AgentPublic/cnil huggingface dataset:
190. La formation restreinte relève dès lors que, malgré l’existence de solutions techniques permettant d’assurer l’effectivité de la prise en compte du droit d’opposition des personnes dont les données figurent au sein de l’entrepôt LRX, la société n’a pas adopté de procédure adaptée permettant d’assurer la levée du pseudonymat et la bonne réidentification des personnes concernées, comme l’exigeait l’autorisation. 
191. Au regard de l’ensemble de ces éléments, la formation restreinte considère qu’en ne respectant pas les termes de l’autorisation délivrée par la CNIL, la société a commis un manquement à l’article 66 de la loi Informatique et Libertés. 
c. Sur la sécurité et la confidentialité des données 
- Sur les règles d’authentification 
192. La délibération n° 2021-015 du 4 février 2021 prévoit que " l’ensemble des comptes administrateurs et utilisateurs qui seront dûment habilités à accéder aux données non agrégées du Hub EMR et de l’entrepôt EMR fera l’objet d’une authentification forte (identifiant et mot de passe couplés à un token générant un mot de passe à usage unique) ". 
193. Le rapporteur relève que, contrairement aux préconisations de l’autorisation, aucun mécanisme d’authentification forte ou multifacteur n’est mis en place s’agissant de l’accès à l’entrepôt EMR. Il considère que, dans ces conditions, un manquement à l’article 66 de la loi Informatique et Libertés est caractérisé.
194. En défense, la société indique qu’une authentification forte est bien mise en œuvre au niveau du Hub EMR, plateforme ayant pour objet de collecter les données provenant des logiciels médecin afin d’effectuer une ultime pseudonymisation. S’agissant de l’entrepôt EMR, elle précise que l’authentification double facteur est en cours de déploiement, en vue d’être effective pour la fin de l’année 2025. 
195. La formation restreinte relève que l’autorisation délivrée par la CNIL exige expressément la mise en place d’un mécanisme d’authentification forte (identifiant et mot de passe couplés à un token générant un mot de passe à usage unique) pour l’ensemble des comptes habilités à accéder non seulement au Hub EMR, mais également à l’entrepôt. Cette exigence apparait substantielle, au regard de la sensibilité des données traitées ainsi que de leur volume. 
196. Or, il ressort des constatations réalisées par la délégation que les personnes habilitées à accéder à l’entrepôt EMR s’authentifiaient, au jour des contrôles, uniquement à l’aide d’un identifiant et d’un mot de passe. Aucun token (jeton individuel de connexion) générant un mot de passe à usage unique, comme demandé par l’autorisation, ni aucun autre mécanisme d’authentification forte ou multifacteur ne venait compléter l’authentification par mot de passe.
197. Dans ces conditions, faute d’avoir mis en œuvre un mécanisme d’authentification forte pour accéder à l’entrepôt EMR, la société n’a pas respecté les termes de l’autorisation et a commis un manquement à l’article 66 de la loi Informatique et Libertés. 
198. La formation restreinte prend acte que la société a indiqué, par courrier transmis à la CNIL le 24 mars 2026, que l’accès aux entrepôts LRX et EMR faisait désormais l’objet d’une authentification multifacteur, un jeton à usage unique étant attribué à l’utilisateur lors de chaque connexion.
199. La formation restreinte prend acte de la mise en place de cette authentification multifacteur et, donc, de la mise en conformité de la société sur ce point. 
- Sur le cloisonnement réseau 
200. La délibération n° 2021-015 du 4 février 2021 prévoit que " le système sera cloisonné : les accès aux données de l’entrepôt EMR interviennent dans une zone spécifique du réseau d’IQVIA Opérations France, les gestionnaires de panels de médecins n’auront pas accès aux données patients, et les analystes et attachés de recherche clinique autorisés et habilités qui auront accès aux données des patients n’auront pas accès à l’identifiant d’origine du médecin ". 
201. Le point 136 de la présente délibération rappelle l’importance d’un tel cloisonnement.
202. Le rapporteur considère qu’un manquement à l’article 66 de la loi Informatique et Libertés est caractérisé dès lors que, contrairement à ce que prévoit l’autorisation délivrée par la CNIL, aucun cloisonnement du réseau ne limite l’accès à la base de données de l’entrepôt EMR. Il relève que, comme pour l’entrepôt LRX, cette absence de cloisonnement facilite une attaque par rebond, susceptible d’être menée depuis d’autres ordinateurs de l’entreprise, qui pourrait contourner le mécanisme d’authentification du serveur. 
203. En défense, la société conteste le manquement et indique avoir mis en place un " cloisonnement logique ", les gestionnaires de panels de médecins n’ayant pas accès aux données patients et les personnes accédant à l’entrepôt EMR ne pouvant pas accéder à la base du panel. Elle considère que cette mesure permet de garantir la sécurité et de respecter l’autorisation délivrée par la CNIL. Elle relève en outre que cette pratique correspond aux engagements pris dans le cadre de la demande d’autorisation. Enfin, elle insiste sur le fait qu’elle a mis en place des mesures complémentaires permettant de réduire considérablement la possibilité d’une attaque par rebond (défense en profondeur, principe du moindre privilège, procédure SIEM).
204. La formation restreinte relève que l’autorisation délivrée par la CNIL est rédigée en des termes particulièrement clairs, puisqu’elle exige que le système soit cloisonné et que " les accès aux données de l’entrepôt EMR interviennent dans une zone spécifique du réseau d’IQVIA Opérations France ". Cette référence à une " zone spécifique du réseau " implique ainsi, contrairement à ce que soutient la société, que c’est bien sur le réseau lui-même que doit porter le cloisonnement (entraînant la création de sous-réseaux). Or, la formation restreinte relève que la société ne conteste pas l’absence de cloisonnement " physique " du réseau, tel que constaté par la délégation.
205. Si le " cloisonnement logique " dont se prévaut la société, et qui consiste à mettre en œuvre des accès différenciés en fonction des profils d’utilisateurs (les gestionnaires de panels de médecins n’ayant pas accès aux données patients, et les analystes et attachés de recherche clinique autorisés et habilités ayant accès aux données des patients n’ayant de leur côté pas accès à l’identifiant d’origine du médecin) constitue une mesure de sécurité essentielle, la formation restreinte rappelle que celle-ci offre des garanties différentes, et complémentaires, du cloisonnement réseau. Ce dernier vise en effet à protéger l’ensemble de l’infrastructure hébergeant l’entrepôt, tandis que les accès différenciés ont uniquement pour objet de limiter au strict nécessaire les catégories de données accessibles aux différents utilisateurs. 
206. Dès lors, la société ne peut soutenir que les mesures qu’elle nomme " cloisonnement logique " permettent de satisfaire aux exigences de l’autorisation. 
207. La formation restreinte considère qu’en s’abstenant de mettre en œuvre un cloisonnement du réseau sur lequel se trouveraient les données de l’entrepôt EMR, la société n’a pas respecté les termes de l’autorisation que lui a délivrée la CNIL. Dans ces conditions, un manquement à l’article 66 de la loi Informatique et Libertés apparait constitué.
208. La formation restreinte note toutefois que, par courrier transmis à la CNIL le 24 mars 2026, la société a indiqué que l’entrepôt EMR avait été déplacé dans une enclave sécurisée, sur un domaine séparé du domaine IQVIA, impliquant une authentification à double facteur en plus d’une connexion sur le réseau IQVIA depuis une machine enrôlée. 
209. La formation restreinte prend acte de la mise en place de ces mesures et de la mise en conformité de la société sur ce point. 
- Sur la traçabilité des accès 
210. La délibération n° 2021-015 du 4 février 2021 prévoit que " les accès à l’entrepôt seront tracés et les traces seront conservées en lecture seule pendant une durée de six mois puis seront supprimées. Les exports seront journalisés et surveillés pour repérer les cas d’utilisation ou d’exportation anormales de données depuis les serveurs de la société IQVIA Opérations France. À cet égard, la Commission recommande de mettre en œuvre une analyse automatique des données exportées. La Commission prend acte du déploiement d’un système permettant de tracer l’ensemble des actions sur l’entrepôt, d’exporter l’ensemble des traces vers un collecteur sécurisé et de les analyser automatiquement afin de générer un tableau de bord et des alertes à destination de l’équipe d’exploitation de la plateforme et du comité de gouvernance des données ".
211. Les points 147 à 150 de la présente délibération rappellent l’importance des mesures de journalisation et de l’exploitation des traces.
212. Le rapporteur relève que, comme pour l’entrepôt LRX, et contrairement aux exigences figurant dans l’autorisation EMR, la société ne procède à aucune exploitation des journaux, seule à même de permettre la détection d’éventuels comportements anormaux, et qu’elle ne respecte ainsi pas les termes de l’autorisation délivrée. Il considère dès lors qu’un manquement à l’article 66 de la loi Informatique et Libertés est caractérisé. 
213. En défense, la société se prévaut, comme pour l’entrepôt LRX, de la mise en place du système SIEM, lequel permet selon elle de détecter d’éventuels comportements anormaux ou mésusages des données, ainsi que du contrôle mensuel via lequel elle vérifie que seules les personnes habilitées se connectent à la base de données. 
214. La formation restreinte relève qu’à l’instar de l’autorisation LRX, l’autorisation EMR est parfaitement claire sur ce qui est exigé de la société et qu’elle prévoit en outre que l’analyse des traces sera réalisée de manière automatique. Elle relève également que, tant lors du contrôle que dans le cadre de ses observations écrites, la société a fourni les mêmes informations et fait valoir les mêmes arguments que ceux invoqués s’agissant de l’entrepôt LRX.
215. La formation restreinte considère dès lors que, pour les mêmes raisons que celles exposées aux points 153 à 157 de la présente délibération, en ne mettant pas en place un dispositif permettant une analyse régulière des journaux, la société n’a pas respecté les termes de l’autorisation, ce qui constitue un manquement à l’article 66. 
216. La formation restreinte note toutefois que, par courrier transmis à la CNIL le 24 mars 2026, la société a indiqué que des mesures de journalisation avaient été mises en œuvre afin de tracer l’ensemble des actions effectuées sur les données stockées dans les entrepôts LRX et EMR, via les fonctionnalités dites " d’audit trail " permettant la journalisation de toute action effectuée sur les données via des requêtes SQL. En complément, des alertes automatiques ont été mises en place afin d’informer les équipes support de toute activité suspecte sur les données. 
217. La formation restreinte prend acte de la mise en place de ces mesures et, donc, de la mise en conformité de la société sur ce point. 
D. Sur le manquement à l’article 14 du RGPD s’agissant de l’entrepôt LRX
218. En droit, l’article 14 du RGPD, qui s’applique lorsque des données à caractère personnel ne sont pas collectées directement auprès de la personne concernée, impose au responsable de traitement de fournir à cette dernière différentes informations relatives notamment à son identité et à ses coordonnées, aux coordonnées du délégué à la protection des données, aux finalités du traitement mis en œuvre, à sa base juridique, aux catégories de données traitées, aux destinataires ou aux catégories de destinataires de ces données ainsi qu’à son éventuelle intention d’effectuer un transfert de données vers un pays tiers. En outre, la réglementation impose, pour garantir " un traitement équitable et transparent " des données à caractère personnel, d’informer la personne sur la durée de conservation des données ou, lorsque ce n’est pas possible, les critères utilisés pour déterminer cette durée, l’existence des différents droits dont bénéficient la personne, le droit d’introduire une réclamation auprès d’une autorité de contrôle, la source dont proviennent ces données et, le cas échéant, une mention indiquant qu'elles sont issues ou non de sources accessibles au public ainsi que l’existence d’une prise de décision automatisée, y compris un profilage et en pareils cas, des informations utiles concernant la logique sous-jacente, ainsi que l’importance et les conséquences prévues de ce traitement pour la personne concernée.
219. Cette obligation d’information, que l’article 14 du RGPD fait peser sur le responsable de traitement, permet notamment que les données soient traitées de manière transparente à l’égard des personnes concernées, comme exigé par l’article 5 du RGPD. L’information constitue ainsi un préalable indispensable à la bonne compréhension du traitement de leurs données et à l’exercice de leurs droits. 
220. La délibération n° 2018-289 du 12 septembre 2018 autorisant la société IQVIA à constituer l’entrepôt LRX prévoit, s’agissant de l’information des personnes, que " les pharmaciens d’officine seront chargés, contractuellement, d’informer individuellement leurs clients du traitement des données les concernant (…). Il est prévu que les personnes soient informées individuellement par la remise d’une notice d’information. Cette information sera complétée par un document affiché au sein de la pharmacie d’officine ou diffusé sur son site web. La Commission demande que ces mentions soient complétées afin de recouvrir l’ensemble des informations prévues aux articles 12 et 14 du règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016 ".
221. Le rapporteur relève que, si l’autorisation délivrée par la CNIL prévoit que les pharmaciens sont chargés contractuellement d’informer les personnes concernées des traitements relatifs à la constitution de l’entrepôt LRX, en leur remettant une notice d’information et en procédant à l’affichage d’un document au sein de l’officine, les contrôles réalisés auprès de quatre pharmacies parisiennes participant au panel LRX ont démontré que, dans les faits, aucune d’entre elles ne délivrait ces informations. Le rapporteur estime dès lors qu’un manquement à l’article 14 du RGPD est constitué et qu’il est imputable à la société IQVIA en sa qualité de responsable de traitement. 
222. En défense, la société conteste le manquement reproché. 
223. Dans ses premières observations en réponse, elle fait valoir que les pharmaciens sont responsables du traitement des données de leurs clients et de leur transmission à la société IQVIA. C’est pour cette raison que, selon elle, l’autorisation délivrée par la CNIL prévoit que les officines sont " en charge " d’informer leurs clients, cette obligation leur incombant en qualité de responsables de traitement. Elle estime pour sa part avoir respecté les termes de l’autorisation en concluant des contrats avec les pharmaciens, prévoyant que ces derniers seraient chargés de délivrer l’information. Elle relève en outre n’avoir aucun contact avec les personnes concernées.
224. Par ailleurs, la société met en avant la très faible proportion de pharmacies contrôlées (quatre sur un nombre total de 10 000 pharmacies participant au panel LRX), ne permettant pas, selon elle, d’établir que la totalité des pharmacies ne procèdent pas à l’information des personnes. Enfin, la société se prévaut des nombreuses actions de communication mises en place (campagnes de rappel par courrier postal et électronique, communications réalisées dans le cadre d’événements professionnels réunissant des pharmaciens, mise en place d’un portail de transparence et d’un QR code permettant d’accéder à l’information, etc.). Elle indique avoir adressé un courrier à la CNIL, en mai 2021, faisant état de ces actions de communication, courrier auquel elle n’a jamais obtenu de réponse.
225. Dans ses secondes observations, la société ajoute que l’autorisation délivrée par la CNIL n’exige pas que la société IQVIA aille vérifier sur place que les pharmacies procèdent à l’affichage de la notice d’information, et que par ailleurs le RGPD ne fait aucunement référence à une telle obligation. Dans la mesure où les pharmacies ne sont ni les sous-traitantes, ni les préposées de la société IQVIA, il n’existe à son sens aucune disposition qui mettrait à sa charge une obligation de les " auditer ". La société considère que lui imposer une telle obligation serait contraire au principe constitutionnel de légalité des délits et des peines, mais également contraire au principe de personnalité de la responsabilité pénale, puisqu’elle consisterait à sanctionner la société IQVIA du fait de la défaillance d’un tiers. 
226. Enfin, la société estime que le manquement qui lui est reproché au titre de l’article 14 du RGPD se confond avec celui à l’article 66 de la loi Informatique et Libertés concernant les études réalisées à partir de l’entrepôt LRX, dans la mesure où il s’agit selon elle d’un même grief, relatif à l’absence d’information des personnes concernées.
227. La formation restreinte relève qu’en l’espèce, il ressort de l’instruction que quatre officines participant au panel LRX ont fait l’objet d’un contrôle de la part des services de la Commission, les 24 septembre, 29 octobre et 26 novembre 2021. Ces contrôles ont permis d’établir, d’une part, que sur ces quatre officines, aucune ne communiquait à ses clients la notice d’information individuelle élaborée par la société IQVIA et que, d’autre part, aucune notice d’information générale n’était affichée au sein de ces officines concernant les traitements mis en œuvre par la société. 
228. La formation restreinte rappelle que les traitements visés par la délibération n° 2018-289, et en cause dans le cadre de la présente procédure, sont ceux relatifs à la constitution de l’entrepôt LRX, dont la société est responsable, comme démontré aux points 54 à 63 de la présente délibération. 
229. Il lui appartient donc, en tant que responsable de traitement, de s’assurer du respect des obligations qui lui sont imposées par le RGPD, parmi lesquelles celle d’informer les personnes dont les données figurent au sein de l’entrepôt des traitements mis en œuvre, en application de l’article 14 du RGPD.
230. A cet égard, si l’autorisation prévoit que les pharmaciens sont chargés d’informer leurs clients du traitement des données les concernant, la formation restreinte relève, d’une part, que le traitement dont il est question et dont les personnes doivent être informées est bien celui mis en œuvre par la société IQVIA, comme en témoigne la notice d’information élaborée par cette société et qui mentionne notamment que " les données collectées par IQVIA sont traitées sur la base légale de l’intérêt légitime d’IQVIA (et de l’autorisation délivrée par la CNIL, telle que mentionnée ci-dessus), en sa qualité de responsable de traitement ". Cette notice mentionne également l’adresse électronique du délégué à la protection des données d’IQVIA, l’adresse du site web de la société et son adresse postale.
231. D’autre part, la formation restreinte remarque qu’en prévoyant que les pharmaciens seraient chargés de procéder à l’information des patients pour le compte d’IQVIA, la Commission s’est contentée de prendre acte des modalités de délivrance de cette information, proposées par la société dans le cadre de sa demande d’autorisation. Elle n’a en revanche pas entendu exonérer la société des obligations qui lui incombent en tant que responsable de traitement, ni faire peser ces obligations sur les pharmaciens, ce qui ne serait d’ailleurs juridiquement pas possible au regard des dispositions de l’article 14 du RGPD (et ce nonobstant leur éventuelle responsabilité contractuelle, ou leur responsabilité à l’égard d’autres traitements). 
232. Ainsi, la formation restreinte considère que, quel que soit le canal par lequel l’information est délivrée, c’est bien à la société IQVIA que cette obligation d’information incombe, en raison de sa qualité de responsable du traitement et en application des dispositions de l’article 14 du RGPD (la collecte étant, en l’espèce, indirecte), et c’est donc sur elle que pèse le risque d’une sanction en cas de non-respect de cette obligation. 
233. Par ailleurs, la formation restreinte entend souligner les conséquences de cette absence d'information sur les personnes concernées, qui voient leurs données de santé traitées à leur insu et qui se trouvent, de facto, dans l’impossibilité d’exercer leurs droits.
234. En revanche, s’agissant du périmètre du manquement, la formation restreinte relève que les contrôles opérés ont porté sur quatre officines, et qu’il convient dès lors de circonscrire le manquement aux personnes dont les données ont été collectées par l’intermédiaire de ces pharmacies.
235. Il ressort de l’ensemble de ces éléments qu’un manquement à l’article 14 du RGPD apparait caractérisé, s’agissant des personnes dont les données ont été collectées par l’intermédiaire des quatre pharmacies ayant fait l’objet de contrôles.
236. La formation restreinte entend préciser que l’argument de la société relatif à la prétendue confusion de ce manquement avec celui à l’article 66 de la loi Informatique et Libertés concernant les études réalisées par la société à partir de l’entrepôt LRX sera examiné au point 255 de la présente délibération. 
E. Sur le manquement à l’article 66 de la loi Informatique et Libertés s’agissant des études réalisées à partir de l’entrepôt LRX 
237. En droit, comme rappelé au point 115 de la présente délibération, l’article 66 de la loi Informatique et Libertés prévoit que les traitements de données à caractère personnel dans le domaine de la santé ne peuvent être mis en œuvre qu’après autorisation de la CNIL ou à la condition d’être conformes à un référentiel mentionné au II de cet article et ce, au regard de l’intérêt public qu’ils présentent.
238. Le rapporteur relève que les études que la société IQVIA réalise, pour son propre compte, à partir des données figurant dans l’entrepôt LRX, ne font l’objet d’aucune autorisation de la Commission et ne sont pas non plus conformes à l’un des référentiels visés à l’article 66 précité, faute d’information préalable et individuelle des patients. Il estime dès lors qu’un manquement à ces dispositions est caractérisé. 
239. En défense, la société indique que, pour réaliser les études en cause, elle se fonde sur la déclaration de conformité à la méthodologie de référence MR-004 déposée auprès de la CNIL le 31 juillet 2018. Elle considère que l’information des personnes est correctement effectuée et qu’elle peut donc se prévaloir de cette méthodologie. 
240. La formation restreinte relève qu’il ressort de l’instruction que la société IQVIA réalise, pour son propre compte, des études à partir des données de l’entrepôt LRX. Ces études, relatives à l’analyse de la prise en charge des patients traités pour diverses pathologies, constituent des traitements concernant la santé des personnes et sont, à ce titre, soumis aux dispositions de l’article 66 de la loi Informatique et Libertés. Il convient dès lors de déterminer si ces traitements pouvaient valablement être mis en œuvre, soit parce qu’ils bénéficiaient d’une autorisation de la Commission, soit en raison de leur conformité à une méthodologie de référence.