AgentPublic/cnil huggingface dataset:
116. Ainsi, les traitements de données à caractère personnel dans le domaine de la santé en matière de recherche ne peuvent être mis en œuvre qu’après autorisation de la CNIL, ou à la condition d’être conformes à un référentiel mentionné au II de cet article. 
117. En l’espèce, la société IQVIA a été autorisée par la CNIL, en application de l’article 66 susvisé (anciennement article 54), à constituer deux entrepôts de données à caractère personnel, comprenant notamment des données de santé. 
118. Ces autorisations, matérialisées par les délibérations n° 2018-289 du 12 juillet 2018 et n° 2021-015 du 4 février 2021, conditionnent la mise en œuvre des traitements en cause à un certain nombre de garanties, ayant trait notamment à l’information et aux droits des personnes concernées, ainsi qu’à la sécurité des données traitées. Ces garanties ont notamment pour objet d’assurer le respect des dispositions légales et réglementaires relatives à la protection des données à caractère personnel. Elles tiennent compte de la nature des données en cause, à savoir des données sensibles relatives à la santé des personnes concernées, ainsi que de leur volume. 
119. Pour apprécier le bien-fondé des griefs reprochés par le rapporteur à la société en lien avec ces obligations, la formation restreinte s’attachera à examiner si la constitution des entrepôts LRX et EMR est réalisée conformément aux modalités prévues par les délibérations susvisées.
120. La formation restreinte entend préciser que, pour une meilleure lisibilité de sa décision, le manquement à l’article 66 de la loi Informatique et Libertés relatif aux études réalisées à partir de l’entrepôt LRX sera examiné à la suite du manquement à l’article 14 du RGPD (cf. II., D. et E.). 
1. Observations liminaires
a. Sur la distinction entre demande d’autorisation et autorisation 
121. La société soutient qu’il ne peut lui être reproché un manquement à l’article 66 de la loi Informatique et Libertés dès lors que ses pratiques correspondent aux engagements pris dans le cadre de ses demandes d’autorisation. Elle considère en effet que les éléments fournis à l’appui de ces dernières et qui n’auraient pas fait l’objet de demandes de complément de la part des services de la CNIL doivent être considérés comme ayant été validés, et constituent dès lors " un pan de l’autorisation ". À titre d’exemple, elle fait valoir que la notice d’information délivrée aux personnes concernées par le traitement EMR est la même que celle qu’elle avait soumise à la CNIL à l’appui de sa demande d’autorisation, que ce document n’a donné lieu à aucune remarque de la part des services de la Commission et qu’il doit dès lors être considéré comme conforme.
122. La formation restreinte rappelle qu’aux termes de l’article 66, III de la loi Informatique et Libertés, les traitements contenant des données concernant la santé des personnes, lorsqu’ils ne sont pas conformes à un référentiel, ne peuvent avoir lieu qu'après autorisation de la Commission. Ces dispositions précisent que " la demande d’autorisation est présentée dans les formes prévues à l’article 33 ", lequel énumère les informations devant être fournies à l’appui de cette demande (finalités du traitement, données à caractère personnel traitées, catégories de personnes concernées, durées de conservation des données, mesures prises pour assurer la sécurité de ces dernières, etc.). L’article 66, V de la loi Informatique et Libertés prévoit que " la Commission nationale de l'informatique et des libertés se prononce dans un délai de deux mois à compter de la réception de la demande. Toutefois, ce délai peut être prolongé une fois pour la même durée sur décision motivée de son président ou lorsque le comité éthique et scientifique pour les recherches, les études et les évaluations dans le domaine de la santé est saisi en application du second alinéa de l'article 72. Lorsque la Commission nationale de l'informatique et des libertés ne s'est pas prononcée dans ces délais, la demande d'autorisation est réputée acceptée. Cette disposition n'est toutefois pas applicable si l'autorisation fait l'objet d'un avis préalable en application de la sous-section 2 de la présente section et
que l'avis ou les avis rendus ne sont pas expressément favorables ".
123. En pratique, lorsqu’une demande d’autorisation est adressée à la CNIL, les services de la Commission sont chargés d’instruire celle-ci, afin notamment de vérifier si le dossier est complet. Si ces services estiment que certains éléments sont imprécis ou insuffisants, ils peuvent adresser à l’organisme une demande de compléments portant sur des points juridiques ou techniques. Ainsi, s’ils sont chargés d’accompagner les acteurs et de mettre le dossier en état, les services de la CNIL n’ont néanmoins pas compétence pour autoriser ou non les traitements en cause, cette compétence appartenant au collège de la CNIL (collège qui constitue la " Commission nationale de l’informatique et des libertés ", au sens de l’article 9 de la loi Informatique et Libertés), à qui est présenté le dossier à l’issue de son instruction et qui statue sur la demande d’autorisation sollicitée. 
124. La formation restreinte rappelle à cet égard que le collège n’est pas tenu par les modalités de mise en œuvre des traitements figurant dans la demande d’autorisation (sa compétence ne se limitant pas à " valider " ou à " invalider " le dossier) et qu’il peut notamment décider, dans sa délibération autorisant la mise en œuvre du traitement, de renforcer certaines exigences et de définir des conditions de mise en œuvre du traitement différentes de celles figurant dans la demande d’autorisation soumise par le responsable de traitement.
125. Il convient ainsi de distinguer, d’une part, la demande d’autorisation adressée à la CNIL, qui présente les traitements concernés et les garanties qu’entend mettre en œuvre le responsable de traitement et est instruite par les services, et d’autre part, l’autorisation elle-même, qui prend la forme d’une délibération adoptée par le collège de la CNIL, et qui est le seul élément de nature à permettre la mise en œuvre des traitements et donc à revêtir une valeur juridique au sens de l’article 66 de la loi Informatique et Libertés (sauf en l’absence de réponse de la CNIL dans un délai de deux mois, la demande étant réputée acceptée en application de l’article 66, V précité). C’est donc bien à cette autorisation et ses termes que l’organisme concerné doit se conformer, et non aux éléments figurant dans sa demande (sauf à ce que la délibération s’y réfère expressément). 
b. Sur la nécessité d’assurer la sécurité des données malgré les mesures de pseudonymisation dont elles font l’objet 
126. Le rapporteur relève que les données contenues dans les entrepôts LRX et EMR doivent, au regard de leur sensibilité et de leur volume, et ce malgré les mesures de pseudonymisation mises en œuvre, faire l’objet d’une vigilance particulière, notamment afin de prévenir et détecter d’éventuelles violations.
127. En défense, la société considère que la pseudonymisation renforcée des données, mesure expressément citée par l’article 32 du RG PD, permet d’assurer la sécurité et la confidentialité desdites données. Elle estime ainsi qu’à supposer qu’un accès non autorisé aux données survienne, il ne pourrait avoir de conséquences négatives pour les personnes concernées compte tenu de l’impossibilité pour les tiers d’accéder ou de " remonter " à l’identité de ces personnes. Elle ajoute que l’article 34 du RGPD prévoit d’ailleurs qu’il n’est pas nécessaire d’informer les personnes concernées d’une violation de données si les données en question sont incompréhensibles pour toute personne non autorisée. La société précise, dans ses secondes observations en réponse (avant qu’elle ne conteste le caractère personnel des données traitées), avoir bien conscience que le pseudonymat peut, par définition, être levé, mais conteste la probabilité qu’il le soit. 
128. La formation restreinte rappelle que l’article 32 du RGPD prévoit que le responsable de traitement met en œuvre les mesures appropriées afin de garantir un niveau de sécurité adapté au risque, " y compris, entre autres, selon les besoins " quatre types de mesures mentionnées, parmi lesquelles " la pseudonymisation et le chiffrement des données à caractère personnel ".
129. La délibération n° 2018-289 relative à l’entrepôt LRX précise en ce sens qu’" en l’état actuel de la technique, et au vu des mesures de sécurité mises en place par ailleurs, la Commission estime que le procédé de pseudonymisation prévu va dans le sens des recommandations poussées par le RGPD en réduisant les possibilités de ré-identification des personnes dont les données sont traitées au strict nécessaire dans ce contexte. La Commission rappelle toutefois que la pseudonymisation ne constitue qu’une mesure de sécurité visant à réduire les risques pour les personnes concernées, et n’exonère en rien le responsable de traitement de ses obligations ". L’autorisation prévoit en effet d’autres exigences en matière de sécurité, contenues dans la partie " sur la sécurité des données et la traçabilité des actions ". 
130. Il en va de même de la délibération n° 2021-015 portant sur l’entrepôt EMR, qui rappelle que " la pseudonymisation, même renforcée, ne constitue qu’une mesure de sécurité visant à réduire les risques pour les personnes concernées et n’exonère en rien les différents acteurs de leurs obligations liées à la protection des données personnelles ". Elle prévoit en outre un certain nombre de mesures de sécurité devant être mises en place, qui sont expressément mentionnées dans la délibération précitée, telles que le cloisonnement du réseau, l’authentification forte ou encore la journalisation des accès.
131. Ainsi, si les mesures de pseudonymisation renforcée mises en place par la société contribuent à assurer la sécurité des données et à atténuer les risques en cas de compromission, elles ne sauraient pour autant suffire, à elles seules, à considérer que la sécurité et la confidentialité des données traitées sont suffisamment garanties, comme cela ressort d’ailleurs des termes mêmes des délibérations adoptées par le collège de la CNIL sur les traitements en cause. 
132. Il convient dès lors d’examiner si, au-delà des mesures de pseudonymisation mises en place, les exigences prévues par l’autorisation, notamment en matière de sécurité des données, ont été respectées par la société IQVIA. 
3. Sur l’entrepôt LRX : sur la sécurité et la confidentialité des données 
133. L’article 32 du RGPD prévoit que " 1. Compte tenu de l'état des connaissances, des coûts de mise en œuvre et de la nature, de la portée, du contexte et des finalités du traitement ainsi que des risques, dont le degré de probabilité et de gravité varie, pour les droits et libertés des personnes physiques, le responsable du traitement et le sous-traitant mettent en œuvre les mesures techniques et organisationnelles appropriées afin de garantir un niveau de sécurité adapté au risque, y compris entre autres, selon les besoins :
a) la pseudonymisation et le chiffrement des données à caractère personnel ;
b) des moyens permettant de garantir la confidentialité, l'intégrité, la disponibilité et la résilience constantes des systèmes et des services de traitement ;
c) des moyens permettant de rétablir la disponibilité des données à caractère personnel et l'accès à celles-ci dans des délais appropriés en cas d'incident physique ou technique ;
d) une procédure visant à tester, à analyser et à évaluer régulièrement l'efficacité des mesures techniques et organisationnelles pour assurer la sécurité du traitement.
2. Lors de l'évaluation du niveau de sécurité approprié, il est tenu compte en particulier des risques que présente le traitement, résultant notamment de la destruction, de la perte, de l'altération, de la divulgation non autorisée de données à caractère personnel transmises, conservées ou traitées d'une autre manière, ou de l'accès non autorisé à de telles données, de manière accidentelle ou illicite […] ".
134. Afin d’assurer le respect de ces dispositions, la délibération n° 2018-289 du 12 juillet 2018 autorisant la société IQVIA à constituer l’entrepôt de données de santé LRX comporte une partie sur la " sécurité des données et la traçabilité des actions ". Diverses garanties sont ainsi prévues, telles que des règles relatives à l’authentification des utilisateurs, à la journalisation des connexions et à l’analyse des traces ou encore au cloisonnement du réseau. 
a. Sur le cloisonnement du réseau
135. La délibération n° 2018-289 du 12 septembre 2018 précise que " des mesures sont prévues pour assurer la sécurité du réseau, notamment par la mise en œuvre d’une compartimentation de celui-ci ".
136. Dans son guide d’hygiène informatique " renforcer la sécurité de son système d’information en 42 mesures ", publié en janvier 2017 et destiné à accompagner les organismes dans la sécurisation de leur système d’information, l’Agence nationale de la sécurité des systèmes d’information (ci-après, " l’ANSSI ") rappelle que, pour sécuriser un réseau, il convient de le segmenter et de mettre en place un cloisonnement entre les zones. Elle précise que " lorsque le réseau est " à plat ", sans aucun mécanisme de cloisonnement, chaque machine du réseau peut accéder à n’importe quelle autre machine. La compromission de l’une d’elles met alors en péril l’ensemble des machines connectées. Un attaquant peut ainsi compromettre un poste utilisateur et ensuite " rebondir " jusqu’à des serveurs critiques. Il est donc important, dès la conception de l’architecture réseau, de raisonner par segmentation en zones composées de systèmes ayant des besoins de sécurité homogènes. On pourra par exemple regrouper distinctement des serveurs d’infrastructure, des serveurs métiers, des postes de travail utilisateurs, des postes de travail administrateurs, des postes de téléphonie sur IP, etc. Une zone se caractérise alors par des VLAN et des sous-réseaux IP dédiés voire par des infrastructures dédiées selon sa criticité. Ainsi, des mesures de cloisonnement telles qu’un filtrage IP à l’aide d’un pare-feu peuvent être mises en place entre les différentes zones. On veillera en particulier à cloisonner
autant que possible les équipements et flux associés aux tâches d’administration ".
137. Le rapporteur considère qu’un manquement à l’article 66 de la loi Informatique et Libertés est caractérisé dès lors que, contrairement à ce que prévoit l’autorisation délivrée par la CNIL, il ressort des constations effectuées par la délégation de contrôle qu’aucun cloisonnement du réseau n’a été mise en place pour limiter l’accès à la base de données de l’entrepôt LRX. Il relève que cette absence de cloisonnement facilite une attaque par rebond, susceptible d’être menée depuis d’autres ordinateurs de l’entreprise, et qui pourrait contourner le mécanisme d’authentification du serveur. Ce risque apparait selon lui d’autant plus important qu’en l’absence de politique d’authentification multifacteur pour accéder à l’entrepôt LRX, l’authentification des utilisateurs repose exclusivement sur la connexion à leur session Windows.
138. En défense, la société fait valoir que, dans sa demande d’autorisation, elle n’a pas indiqué qu’un cloisonnement du réseau serait mis en place spécifiquement pour l’entrepôt LRX, mais que de multiples mesures de sécurité seraient mises en œuvre pour préserver l’intégrité des serveurs. Elle considère que c’est sur cette base que la CNIL a délivré son autorisation, laquelle ne spécifie pas que la base de données de l’entrepôt LRX devrait figurer seule sur un sous-réseau (ci-après, " VLAN "). La société estime dès lors qu’elle respecte les engagements pris en matière de sécurité. Par ailleurs, s’agissant d’un éventuel risque d’attaque par rebond, la société détaille les mesures mises en place pour limiter ce risque (défense en profondeur, principe du moindre privilège, procédure ayant pour but de définir les processus associés au système de gestion des informations et des événements de sécurité – ci-après, " SIEM "). Enfin, elle relève que les modalités d’authentification des utilisateurs ont été expressément validées par l’autorisation, laquelle n’exige pas la mise en place d’une authentification multifacteur.
139. Premièrement, la formation restreinte renvoie, sur la distinction entre la demande d’autorisation déposée par la société auprès de la CNIL et l’autorisation elle-même, aux développements figurant aux points 121 à 125 de la présente délibération. Elle relève que le cloisonnement du réseau est expressément exigée par l’autorisation, laquelle précise ensuite que " sous réserve des précédentes observations, les mesures de sécurité décrites par le responsable de traitement sont conformes à l’état de l’art ". Le fait que l’autorisation prévoie spécifiquement le cloisonnement du réseau imposait donc à la société de prendre les mesures correspondantes pour se conformer à cette exigence, quels que soient les éléments présentés dans le cadre de la demande d’autorisation.
140. Deuxièmement, la formation restreinte rappelle que l’autorisation délivrée porte sur la constitution de l’entrepôt LRX et que c’est donc bien cet entrepôt qui doit, selon les termes de la délibération, faire l’objet d’un cloisonnement afin de limiter l’impact d’une éventuelle violation, en réduisant la surface d’attaque potentielle, afin que la compromission d’un poste de travail n’ait pas pour conséquence de mettre en péril l’ensemble du réseau. En effet, l’existence d’un réseau non cloisonné permet de faciliter les attaques par rebond, susceptibles d’être menées depuis d’autres ordinateurs de l’entreprise utilisés comme " tremplins " (l’ensemble des ordinateurs ayant accès au même réseau), en contournant le mécanisme d’authentification du serveur. 
141. En l’espèce, l’absence de cloisonnement a pour conséquence que, dès lors qu’une personne ouvre sa session Windows sur son poste informatique connecté au réseau interne de l’entreprise, ou à distance par VPN, elle accède au réseau sur lequel figure l’entrepôt LRX et peut dès lors mener une attaque visant à contourner le mécanisme d’authentification afin de pouvoir accéder aux données.
142. La formation restreinte considère que ce risque d’attaque par rebond est aggravé par l’absence de politique d’authentification multifacteur, l’accès aux données de l’entrepôt reposant, pour les utilisateurs qui y sont habilités, sur l’authentification à leur session Windows à l’aide d’un identifiant et d’un mot de passe, sans aucune mesure de restriction complémentaire. Si cette absence d’authentification multifacteur ne contrevient pas, en soi, aux exigences posées par l’autorisation du 12 septembre 2018 (la CNIL ayant considéré que les règles d’authentification mises en place par la société étaient conformes à la délibération n° 2017-012 du 19 janvier 2017 portant adoption d’une recommandation relative aux mots de passe), il doit être relevé, comme l’a fait le rapporteur, que les conséquences de l’absence de cloisonnement du réseau sont aggravées par ces modalités d’authentification, qui ne correspondent plus aujourd’hui à l’état de l’art.
143. Au regard de l’ensemble de ces éléments, la formation restreinte considère qu’en s’abstenant de mettre en œuvre un cloisonnement du réseau sur lequel se trouvent les données de l’entrepôt LRX, la société n’a pas respecté les termes de l’autorisation qui lui a été délivrée par la CNIL. Elle relève par ailleurs que les mesures mises en place, visant principalement à limiter les intrusions depuis l’extérieur du réseau de l’entreprise, ne sont pas des alternatives robustes permettant d’empêcher les attaques issues d’un poste informatique compromis connecté au réseau interne. Dans ces conditions, un manquement à l’article 66 de la loi Informatique et Libertés apparait constitué. 
144. La formation restreinte relève toutefois que, par courrier transmis à la CNIL le 24 mars 2026, la société a indiqué que l’entrepôt LRX avait été déplacé dans une enclave sécurisée, sur un domaine séparé du domaine IQVIA, impliquant une authentification à double facteur en plus d’une connexion sur le réseau IQVIA depuis une machine enrôlée. 
145. La formation restreinte prend acte de la mise en place de ces mesures et, donc, de la mise en conformité de la société sur ce point. 
b. Sur la traçabilité des accès
146. La délibération n° 2018-289 du 12 septembre 2018 prévoit qu’" une journalisation des connexions à l’application ainsi que des opérations de consultation, création, modification et suppression réalisées dans le traitement sera réalisée. Une analyse des traces régulière devrait être effectuée. La Commission recommande, à cet égard, que ce contrôle des traces soit effectué de manière automatique, afin de détecter les comportements anormaux et lever des alertes. La Commission prend acte de ce que le responsable de traitement s’est engagé à conserver les journaux pendant une durée de six mois ".
147. Dès 2013, dans sa note technique " recommandations de sécurité pour la mise en œuvre d’un système de journalisation ", l’ANSSI insistait sur le fait que " les journaux d’évènements constituent une brique technique indispensable à la gestion de la sécurité des systèmes d’information, quelles que soient la nature et la taille de ces derniers. Les journaux sont une source d’information riche qui peut être utilisée a priori pour détecter des incidents de sécurité. Dans ce cas, les évènements constituant les journaux sont consultés et analysés en temps réel. Les journaux peuvent également être employés a posteriori pour retrouver les traces d’un incident de sécurité ; l’analyse des journaux d’un ensemble de composants (postes de travail, équipements réseaux, serveurs, etc.) peut alors permettre de comprendre le cheminement d’une attaque et d’évaluer son impact ". Cette exigence est reprise et détaillée dans le guide " recommandations de sécurité pour l’architecture d’un système de journalisation ", publié par l’ANSSI en janvier 2022. Celui-ci rappelle en effet que " l’analyse continue des journaux d’événements permet de repérer des activités inhabituelles. […] En ce sens, la journalisation constitue également le prérequis indispensable à la mise en œuvre d’une capacité de détection, d’analyse et de réponse aux incidents de sécurité ".
148. La CNIL rappelle elle aussi, dans sa délibération n° 2021-122 du 14 octobre 2021 portant adoption d’une recommandation relative à la journalisation, que la mise en place d’un dispositif de journalisation participe au respect de l’obligation de sécurisation de tout traitement de données à caractère personnel, cette sécurisation reposant notamment sur une " exploitation en temps réel ou à court terme de ces données pour détecter des opérations anormales afin de parer des attaques ou intrusions, ou de remédier rapidement à un incident informatique en facilitant l’identification du problème. La Commission recommande dès lors de mettre en œuvre un système de traitement et d’analyse des données collectées et de formaliser un processus permettant de générer des alertes et de les traiter en cas de suspicion de comportement anormal ".