AgentPublic/cnil huggingface dataset:
2. Sur la responsabilité de la société IQVIA OPERATIONS FRANCE vis-à-vis des traitements mis en œuvre aux fins de constitution des entrepôts LRX et EMR
50. L’article 4, point 2 du RGPD définit le " traitement " comme " toute opération ou tout ensemble d’opérations effectuées ou non à l'aide de procédés automatisés et appliquées à des données ou des ensembles de données à caractère personnel, telles que la collecte, l'enregistrement, l'organisation, la structuration, la conservation, l'adaptation ou la modification, l'extraction, la consultation, l'utilisation, la communication par transmission, la diffusion ou toute autre forme de mise à disposition, le rapprochement ou l'interconnexion, la limitation, l'effacement ou la destruction ". La Cour de justice de l’Union européenne (ci-après, " CJUE ") a rappelé qu’il " ressort de cette définition qu’un traitement de données à caractère personnel peut être constitué d’une ou de plusieurs opérations, chacune d’entre elles visant l’un des différents stades que peut contenir un traitement de données à caractère personnel " (CJUE, 2ème ch., 29 juillet 2019, Fashion ID Gmbh, C-40/17).
51. L’article 4, point 7 du RGPD définit quant à lui le responsable de traitement comme " la personne physique ou morale, l'autorité publique, le service ou un autre organisme qui, seul ou conjointement avec d'autres, détermine les finalités et les moyens du traitement ". Les lignes directrices 07/2020 concernant les notions de responsable du traitement et de sous-traitant dans le RGPD, adoptées le 7 juillet 2021 par la Comité européen de la protection des données (ci-après, " le CEPD ") précisent que " la détermination des finalités et des moyens revient à décider respectivement du " pourquoi " et du " comment " du traitement : pour une opération de traitement particulière, le responsable du traitement est l’acteur qui a déterminé la raison pour laquelle le traitement a lieu (c’est-à-dire " à quelles fins " ou " pourquoi ") et comment cet objectif sera atteint (c’est-à-dire quels moyens doivent être mis en œuvre pour atteindre l’objectif) ". Ces lignes directrices rappellent en outre que " les notions de responsable du traitement et de sous-traitant sont des concepts fonctionnels : ils visent à répartir les responsabilités en fonction des rôles réels des parties. […] En d’autres termes, la répartition des rôles devrait généralement résulter d’une analyse des éléments factuels ou des circonstances de l’espèce et, en tant que telle, elle n’est pas négociable " (point 12). " Toutes les circonstances factuelles pertinentes doivent être prises en considération pour déterminer si
une entité donnée exerce une influence déterminante sur le traitement de données à caractère personnel en question " (point 25).
a. Sur l’entrepôt LRX 
52. Le rapporteur considère que la société IQVIA doit être regardée comme étant responsable de l’ensemble des traitements mis en œuvre aux fins de constitution de l’entrepôt LRX, et ce dès l’intégration des données au logiciel de gestion d’officine et leur transmission au premier tiers de confiance, la société [X]. 
53. La société IQVIA soutient pour sa part que les pharmaciens sont seuls responsables de la transmission des données de leurs clients à la société [X], cette transmission devant selon elle être considérée comme un traitement à part entière, et non comme l’une des étapes d’un traitement unique, comme avancé par le rapporteur. Elle estime ainsi ne pouvoir être tenue pour responsable de cette opération, le traitement des données en cause ne basculant sous sa responsabilité qu’à compter de leur arrivée sur la plateforme du second tiers de confiance, la société [Y]. A l’appui de cette analyse, la société se réfère aux clauses du contrat passé entre les pharmaciens et la société [X] (qui désignent cette dernière comme étant sous-traitante du pharmacien, qualifié de responsable de traitement). Elle fait également valoir qu’en tant que professionnels de santé tenus au secret professionnel, les pharmaciens sont nécessairement responsables de la communication des données de leurs clients à un tiers.
54. La formation restreinte relève tout d’abord que la société IQVIA OPERATIONS FRANCE a été autorisée par la CNIL à procéder à la constitution de l’entrepôt LRX en qualité de responsable de traitement, sur la base légale de ses intérêts légitimes. L’objectif est en effet de permettre à la société, dans le cadre de son activité de conseil et de réalisation d’études, de " mener des études non interventionnelles visant à l’évaluation de la bonne utilisation du médicament en vie réelle, l’analyse scientifique et statistique des phénomènes liés à la persistance, la conformité, le respect des prescriptions et des contre-indications ".
55. Si, pour constituer cet entrepôt, la société a choisi de mettre en place une procédure requérant l’intervention de différents acteurs (le pharmacien, la société [X], la société [Y] et la société IQVIA), lesquels sont successivement amenés à traiter matériellement les données en cause, la formation restreinte relève que les opérations réalisées par ces acteurs (la collecte du NIR associé aux données de prescription, le calcul de l’INS-C, les différentes étapes de hachage, la substitution de l’identifiant patient, la réception des données sur les serveurs de la société IQVIA ainsi que leur stockage) poursuivent toutes la même finalité, déterminée par la société IQVIA, à savoir permettre, in fine, la constitution de l’entrepôt. Elles doivent donc être considérées comme participant d’un traitement unique et ne sauraient, contrairement à ce que soutient la société, être envisagées isolément.
56. Il en va ainsi, notamment, des opérations réalisées au stade de l’officine. En effet, comme rappelé aux points 37 à 39 de la présente délibération, lorsque le pharmacien enregistre les ventes de médicaments au sein de son LGO, un module intégré à ce logiciel permet d’extraire les données et de générer un flux, nommé " flux Pharmastat ". Ce flux est ensuite transmis au premier tiers de confiance, la société [X], qui a pour mission de scinder ce " flux Pharmastat " en plusieurs flux, parmi lesquels le " flux LRX ", venant alimenter l’entrepôt LRX (les autres flux étant quant à eux destinés à alimenter d’autres bases de données de la société IQVIA). 
57. La formation restreinte relève d’abord que, dans ses deuxièmes observations en réponse, produites le 26 juin 2025, la société admet elle-même avoir " défini un processus global de flux et de pseudonymisation, via plusieurs process et plusieurs tiers de confiance ". Elle reproche ainsi au rapporteur de ne pas prendre en compte ce processus global et d’en isoler une partie, correspondant à la transmission des données, par les pharmacies, au premier tiers de confiance, soulignant qu’il " ne s’agit pas […] d’un traitement de données en tant que tel ".
58. La formation restreinte souligne ensuite que le module extracteur précité est développé par les éditeurs de LGO, pour le compte exclusif de la société IQVIA, sur la base d’un cahier des charges établi par cette dernière. Le contrat passé entre IQVIA et les éditeurs, qui désigne expressément la première comme étant responsable de traitement, et les seconds comme étant ses sous-traitants, prévoit une cession par l’éditeur, au profit d’IQVIA, des droits de propriété intellectuelle sur les modules en cause, et précise que l’éditeur ne doit traiter les données qu’en vertu des instructions écrites de la société IQVIA, conformément à la norme Pharmastat (qui fixe la composition du " flux Pharmastat "). 
59. En outre, il ressort des éléments de l’instruction que cette norme Pharmastat est définie par la société IQVIA, laquelle fixe notamment le format et la structuration des fichiers (zones alphanumériques comprenant une liste de caractères définis, compression des fichiers avant transmission), la fréquence de la collecte et de la transmission, le devenir des données (destruction des fichiers ayant donné lieu à une transmission correcte ou, en cas de transmission incorrecte, conservation pour ré-émission ultérieure) ainsi que les modalités de leur transmission à la société [X] (protocole IP paramétré directement par IQVIA avec le pharmacien). La société IQVIA peut également, si les besoins de l’activité l’imposent, décider de modifier unilatéralement cette norme.
60. Il résulte de ce qui précède que, dès l’instant où les données sont intégrées au LGO du pharmacien et traitées par le module extracteur pour le compte de la société IQVIA, celle-ci doit être regardée comme étant responsable des traitements réalisés par ce biais, dans la mesure où elle en détermine à la fois la finalité (à savoir la construction d’un " flux LRX " aux fins d’alimenter l’entrepôt LRX) et les moyens (à savoir les modalités de collecte et de transmission de ces données aux tiers de confiance successifs, et notamment à la société [X]).
61. La formation restreinte relève que cette analyse est confortée par divers éléments de l’instruction, lesquels désignent la société IQVIA comme étant responsable de l’ensemble du traitement mis en œuvre dans le cadre de la constitution de l’entrepôt LRX, sans limiter cette responsabilité à certaines étapes dudit traitement. Ainsi, il ressort de la notice d’information à destination des patients que celle-ci a " pour objet de [leur] présenter les conditions dans lesquelles [leurs] données sont recueillies et traitées par IQVIA dans le cadre du projet LRX ", ce dernier étant défini comme " un projet d’intérêt public, dont l’objectif est de créer un entrepôt de données dédié à la réalisation de recherches, d’études, et d’évaluations dans le domaine de la santé ". Il est précisé que les " données collectées par IQVIA sont traitées sur la base légale de l’intérêt légitime d’IQVIA (et de l’autorisation délivrée par la CNIL […]), en sa qualité de responsable de traitement ". La formation restreinte relève d’ailleurs que cette notice d’information a été élaborée par la société IQVIA elle-même et qu’il ressort du contrat conclu entre cette dernière et les pharmaciens que, si ceux-ci s’engagent contractuellement à l’afficher et à la remettre à leurs patients, c’est " afin de permettre à IQVIA de satisfaire à ses obligations d’information conformément à la Règlementation ". De la même manière, la plaquette de présentation du réseau Pharmastat, élaborée par IQVIA et destinée aux
pharmaciens, précise que " Pharmastat fait partie d’IQVIA ", et invite les personnes concernées à s’adresser à IQVIA si elles nourrissent une " quelconque interrogation sur la façon dont [leurs] données personnelles peuvent être traitées dans le cadre de Pharmastat ". En outre, à l’occasion du contrôle sur place réalisé le 6 juillet 2021, la société IQVIA a confirmé être " responsable du traitement de l’entrepôt LRX ainsi que de son alimentation ". Or, les opérations en cause dans le cadre de la présente procédure, et notamment la collecte des données des patients par l’intermédiaire des officines, ainsi que leur transmission aux deux tiers de confiance successifs, participent bien de l’alimentation de l’entrepôt LRX.
62. S’agissant des pharmaciens, dont la responsabilité est mise en avant par la société dans ses écritures, il est rappelé que la présente procédure a pour objet de vérifier le respect, par la société IQVIA, de la règlementation relative à la protection des données, ainsi que des autorisations que la CNIL lui a délivrées. Ainsi, la formation restreinte n’est pas tenue de se prononcer sur l’éventuelle co-responsabilité incombant aux pharmaciens, dès lors qu’aucun grief n’est formulé à leur encontre et qu’en tout état de cause cette éventuelle co-responsabilité n’aurait pas pour effet de limiter ou d’amoindrir la responsabilité de la société IQVIA sur les faits qui lui sont reprochés. 
63. En conclusion, la formation restreinte considère que la société IQVIA doit être considérée comme étant responsable de l’ensemble des opérations mises en œuvre dans le cadre de la constitution de l’entrepôt LRX, et ce dès la collecte des données au stade de l’officine, nonobstant l’éventuelle responsabilité des autres acteurs avec lesquels la société a contracté. 
 
b. Sur l’entrepôt EMR 
64. Le rapporteur considère que, comme pour l’entrepôt LRX, la société doit être regardée comme responsable des traitements mis en œuvre dans le cadre de la constitution de l’entrepôt EMR.
65. La société IQVIA estime au contraire que c’est le médecin qui agit en tant que responsable de traitement s’agissant de la communication des données de ses patients, et qu’elle-même n’intervient qu’à partir du moment où la société [Y], tiers de confiance, réceptionne les données. 
66. La formation restreinte relève que, comme pour l’entrepôt LRX, la société IQVIA a été autorisée par la CNIL à procéder à la constitution de l’entrepôt EMR en qualité de responsable de traitement, sur la base légale de ses intérêts légitimes, afin de lui permettre, dans le cadre de ses activités, de " mener des études sur l’évaluation et l’analyse des pratiques de soins en médecine générale ". 
67. Elle estime, pour les mêmes raisons que celles développées au point 55 de la délibération, que l’ensemble des opérations réalisées par les différents acteurs amenés à traiter matériellement les données en cause (le médecin, le cas échéant la société [Z], la société [Y], la société IQVIA) participent d’un même traitement, composé de plusieurs étapes, et que ces étapes ne sauraient être considérées isolément.
68. Elle relève que la société IQVIA détermine à la fois la finalité (à savoir construire un flux permettant d’alimenter l’entrepôt EMR) et les moyens de ces opérations (en choisissant notamment de contracter avec tel ou tel acteur et en fixant les modalités de collecte des normes " Médical 21 " et " Disease Analyzer "). Il ressort d’ailleurs de la notice d’information à destination des patients, élaborée par la société IQVIA, que celle-ci se présente comme responsable de traitement des données collectées aux fins de constituer l’entrepôt EMR. 
69. Dans ces conditions, la formation restreinte estime que la société IQVIA doit être considérée comme responsable de l’ensemble des opérations mises en œuvre dans le cadre de la constitution de l’entrepôt EMR, et ce dès la collecte des données en cause, nonobstant l'éventuelle responsabilité des autres acteurs avec lesquels la société a contracté. 
c. Sur les études réalisées à partir des entrepôts LRX et EMR
70. S’agissant des études réalisées à partir des entrepôts LRX et EMR, qui constituent des traitements distincts, la société a indiqué être responsable de traitement des études qu’elle réalise pour son propre compte. Ces études consistent à analyser la prise en charge des patients, selon les pathologies qu’ils présentent et selon les traitements qu’ils reçoivent (par exemple, l’analyse de la prise en charge des patients traités pour une fibrose pulmonaire idiopatique, l’analyse de la prise en charge des patients traités avec un antipsychotique ou encore l’analyse de la prise en charge thérapeutique de l’hypertension artérielle). 
71. La formation restreinte considère qu’en ce qu’elle en détermine à la fois les finalités et les moyens, la société doit être regardée comme responsable des traitements relatifs aux études réalisées pour son propre compte à partir des entrepôts LRX et EMR. 
3. Sur la nature des données figurant dans les entrepôts LRX et EMR
72. L’article 4, point 1 du RGPD définit la notion de données à caractère personnel comme " toute information se rapportant à une personne physique identifiée ou identifiable […] ; est réputée être une " personne physique identifiable " une personne physique qui peut être identifiée, directement ou indirectement, notamment par référence à un identifiant, tel qu’un nom, un numéro d’identification, des données de localisation, un identifiant en ligne, ou à un ou plusieurs éléments spécifiques propres à son identité physique, physiologique, génétique, psychique, économique, culturelle ou sociale ". 
73. L’article 4, point 5 du RGPD définit quant à lui la pseudonymisation comme " le traitement de données à caractère personnel de telle façon que celles-ci ne puissent plus être attribuées à une personne concernée précise sans avoir recours à des informations supplémentaires, pour autant que ces informations supplémentaires soient conservées séparément et soumises à des mesures techniques et organisationnelles afin de garantir que les données à caractère personnel ne sont pas attribuées à une personne physique identifiée ou identifiable ".
74. Le considérant 26 du RGPD précise que " les données à caractère personnel qui ont fait l'objet d'une pseudonymisation et qui pourraient être attribuées à une personne physique par le recours à des informations supplémentaires devraient être considérées comme des informations concernant une personne physique identifiable. Pour déterminer si une personne physique est identifiable, il convient de prendre en considération l'ensemble des moyens raisonnablement susceptibles d'être utilisés par le responsable du traitement ou par toute autre personne pour identifier la personne physique directement ou indirectement, tels que le ciblage. Pour établir si des moyens sont raisonnablement susceptibles d'être utilisés pour identifier une personne physique, il convient de prendre en considération l'ensemble des facteurs objectifs, tels que le coût de l'identification et le temps nécessaire à celle-ci, en tenant compte des technologies disponibles au moment du traitement et de l'évolution de celles-ci. Il n'y a dès lors pas lieu d'appliquer les principes relatifs à la protection des données aux informations anonymes, à savoir les informations ne concernant pas une personne physique identifiée ou identifiable, ni aux données à caractère personnel rendues anonymes de telle manière que la personne concernée ne soit pas ou plus identifiable. Le présent règlement ne s'applique, par conséquent, pas au traitement de telles informations anonymes, y compris à des fins statistiques ou de
recherche ".
75. Dès 2014, le groupe de travail " Article 29 " sur la protection des données (ci-après le " G29 "), devenu le CEPD, a adopté un avis sur les techniques d’anonymisation (avis 05/2014 du 10 avril 2014), précisant qu’un processus pouvait notamment être qualifié d’anonymisation lorsqu’il résiste aux trois types de risques suivants :
- l’individualisation, qui correspond à la possibilité d’isoler une partie ou la totalité des enregistrements identifiant un individu dans un ensemble de données ;
- la corrélation, qui consiste en la capacité de relier entre eux au moins deux enregistrements se rapportant à la même personne concernée ou à un groupe de personnes concernées ;
- l’inférence, qui est la possibilité de déduire, avec un degré de probabilité élevé, la valeur d’un attribut à partir des valeurs d’un ensemble d’autres attributs.
76. A défaut de résister à ces trois types de risques, le " G29 " considère que les données peuvent tout de même être considérées comme anonymes, dans l’hypothèse où le responsable de traitement est en mesure de démontrer que la réidentification n’est pas possible par des " moyens raisonnables ". 
77. La Cour de justice de l’Union européenne a également été amenée, à plusieurs reprises, à se prononcer sur la notion de données à caractère personnel.
78. Dans un arrêt " Breyer ", rendu sous l’empire de la directive 95/46/CE du Parlement européen et du Conseil du 24 octobre 1995 relative à la protection des personnes physiques à l'égard du traitement des données à caractère personnel et à la libre circulation de ces données (CJUE, 2ème chambre, 19 octobre 2016, C-582/14), elle a jugé que " pour déterminer si une personne est identifiable, il convient de considérer l’ensemble des moyens susceptibles d’être raisonnablement mis en œuvre soit par le responsable du traitement, soit par une autre personne, pour identifier ladite personne " (point 42).
79. Cette position a été confirmée dans l’arrêt " OC c/ Commission européenne " (CJUE, 6ème chambre, 7 mars 2024, C-479/22). Dans cette affaire, la CJUE a jugé que doivent être pris en compte " l’ensemble des facteurs objectifs tels que le coût de l’identification et le temps nécessaire à celle-ci, en tenant compte des technologies disponibles au moment du traitement et de l’évolution de celles-ci " (point 50). La CJUE a en outre précisé dans cet arrêt qu’" il est inhérent à l’" identification indirecte " d’une personne que des informations supplémentaires doivent être combinées avec les données en cause aux fins de l’identification de la personne visée " (point 55) et que " la requérante n’était pas tenue d’apporter la preuve qu’elle avait effectivement été identifiée […], puisqu’une telle condition n’est pas prévue à l’article 3, point 1, du règlement 2018/1725, celui-ci se limitant à exiger qu’une personne soit " identifiable " " (point 61), par des " moyens raisonnables ".
80. Enfin, par un arrêt " SRB " du 4 septembre 2025, la Cour a précisé que " des données pseudonymisées ne doivent pas être considérées comme constituant, en toute hypothèse et pour toute personne, des données à caractère personnel aux fins de l’application du règlement 2018/1725, dans la mesure où la pseudonymisation peut, selon les circonstances de l’espèce, effectivement empêcher des personnes autres que le responsable du traitement d’identifier la personne concernée de telle manière que, pour elles, celle-ci n’est pas ou n’est plus identifiable " (point 86). La Cour estime à cet égard que, si les mesures techniques et organisationnelles de pseudonymisation peuvent avoir pour effet que les données perdent leur " caractère personnel " pour un destinataire, cela présuppose toutefois que, d’une part, ce destinataire " ne soit pas en mesure de lever ces mesures lors de tout traitement [desdites données] effectué sous son contrôle " et, d’autre part, que " lesdites mesures [soient] effectivement […] de nature à empêcher [le destinataire] d’attribuer ces mêmes [données] à la personne concernée également par le recours à d’autres moyens d’identification tels qu’un recoupement avec d’autres éléments, de telle manière que, pour cette société, la personne concernée n’est pas ou n’est plus identifiable " (point 77) (CJUE, première chambre, 4 septembre 2025, C-413/23).
81. De son côté, le Conseil d’État a récemment eu l’occasion de se prononcer sur la nature des données figurant dans des bases alimentées par des données collectées auprès de médecins et d’officines pharmaceutiques, très semblables à celles constituées par la société IQVIA. Il a relevé que les sociétés requérantes " détenaient une quantité massive de données, recueillies auprès de cabinets médicaux ou de pharmacies, […] [incluant] des éléments d’identification comme l’âge, le sexe ou la catégorie socio-professionnelle, ainsi que des données de santé telles que, notamment, le dossier médical, les prescriptions, les arrêts de travail, les vaccinations, pour les données transmises par les médecins, et les médicaments achetés et le prescripteur, pour les données transmises par les pharmacies. […] Outre [ces] données précises sur les personnes concernées […], les données recueillies comprennent des éléments comme la date et parfois l’heure exacte de la visite médicale ou de l’achat ainsi que des éléments directs ou indirects de localisation ou d’identification des professionnels de santé qui sont intervenus ". Le Conseil d’Etat a ainsi souligné qu’il était " possible, à partir de ces données, de retracer des parcours de soins et d’individualiser des clients et leurs pathologies ", et qu’" une telle individualisation dans l’ensemble des données n’a[vait] […] nécessité que peu de temps et de moyens […] ". Il a considéré que la CNIL avait, en l’espèce, " procédé à une évaluation
concrète du risque de réidentification des données et établi qu’il était possible de lever le pseudonymat de personnes concernées par des moyens raisonnables ", et que c’est à bon droit qu’elle en avait conclu que les " données en cause, bien que pseudonymisées, n’étaient pas anonymisées " (CE, 10ème et 9ème chambres, 13 février 2026, n° 498628, 498629 et 498749, T.).
82. Le rapporteur considère que les données des entrepôts LRX sont bien des données à caractère personnel, le risque de réidentification des personnes concernées étant, selon lui, bien réel.