AgentPublic/cnil huggingface dataset:
281. En outre, la société fait valoir que le chiffre d’affaires mondial du groupe IQVIA ne constitue pas un critère pertinent permettant de fixer le montant de la sanction, la proportionnalité de ce montant devant selon elle s’apprécier au regard du chiffre d’affaires des produits concernés par les manquements retenus. Elle rappelle ainsi que les entrepôts LRX et EMR relèvent de la société IQVIA OPERATIONS FRANCE, unique responsable de traitement, et qu’ils ne représentent qu’une très faible part du chiffre d’affaires de cette société, ayant généré environ […] en 2022 et […] en 2023 (soit […] % du chiffre d’affaires total de la société). 
282. Elle considère également que le montant proposé par le rapporteur est injuste et disproportionné au regard d’autres sanctions prononcées par la CNIL. 
283. Elle demande ainsi à la formation restreinte de ne pas prononcer de sanction à son encontre.
284. La formation restreinte considère qu’il convient, en l’espèce, d’examiner les critères pertinents de l’article 83 du RGPD pour décider s’il y a lieu d’imposer une amende administrative à la société et, le cas échéant, pour déterminer son montant. 
1. Sur le prononcé de l’amende 
285. En premier lieu, la formation restreinte considère qu’il y a lieu de tenir compte, en application de l’article 83, paragraphe 2, g) du RGPD, des catégories de données à caractère personnel concernées par les violations.
286. Elle relève à cet égard que l’ensemble des données dont il est question dans le cadre de la présente procédure sont relatives à la santé des personnes et constituent, à ce titre, des données " sensibles " au sens de l’article 9 du RGPD, qui bénéficient d’une protection particulière et dont le traitement est particulièrement encadré. Il apparait ainsi essentiel que l’organisme autorisé à traiter de telles données se montre particulièrement vigilant au respect des règles imposées à la fois par le législateur et par l’autorité ayant délivré l’autorisation. Or, ce sont ces règles qui, en l’espèce, n’ont pas été respectées par la société, étant précisé qu’elle a été le premier acteur privé à être autorisé par la CNIL à mettre en œuvre un entrepôt de données de santé en considération de la finalité d’intérêt public présentée. La formation restreinte considère qu’elle aurait dû, à ce titre, se montrer d’autant plus irréprochable quant au respect des termes de l’autorisation délivrée.
287. La formation restreinte entend néanmoins également tenir compte du fait que les données figurant dans les entrepôts LRX et EMR étaient des données pseudonymisées, non directement identifiantes. Ainsi, et bien qu’elles restent des données " sensibles ", dont la compromission serait susceptible d’avoir un impact majeur sur les personnes concernées, les mesures prises par le responsable de traitement pour garantir que ces données ne puissent pas être attribuées à une personne précise sans avoir recours à des informations complémentaires doivent être prises en considération au stade de l’appréciation de la sanction. 
288. En deuxième lieu, la formation restreinte entend tenir compte du critère prévu à l’article 83, paragraphe 2, a) du RGPD, relatif à la nature, à la gravité et à la durée des violations, compte tenu de la nature, de la portée ou de la finalité des traitements concernés, ainsi que du nombre de personnes concernées affectées et du niveau de dommage qu'elles ont subi.
289. Elle relève tout d’abord le caractère massif des traitements mis en œuvre, lesquels affectent ou sont susceptibles d’affecter plusieurs dizaines de millions de personnes. À titre d’exemple, la société évoque, dans sa plaquette de présentation du traitement LRX à destination des pharmaciens, 20 millions de patients suivis dans le temps. S’agissant de l’entrepôt EMR, la société a indiqué que les données y figurant provenaient des patients de 2 000 médecins partenaires, alors que dans sa plaquette de présentation de l’observation Médical 21, elle évoque 3 000 médecins partenaires. Le nombre de personnes concernées apparait en tout état de cause particulièrement élevé, certains des manquements concernés affectant l’ensemble des patients dont les données sont traitées au sein des deux entrepôts, tels ceux relatifs à la sécurité et à la confidentialité des données.
290. La formation restreinte relève ensuite que les manquements en cause présentent une gravité avérée, notamment en matière d’information, le traitement de leurs données de santé ayant pu être fait sans que les personnes en aient conscience, et aient été mises à même d’exercer effectivement leurs droits. La formation restreinte rappelle à cet égard les circonstances dans lesquelles ces données sont collectées par la société, de manière indirecte, à l’occasion d’achats de médicaments dans les pharmacies ou de consultations médicales. Ainsi, non seulement les personnes concernées ne prennent pas l’initiative de transmettre leurs données à la société IQVIA, mais il doit également être souligné que le contexte de la collecte (maladie, urgence, stress) est susceptible de réduire leur vigilance en matière de protection des données. Il est dès lors d’autant plus essentiel de leur procurer une information claire et complète, leur permettant le cas échéant de pouvoir exercer les droits dont elles disposent.
291. Il en va de même des manquements relevés en matière de sécurité, le risque de violation de données étant élevé compte tenu de la nature des données en cause. L’ANSSI précise à cet égard, dans son rapport sur l’état de la menace informatique dans le secteur de la santé daté du 7 novembre 2024, que " les entités du secteur de la santé sont détentrices de données de nature variée, qui incluent des données personnelles, médicales, d’authentification, de paiement, et stratégiques [...] [qui] ont une valeur importante à la revente ". 
292. S’agissant du manquement à l’article 25 du RGPD, la formation restreinte relève que la société avait entièrement la main sur les modules d’extraction des données, développés en son nom et pour son compte par les éditeurs de LGO, et qu’elle aurait ainsi dû mettre en œuvre des mesures permettant d’assurer la protection des données dès la conception et par défaut. 
293. S’agissant enfin de l’information inexacte fournie aux patients sur la durée de conservation des données, la formation restreinte considère que le manquement est constitué mais qu’il revêt une gravité moindre. 
294. En troisième lieu, la formation restreinte entend tenir compte du critère prévu à l’article 83, paragraphe 2, b) du RGPD, relatif au fait que la violation ait été commise délibérément ou par négligence.
295. Elle considère que la multiplicité des manquements relevés témoigne d’une négligence certaine de la part de la société, alors même que les conditions posées par les autorisations délivrées par la CNIL étaient rédigées en des termes très clairs. 
296. En outre, elle estime que cette négligence revêt une particulière gravité au regard du secteur d’activité de la société et de sa position sur le marché, cette dernière se présentant comme le " leader mondial de la recherche clinique et de la donnée de santé ". Ainsi, le traitement des données de santé étant l’objet principal et historique de son activité, elle ne saurait ignorer les obligations qui lui incombent en la matière et les conditions dans lesquelles elle peut légalement exercer son activité. La formation restreinte relève en outre que la société dispose des ressources humaines, techniques et financières suffisantes pour s’assurer d’un respect scrupuleux des règles relatives à la protection des données à caractère personnel. 
297. Pour l’ensemble de ces raisons, la formation restreinte considère que le prononcé d’une amende administrative s’impose. 
2. Sur le montant de l’amende 
298. La formation restreinte relève d’abord qu’en application de l’article 83 du RGPD, une amende administrative pouvant atteindre 20 millions d'euros ou, s'agissant d'une entreprise, 4 % du chiffre d'affaires annuel mondial total de l'exercice précédent, le montant le plus élevé étant retenu, est susceptible d’être prononcée.
299. En premier lieu, la formation restreinte rappelle que, comme cela est détaillé aux points 273 à 276, pour déterminer le plafond de l’amende encourue, mais également pour s’assurer de son caractère effectif, dissuasif et proportionné, il convient de recourir à la notion d’" entreprise " en droit de la concurrence, en vertu de la référence directe et explicite opérée à cette notion par le considérant 150 du RGPD ainsi que par les lignes directrices sur l’application et la fixation des amendes administratives aux fins du règlement 2016/679. 
300. La formation restreinte relève que dans son arrêt précité du 5 décembre 2023, la CJUE rappelle qu’une entreprise est une unité économique, même si du point de vue juridique cette unité économique est constituée de plusieurs personnes morales. La CJUE précise qu’à l’instar du droit de la concurrence (Cour de Cassation, ch. com., 7 juin 2023, pourvoi n° 22-10.545 ; Autorité de la concurrence, décisions n° 21-D-10 du 3 mai 2021 et n° 21-D-28 du 9 décembre 2021), lorsqu’une filiale est détenue directement ou indirectement à 100 % par sa maison mère, " d’une part cette société mère peut exercer une influence déterminante sur le comportement de cette filiale (…) et, d’autre part, il existe une présomption réfragable selon laquelle ladite société mère exerce effectivement une influence déterminante sur le comportement de sa filiale " (CJUE, 10 septembre 2009, C-97/08, point 60).
301. Pour déterminer le montant de l’amende envisagée, et qu’il corresponde à la capacité économique réelle de son destinataire, il convient alors, si les deux sociétés peuvent matériellement être regardées comme relevant de la même unité économique, de prendre en compte le chiffre d’affaires de la maison mère afin que l’amende soit effective, proportionnée et dissuasive (CJUE, cinquième chambre, C-383/23, " Ilva A/S ", points 22 à 29).
302. En l’espèce, la formation restreinte rappelle que la société IQVIA HOLDINGS INC., dont le siège est situé aux Etats-Unis, détient à 100 % la société IQVIA OPERATIONS FRANCE. Elle considère ainsi que, conformément à la jurisprudence de la CJUE précitée, il existe une présomption selon laquelle la société IQVIA HOLDINGS INC. exerce une influence déterminante sur le comportement de sa filiale, la société IQVIA OPERATIONS FRANCE, sur le marché. 
303. En outre, la formation restreinte relève que le groupe IQVIA se présente, notamment sur son site web www.iqvia.com, comme une seule et unique entité, " leader mondial de la recherche clinique et de la donnée de santé ", traitant plus de 120 milliards de données de santé par an et réalisant plus de 500 études dans plus de 75 pays. Elle considère que ces éléments viennent corroborer le fait que les sociétés IQVIA HOLDINGS INC. et IQVIA OPERATIONS FRANCE constituent une seule entité économique et forment donc une seule entreprise au sens de l’article 101 du TFUE.
304. Par ailleurs, la formation restreinte considère que, contrairement à ce que soutient la société, le caractère proportionné et dissuasif de l’amende ne s’apprécie pas exclusivement au regard des revenus générés par l’activité en cause (certains organismes ne tirant par ailleurs aucun profit économique des traitements mis en œuvre), mais bien au regard de la gravité des manquements constatés et des capacités financières, non pas de l’entité responsable de traitement, mais de l’entreprise concernée. 
305. Compte tenu de ce qui précède, la formation restreinte considère qu’il y a lieu, pour déterminer le montant de l’amende, de retenir le chiffre d’affaires de l’entreprise au sens d’" unité économique ", à savoir celui de la société IQVIA HOLDINGS INC., qui s’est élevé, en 2023, à 15 milliards de dollars, soit environ 12,9 milliards d’euros, pour un bénéfice de 1,3 milliard de dollars, soit environ 1,1 milliard d’euros. Elle rappelle par ailleurs que le chiffre d’affaires de la société IQVIA OPERATIONS FRANCE s’est élevé, la même année, à 152,6 millions d’euros, pour un résultat net de 23,3 millions d’euros.
306. Ainsi, au regard de la responsabilité de la société, de ses capacités financières ainsi que de celles de sa maison mère et des critères pertinents de l’article 83 du RGPD, la formation restreinte considère qu’une amende administrative d’un montant de cinq millions (5 000 000) d’euros apparait dissuasive et proportionnée pour sanctionner les manquements aux articles 66 de la loi Informatique et Libertés, 14 et 25 du RGPD. 
B. Sur le prononcé d’injonctions sous astreinte 
307. Le rapporteur estime dans ses écritures que le prononcé d’injonctions sous astreinte est nécessaire afin d’assurer la mise en conformité de la société. Lors de la séance du 26 mars 2026, il a indiqué considérer, au regard des derniers éléments apportés par la société, qu’une telle injonction n’était plus nécessaire s’agissant des manquements relatifs à la sécurité et à la confidentialité des données. 
308. La société demande à la formation restreinte de ne pas prononcer d’injonction.
309. La formation restreinte considère, s’agissant des manquements relatifs à la sécurité et à la confidentialité des données, que la société a dument justifié avoir mis en place des mesures permettant d’assurer le respect des prescriptions des autorisations délivrées. Il n’y a dès lors pas lieu de prononcer une injonction sur ce point. La formation restreinte rappelle néanmoins qu’il appartient à la société de " s’assurer de façon continue que les mesures de sécurité mises en place permettent de garantir que les risques sur les personnes restent à un niveau acceptable " et que " cette obligation nécessite la mise à jour des mesures de sécurité au regard de la réévaluation régulière des risques ". 
310. S’agissant des autres manquements relevés, la formation restreinte observe que la société n’a, depuis l’engagement de la procédure, apporté aucun élément qui permettrait de considérer qu’elle a adopté ou même initié des mesures permettant d’assurer sa mise en conformité. Dès lors, le prononcé d’injonctions s’impose.
311. En premier lieu, s’agissant de l’entrepôt EMR, la formation restreinte considère, d’une part, que la société doit délivrer aux patients dont les données sont collectées une information exacte et complète quant aux traitements réalisés, s’agissant notamment de la durée de conservation de ces données et, d’autre part, mettre en œuvre des mesures permettant d’assurer la prise en compte effective du droit d’opposition des patients, en permettant par exemple à ces derniers de s’opposer aux traitements réalisés au sein de l’entrepôt directement auprès du médecin.
312. En deuxième lieu, s’agissant du manquement à l’article 14 du RGPD, la formation restreinte considère que la société doit prendre des mesures permettant de s’assurer que les officines partenaires respectent leurs engagements contractuels et informent les patients de la transmission de leurs données à IQVIA. Elle rappelle en outre que nonobstant le déploiement de mesures de vérifications que la société doit mettre en œuvre dans le cadre de l’injonction, elle demeure en définitive responsable de la délivrance effective de cette information. 
313. En troisième lieu, s’agissant des études réalisées à partir de l’entrepôt LRX, la formation restreinte considère que la société doit cesser de procéder à de telles études en l’absence d’une autorisation de la CNIL ou en l’absence de conformité à la méthodologie de référence MR-004.
314. Enfin, en quatrième et dernier lieu, s’agissant du manquement à l’article 25 du RGPD, la formation restreinte considère que la société doit mettre en œuvre des mesures organisationnelles et techniques permettant de s’assurer que les logiciels de gestion d’officine n’extraient pas les données des patients lorsque le pharmacien a refusé la transmission de celles-ci à la société IQVIA. 
315. Pour garantir le respect des injonctions prononcées, la formation restreinte considère qu’au regard du chiffre d’affaires de la société et des moyens financiers, humains et techniques dont elle dispose pour remédier aux manquements, il convient de prononcer une astreinte journalière d’un montant de dix mille (10 000) euros par jour de retard, liquidable à l’issue d’un délai de six (6) mois à compter de la notification de la présente décision. 
C. Sur la publicité de la sanction 
316. Le rapporteur considère que la décision de la formation restreinte doit être rendue publique. 
317. La société estime quant à elle qu’une telle publication serait injuste et disproportionnée au regard de toutes les mesures qu’elle a mises en œuvre pour assurer la protection des données. 
318. La formation restreinte considère au contraire que la publication de la décision s’impose au regard de la gravité des manquements en cause, du nombre de personnes concernées ainsi que de la nature des données traitées.
319. Elle estime en outre que cette mesure apparait proportionnée dès lors que la décision n’identifiera plus nommément la société à l’issue d’un délai de deux ans à compter de sa publication. 
 
PAR CES MOTIFS
La formation restreinte de la CNIL, après en avoir délibéré, décide de : 
• prononcer une amende administrative à l’encontre de la société IQVIA OPERATIONS FRANCE d’un montant de cinq millions (5 000 000) d’euros pour manquements aux articles 66 de la loi n° 78-17 du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés et 14 et 25 du règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016 ; 
• prononcer une injonction à l’encontre de la société IQVIA OPERATIONS FRANCE de mettre en conformité ses traitements avec les dispositions des articles 66 de la loi n° 78-17 du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés, 14 et 25 du règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016, et en particulier : 
o s’agissant de l’entrepôt EMR : 
- délivrer aux patients dont les données sont collectées une information exacte et complète quant aux traitements réalisés, s’agissant notamment de la durée de conservation de ces données ;
- mettre en œuvre des mesures permettant d’assurer la prise en compte effective du droit d’opposition des patients, en permettant par exemple à ces derniers de s’opposer aux traitements réalisés au sein de l’entrepôt directement auprès du médecin.
o s’agissant du manquement à l’article 14 du RGPD, prendre des mesures permettant de s’assurer que les officines partenaires respectent leurs engagements contractuels et informent les patients de la transmission de leurs données à la société IQVIA OPERATIONS FRANCE ; 
o s’agissant des études réalisées à partir de l’entrepôt LRX, cesser de procéder à de telles études en l’absence d’une autorisation de la CNIL ou en l’absence de conformité à la méthodologie de référence MR-004 ; 
o s’agissant du manquement à l’article 25 du RGPD, mettre en œuvre des mesures organisationnelles et techniques permettant de s’assurer que les modules intégrés aux logiciels de gestion d’officine n’extraient pas les données des patients lorsque le pharmacien a refusé la transmission de celles-ci à la société IQVIA OPERATIONS FRANCE. 
• assortir l’injonction d’une astreinte de dix mille (10 000) euros par jour de retard à l’issue d’un délai de six (6) mois suivant la notification de la délibération de la formation restreinte ;
• rendre publique, sur le site web de la CNIL et sur le site web de Légifrance, sa délibération, qui ne permettra plus d’identifier nommément la société à l’issue d’une durée de deux ans à compter de sa publication.
Le président
Philippe-Pierre CABOURDIN
Cette décision est susceptible de faire l’objet d’un recours devant le Conseil d’État dans un délai de deux mois à compter de sa notification.
N° de demande d’avis : [26006444]
Thématiques : Enfance, Protection, Santé
Organisme(s) à l’origine de la saisine : [Ministère de la Justice]
Fondement de la saisine :
Article 8-I-4°-a 
de la loi n° 78-17 du 6 janvier 1978 modifiée relative à l’informatique, aux fichiers et aux libertés
L’essentiel :
1. La CNIL estime que les nouvelles possibilités de consultation du FIJAISV et du FIJAIT en lien avec la protection des mineurs, de même que le nouveau régime de contrôle administratif des personnes amenées à travailler en établissement scolaire, sont légitimes au regard de l’objectif de protection de l’enfance. Elle relève en revanche que le projet de loi prévoit également une extension très significative du contrôle d’honorabilité à toutes les personnes amenées à travailler au contact des usagers du système de santé ; un tel caractère systématique, sur un champ d’application particulièrement large, induit un changement de la nature même de ce contrôle. Ces évolutions nécessitent donc, en tout état de cause, une vigilance particulière en matière de protection des données du fait de la sensibilité des fichiers concernés.
2. La CNIL s’interroge sur la complexité du schéma retenu s’agissant du nouveau régime de contrôle des antécédents administratifs pour les personnes travaillant dans les établissements scolaires publics et privés, avec la création de deux fichiers distincts, qui pourront être alimentés par des données relatives à des interdictions et incapacités purement administratives et sur lesquelles pourront être fondées des incapacités indépendamment de toute procédure judiciaire. Elle pointe en outre le double risque lié à la proportionnalité du dispositif et aux conséquences pour les personnes concernées.
3. Enfin, la CNIL invite le Gouvernement à sensibiliser les nouveaux destinataires des données du FIJAISV et du FIJAIT, relativement nombreux, aux règles en vigueur en matière de protection des données. Elle alerte également sur les risques liés à la sécurité, du fait du nombre de traitements impliqués (FIJAIS, FIJAIT, nouveaux fichiers du ministère de l’éducation …) et de l’importante quantité de données traitées ainsi que sur la nécessité de prévoir des mécanismes de contrôle adéquats. 
___________________
 
La Commission nationale de l'informatique et des libertés,
 
Saisie par le ministère de la justice d’une demande d’avis concernant l’article 5 d’un projet de loi relatif à la protection de l’enfance ;
Vu le règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016 relatif à la protection des personnes physiques à l’égard du traitement des données à caractère personnel et à la libre circulation de ces données, et abrogeant la directive 95/46/CE (règlement général sur la protection des données ou RGPD) ;
Vu la loi n° 78-17 du 6 janvier 1978 modifiée relative à l’informatique, aux fichiers et aux libertés ; 
Après avoir entendu le rapport de M. Vincent Lesclous, commissaire, et les observations de M. Damien Milic, commissaire du Gouvernement,
 
Adopte la délibération suivante :
 
I. La saisine
 
A. Le contexte
 
Le projet de loi s’inscrit dans la continuité d’une première saisine récente. La CNIL avait, en effet, déjà été saisie en urgence par le ministère de la justice de l’article, à l’époque numéroté 6, d’un projet de loi relatif à la protection de l’enfance. Elle avait rendu un premier avis le 19 février 2026. Ce projet prévoyait, pour l’essentiel, un renforcement du contrôle des antécédents judiciaires des personnes accueillant des mineurs et des personnels amenés à travailler au contact de mineurs, notamment dans le champ de l’éducation, de l’action sociale et familiale ainsi que de la santé.