVIA prévoit, de manière explicite, qu’une analyse régulière des traces doit être effectuée. Cette exigence tient au fait qu’une telle analyse apparait indispensable pour identifier un accès frauduleux aux données traitées ou une utilisation abusive de celles-ci.
155. La délégation a été informée lors du contrôle que l’ensemble des requêtes effectuées sur l’entrepôt LRX était journalisé et stocké dans une base de données dédiée, afin d’en faciliter l’exploitation. La société a précisé que l’exploitation de ces journaux était manuelle, aucun mécanisme automatique d’exploitation n’étant mis en œuvre (par exemple, il n’y a pas de déclenchement d’alerte automatique après franchissement de seuil, par exemple en fonction du nombre de requêtes réalisées ou du volume de données affichées), et qu’au jour du contrôle, les journaux n’avaient été " exploités qu’aux fins de détection d’anomalies liées à l’exploitation des données " et qu’" aucune investigation n’avait été menée visant à détecter un usage anormal de ces données ". 
156. Si la société indique, dans ses observations en défense, avoir mis en place un système permettant de détecter d’éventuels comportements anormaux ou mésusages des données (SIEM), la formation restreinte relève qu’il résulte de la documentation relative à cette procédure, ainsi que des déclarations de la société elle-même, que celle-ci permet seulement de détecter des anomalies techniques. En outre, le " contrôle mensuel " évoqué par la société a pour objet, selon elle, de vérifier que " seules les personnes habilitées à accéder à la base de données de l’entrepôt LRX sont bien celles qui se connectent effectivement à cette base ".
157. Ces mesures, dont la pertinence n’est pas remise en cause, ne permettent toutefois pas d’analyser les " connexions à l’application ainsi que les opérations de consultation, création, modification et suppression " au sein de l’entrepôt, comme pourtant exigé par l’autorisation. Il est en effet nécessaire, comme rappelé précédemment, de surveiller également les activités métier, afin de pouvoir détecter des requêtes illégitimes réalisées par une personne pourtant habilitée à accéder à l’entrepôt. Par exemple, un salarié de la société IQVIA, habilité à accéder aux données, pourrait aisément avoir connaissance de l’intégralité (ou de la quasi-intégralité) du parcours de soin de l’un de ses proches, en disposant initialement de très peu d’informations. 
158. Au regard de l’ensemble de ces éléments, la formation restreinte considère qu’en ne mettant pas en place un dispositif permettant une analyse régulière des journaux, la société n’a pas respecté les termes de l’autorisation, ce qui constitue un manquement à l’article 66 de la loi Informatique et Libertés.
159. La formation restreinte relève toutefois que, par courrier transmis à la CNIL le 24 mars 2026, la société a indiqué que des mesures de journalisation avaient été mises en œuvre afin de tracer l’ensemble des actions effectuées sur les données stockées dans les entrepôts LRX et EMR, via les fonctionnalités dites " d’audit trail " permettant la journalisation de toute action effectuée sur les données via des requêtes SQL. En complément, des alertes automatiques ont été mises en place afin d’informer les équipes support de toute activité suspecte sur les données. 
160. La formation restreinte prend acte de la mise en place de ces mesures et, donc, de la mise en conformité de la société sur ce point. 
4. Sur l’entrepôt EMR 
a. Sur l’information des patients
161. L’article 14 du RGPD prévoit que, lorsque les données à caractère personnel n'ont pas été collectées auprès de la personne concernée, le responsable du traitement fournit à celle-ci un certain nombre d’informations, permettant de garantir un traitement équitable et transparent de ses données. Parmi ces informations figurent celles relatives à " la durée pendant laquelle les données à caractère personnel seront conservées ou, lorsque ce n'est pas possible, les critères utilisés pour déterminer cette durée ".
162. La délibération n° 2021-015 du 4 février 2021 prévoit que " les personnes concernées devront être individuellement informées du traitement et que les différents supports d’information devront comporter l’ensemble des mentions prévues par les dispositions du RGPD ". Elle détaille, pour chaque flux, les modalités de délivrance de cette information.
163. S’agissant du flux DA, l’autorisation précise que " la société IQVIA Opérations France remettra à chaque médecin partenaire alimentant le flux de données DA des notices d’information imprimées à communiquer à chaque patient. Cette information vient en sus de l’information générale qui sera affichée par les médecins dans leurs locaux, fournie également par IQVIA Opérations France et qui mettra en avant la possibilité pour les personnes concernées d’exercer leur droit d’opposition. Un QR Code ainsi qu’un lien renvoyant vers un site web permettant à chaque patient d’accéder, avant la consultation, à une note d’information sur leur téléphone mobile seront affichés sur ces posters ".
164. S’agissant du flux [Z+], elle indique : " la Commission prend acte qu’IQVIA Opérations France, n’ayant pas de contact direct avec les professionnels transmettant des données dans le cadre du flux [Z+], a transmis à [Z] une note d’information à destination des patients. Il appartient à [Z] de transmettre l’information aux professionnels de santé afin de garantir que les patients soient correctement informés préalablement au traitement de données qui les concernent, conformément à l’article 14 du RGPD ". 
165. Comme précisé expressément par l’autorisation, ces précisions ont notamment pour objet d’assurer le respect des dispositions de l’article 14 du RGPD susvisé. 
166. À cet égard, l’autorisation délivrée par la CNIL prévoit que les données de l’entrepôt EMR " seront conservées en base active pendant une durée de dix ans. Au-delà, les données seront anonymisées ou supprimées. À cet égard, la Commission prend acte que cette opération fera l’objet d’une automatisation. La Commission considère que cette durée de conservation des données n’excède pas la durée nécessaire aux finalités pour lesquelles elles sont collectées et traitées, conformément aux dispositions de l’article 5-1-e du RGPD ".
167. Le rapporteur relève que la notice destinée à informer les patients des traitements mis en œuvre, tant s’agissant du flux DA que du flux [Z+], contient des informations inexactes, en ce qu’elle mentionne que les données sont conservées " pendant la durée de réalisation des études et analyses mises en œuvre par IQVIA et ses partenaires contractuels ", avant de faire l’objet d’une " procédure d’archivage sécurisée pour une durée conforme à la réglementation en vigueur ". Cette information ne correspond ni à la durée prévue par l’autorisation, ni à celle pratiquée par la société IQVIA. Il considère dès lors qu’un manquement à l’article 66 de la loi Informatique et Libertés est constitué. 
168. En défense, la société fait valoir que la notice d’information est la même que celle qu’elle avait soumise à la CNIL à l’appui de sa demande d’autorisation et qu’elle n’a fait l’objet d’aucune remarque, critique ou demande de modification par les services. Elle considère dès lors que cette notice doit être considérée comme conforme. En outre, la société relève que l’autorisation délivrée, pourtant détaillée quant à l’information des personnes, ne comporte aucune précision sur les durées de conservation. 
169. La formation restreinte renvoie, s’agissant de la distinction entre demande d’autorisation et autorisation elle-même, aux développements figurant aux points 121 à 125 de la présente délibération.
170. Elle relève qu’en matière d’information des personnes, la délibération n° 2021-015 est rédigée en des termes extrêmement clairs, puisqu’elle prévoit que " les différents supports d’information devront comporter l’ensemble des mentions prévues par les dispositions du RGPD ". Parmi ces mentions figure expressément la durée de conservation des données ou, lorsque ce n’est pas possible, les critères utilisés pour déterminer cette durée. 
171. La formation restreinte note qu’en l’espèce, les notices élaborées par la société IQVIA et destinées à assurer l’information des patients (s’agissant tant du flux [Z+] que du flux DA) sont rédigées sous forme de questions réponses. A la question " Combien de temps vos données sont-elles conservées ? ", la notice indique : " Vos données sont conservées pendant la durée de réalisation des études et analyses mises en œuvre par IQVIA et ses partenaires contractuels. Elles feront ensuite l’objet d’une procédure d’archivage sécurisée pour une durée conforme à la réglementation en vigueur ".
172. Or, la formation restreinte relève que l’autorisation délivrée prévoit, non pas que les données sont conservées " pendant la durée de réalisation des études et analyses mises en œuvre par IQVIA et ses partenaires contractuels ", mais qu’elles sont conservées en base active pendant une durée de dix ans, puis anonymisées ou supprimées. La société a confirmé à la délégation que les données de l’entrepôt EMR étaient bien conservées pendant une durée de dix ans (non encore atteinte au moment du contrôle). 
173. Il apparait dès lors que l’information délivrée aux patients est inexacte, en ce que la durée mentionnée dans les notices d’information des patients délivrées par la société IQVIA ne correspond pas à celle prévue par l’autorisation, que la société indique mettre en œuvre. 
174. La formation restreinte rappelle que la délivrance d’une information complète et exacte aux personnes concernées est essentielle, en ce qu’elle seule permet à ces dernières d’avoir conscience que leurs données de santé sont versées et conservées dans des entrepôts privés de recherche pendant une durée relativement longue, et de leur permettre ainsi d’exercer leurs droits si elles le souhaitent, notamment leur droit d’opposition.
175. Compte tenu de l’ensemble de ces éléments, la formation restreinte considère qu’en délivrant une information inexacte aux personnes dont les données viennent enrichir l’entrepôt EMR, la société n’a pas respecté les termes de l’autorisation délivrée, et a dès lors commis un manquement aux dispositions de l’article 66 de la loi Informatique et Libertés. 
b. Sur l’exercice des droits 
176. L’article 21, paragraphe 1 du RGPD, dispose que " la personne concernée a le droit de s'opposer à tout moment, pour des raisons tenant à sa situation particulière, à un traitement des données à caractère personnel la concernant fondé sur l'article 6, paragraphe 1, point e) ou f), y compris un profilage fondé sur ces dispositions. Le responsable du traitement ne traite plus les données à caractère personnel, à moins qu'il ne démontre qu'il existe des motifs légitimes et impérieux pour le traitement qui prévalent sur les intérêts et les droits et libertés de la personne concernée, ou pour la constatation, l'exercice ou la défense de droits en justice ".
177. L’article 17, paragraphe 1 du RGPD prévoit quant à lui que " la personne concernée a le droit d'obtenir du responsable du traitement l'effacement, dans les meilleurs délais, de données à caractère personnel la concernant et le responsable du traitement a l'obligation d'effacer ces données à caractère personnel dans les meilleurs délais, lorsque […] c) la personne concernée s'oppose au traitement en vertu de l'article 21, paragraphe 1, et il n'existe pas de motif légitime impérieux pour le traitement, ou la personne concernée s'oppose au traitement en vertu de l'article 21, paragraphe 2 […] ".
178. Afin d’assurer le respect de ces dispositions, la délibération n° 2021-015 du 4 février 2021 mentionne, s’agissant du flux DA : " la Commission prend acte que les droits d’accès, de rectification et d’opposition du patient s’exerceront auprès du médecin utilisant le logiciel métier et participant à la prise en charge de la personne concernée ou du médecin hébergeur de la société IQVIA. À cet égard, elle relève que le médecin peut matérialiser l’opposition du patient au traitement de ses données dans l’entrepôt au moyen d’une case à cocher. La Commission rappelle donc qu’une procédure opérationnelle sécurisée doit être mise en place afin d’assurer la levée du pseudonymat et la bonne ré-identification des personnes concernées dans le respect de la confidentialité des données traitées. À cette fin, elle rappelle que des mesures similaires à celles prévues pour l’exercice des droits dans le cadre du traitement IQVIA Oncologie (délibération n° 2017-347 du 21 décembre 2017) pourraient être mises en place ".
179. Le rapporteur relève que, si la société a bien mis en place des mesures permettant aux patients de s’opposer, a priori, au traitement de leurs données par la société IQVIA, il en va différemment s’agissant des données d’ores et déjà collectées. Il considère en effet que, contrairement à ce que prévoit l’autorisation, la société n’a prévu aucun mécanisme permettant la levée du pseudonymat et la réidentification effective des personnes concernées, pour permettre la prise en compte de leur droit d’opposition à la fourniture d’informations complémentaires. Il estime que, dans ces conditions, un manquement à l’article 66 de la loi Informatique et Libertés est caractérisé. 
180. En défense, la société fait valoir, premièrement, que ses pratiques correspondent aux engagements pris dans le cadre de sa demande d’autorisation, le dossier ayant toujours clairement précisé que, concernant les données déjà collectées et pseudonymisées, la prise en compte du droit d’opposition et du droit à l’effacement apparaissait techniquement impossible. Dans la mesure où aucune remarque ni critique n’a été formulée sur ce point pendant l’instruction de sa demande, elle considère qu’aucun manquement ne peut lui être reproché.
181. Deuxièmement, la société rappelle que toute la conception de l’entrepôt EMR repose sur l’opacité de l’identité du patient pour IQVIA, cette réidentification n’étant pas nécessaire aux finalités du traitement. Elle cite à cet égard le considérant 57 du RGPD, qui prévoit que " si les données à caractère personnel qu’il traite ne lui permettent pas d’identifier une personne physique, le responsable du traitement ne devrait pas être tenu d’obtenir des informations supplémentaires pour identifier la personne concernée à la seule fin de respecter les dispositions du présent règlement. Toutefois, le responsable du traitement ne devrait pas refuser des informations supplémentaires fournies par la personne concernée afin de faciliter l’exercice de ces droits ".
182. Troisièmement, dans le cadre de ses deuxièmes observations en réponse, la société indique avoir bien mis en place une procédure opérationnelle sécurisée pour assurer la levée du pseudonymat et la bonne réidentification du patient, comme l’exigeait l’autorisation, en permettant au patient de lui transmettre des informations complémentaires destinées à l’identifier. Elle relève ainsi que l’autorisation ne fait référence à aucune technologie particulière ou à aucun outil spécifique pour parvenir à cette réidentification (contrairement à l’autorisation LRX, qui prévoit le recours à un code-barre). Elle insiste sur le fait que ces éléments figuraient dans la demande d’autorisation déposée.
183. La formation restreinte rappelle qu’en application de l’article 21 du RGPD, le droit d’opposition doit pouvoir être exercé à tout moment. La personne concernée doit ainsi avoir la possibilité de s’opposer au traitement de ses données a priori, avant même qu’elles soient collectées, mais également a posteriori, l’exercice du droit d’opposition ayant pour conséquence, sauf circonstances particulières, que " (l)e responsable du traitement ne traite plus les données à caractère personnel ". 
184. En l’espèce, il ressort des éléments du dossier que la société met à disposition des médecins un équipement informatique disposant d’une fonctionnalité permettant la gestion des droits des patients. Ces derniers peuvent ainsi s’opposer, au moment de la consultation, à ce que leurs données viennent nourrir l’entrepôt EMR.
185. Si ces mesures permettent d’assurer l’effectivité de la prise en compte du droit d’opposition a priori (avant que les données ne parviennent jusqu’à l’entrepôt EMR), la formation restreinte relève que la société a indiqué lors du contrôle que, lorsqu’un patient souhaite s’opposer au traitement des données figurant déjà dans l’entrepôt, il doit adresser sa demande à la déléguée à la protection des données européenne du groupe IQVIA. La société a précisé que cette demande devait contenir suffisamment d’informations (date et heure du rendez-vous, contenu de la prescription) pour qu’elle puisse tenter de réidentifier le patient. Cette réidentification n’est en outre possible que si les données fournies ne correspondent qu’à un seul patient. La société a également précisé que, dans la mesure où il n’existe aucun chaînage entre les différents cabinets et que les patients disposent d’un identifiant différent pour chaque praticien consulté, la personne souhaitant s’opposer au traitement de ses données doit fournir les informations précédemment mentionnées pour chacun des médecins concernés.
186. La formation restreinte observe en outre que la notice d’information élaborée par la société IQVIA à destination des patients mentionne que, si ces derniers disposent du droit de s’opposer au traitement de leurs données " à tout moment ", " ce droit ne sera effectif que pour les données saisies par votre médecin après votre opposition. En effet, les données déjà traitées ne comportant pas votre identité, comme indiqué ci-dessus, IQVIA ne sera pas en mesure de procéder à leur suppression […] IQVIA a mis en place des mesures de sécurité renforcées (pseudonymisation et minimisation des données) visant à garantir la protection de votre vie privée suivant une approche de " Protection des données par défaut " conforme aux exigences du RGPD. Les mesures de sécurité renforcées mises en place ne permettant pas à IQVIA de vous identifier, elles rendent donc techniquement impossible l’exercice de vos droits. Néanmoins, si vous le souhaitez, vous avez la possibilité de transmettre à IQVIA des informations complémentaires qui pourraient l’aider à vous identifier, le cas échéant, afin de permettre l’exercice de vos droits ".
187. Comme le souligne la société, la délibération n° 2021-015 n’impose le recours à aucune technologie particulière. Néanmoins, la formation restreinte considère que la procédure mise en place par la société, décrite ci-dessus, ne saurait être considérée comme " une procédure opérationnelle sécurisée [permettant] d'assurer la levée du pseudonymat et la bonne ré-identification des personnes concernées dans le respect de la confidentialité des données traitées " en cas d’exercice du droit d’opposition. En effet, celle-ci est trop complexe et hypothétique, dans la mesure où elle consiste à conditionner la prise en compte du droit d’opposition du patient à la fourniture d’informations complémentaires, qui plus est particulièrement détaillées et dont la personne ne dispose pas ou plus nécessairement (date et heure du rendez-vous, contenu de la prescription) et qui, comme le précise la société, n’est susceptible d’aboutir que si les informations communiquées ne correspondent qu’à un seul patient. .
188. La formation restreinte relève que, si le considérant 57 du RGPD prévoit que le responsable de traitement qui traite des données ne lui permettant pas d’identifier une personne physique ne devrait pas être tenu d’obtenir des informations supplémentaires pour identifier cette personne à la seule fin de respecter les dispositions du Règlement, ce n’est justement pas ce qui est exigé en l’espèce, la Commission comme le rapporteur ayant d’ailleurs proposé à la société des solutions lui permettant d’assurer l’effectivité de la prise en compte du droit d’opposition, sans pour autant devoir collecter des données supplémentaires. 
189. Ainsi, comme indiqué par le rapporteur et à l’instar de la solution mise en place pour LRX, le module d’extraction mis à disposition des médecins aurait par exemple pu permettre la transmission d’un code d’opposition, associé uniquement à l’identifiant du patient, permettant à la société IQVIA d’être informée que les données relatives à un patient donné d’un médecin ne doivent plus être traitées (à charge pour le patient d’exercer ce droit auprès de chacun des médecins consultés).