AgentPublic/cnil huggingface dataset:
241. En premier lieu, la formation restreinte prend acte que si, lors du contrôle effectué dans les locaux de la société, celle-ci avait indiqué que les études réalisées pour son compte s’appuyaient sur l’autorisation LRX (à l’exception de celles pour lesquelles un chaînage était réalisé, qui faisaient l’objet d’une autorisation spécifique), elle a par la suite, d’abord dans le cadre de ses échanges avec la délégation, puis dans ses observations en réponse au rapport de sanction, indiqué que ces études étaient en réalité menées sur la base de sa déclaration de conformité à la méthodologie de référence MR-004. 
242. En tout état de cause, la délibération n° 2018-289 relative à l’entrepôt LRX est rédigée de la manière suivante : " la Commission autorise la société IQVIA Opérations France à mettre en œuvre un traitement de données à caractère personnel ayant pour finalité la constitution d’un entrepôt de données à caractère personnel à des fins de recherche, d’étude ou d’évaluation dans le domaine de la santé, issues des données des pharmacies d’officine. […] Elle rappelle que les traitements de données de santé à caractère personnel qui seront mis en œuvre ultérieurement à des fins de recherche, d’étude ou d’évaluation dans le domaine de la santé sont des traitements distincts qui doivent faire l’objet, par la société IQVIA, de formalités propres prévues au chapitre IX section 2 de la loi ".
243. La formation restreinte relève ainsi que l’autorisation délivrée concerne exclusivement la constitution de l’entrepôt LRX, et exclut expressément de son champ les études réalisées à partir de cet entrepôt. 
244. La société ne peut donc se prévaloir de cette autorisation pour réaliser les études en cause. 
245. En second lieu, la formation restreinte relève que, le 31 juillet 2018, la société a déposé auprès de la CNIL une déclaration de conformité au référentiel de méthodologie de référence MR-004. Cette déclaration a fait l'objet d'un récépissé en date du 7 août 2018. 
246. La formation restreinte rappelle que cette méthodologie de référence, qui a vocation à encadrer les traitements de données à caractère personnel à des fins d’étude, évaluation ou recherche n’impliquant pas la personne humaine (en particulier les études portant sur la réutilisation de données), pose un certain nombre de conditions devant être respectées par l’organisme qui entend s’en prévaloir.
247. Elle exige notamment qu’outre l’affichage d’une information générale permettant aux personnes concernées d’avoir connaissance des activités de recherche réalisées, ces dernières soient individuellement informées, pour chaque projet pour lequel leurs données font l’objet du traitement, de l’ensemble des mentions prévues aux articles 13 et 14 du RGPD (identité et coordonnées du responsable de traitement, coordonnées du délégué à la protection des données, finalités et base juridique du traitement, nature des informations utilisées, destinataires ou catégories de destinataires des données, droits dont elles disposent ou encore durée de conservation des données).
248. La MR-004 prévoit que, par exception, lorsque les données n’ont pas été recueillies spécifiquement à des fins de recherche, elles peuvent faire l’objet d’une réutilisation sans qu’il soit procédé à une nouvelle information individuelle des personnes concernées, soit si celles-ci disposent déjà des informations (par exemple, lorsque plusieurs projets de recherche sont menés par un même responsable de traitement avec des finalités, des catégories de données et des destinataires identiques), soit lorsque l’information délivrée lors de la collecte prévoit la possibilité de réutiliser les données et renvoie à un dispositif spécifique d’information auquel les personnes concernées pourront se reporter préalablement à la mise en œuvre de chaque nouveau traitement (par exemple, un site web sur lequel serait présenté chaque projet de recherche).
249. En l’espèce, la formation restreinte relève que les données utilisées dans le cadre des études réalisées par la société ont initialement été collectées dans le but de constituer l’entrepôt de données de santé LRX. Ainsi, si la MR-004 autorise leur réutilisation, c’est à la condition que les personnes concernées en soient individuellement et préalablement informées.
250. La société a indiqué à cet égard que cette information se confondait avec celle délivrée aux patients par les officines lors de la collecte des données, la notice élaborée par la société IQVIA faisant état non seulement de la constitution de l’entrepôt LRX mais également des recherches réalisées à partir des données figurant dans l’entrepôt, le détail des études réalisées étant par ailleurs publié sur un site web, auquel renvoie la notice. 
251. Or, ainsi qu’il a été démontré aux points 227 et suivants de la présente délibération, les contrôles réalisés par la délégation auprès de quatre officines ont permis de constater que cette notice n’était pas remise aux personnes concernées lors de la collecte de leurs données. Celles-ci n’étaient dès lors informées ni de cette collecte, ni de la réutilisation de leurs données dans le cadre des études réalisées par la société IQVIA. 
252. La formation restreinte considère qu’il ressort de ces éléments que la société réalise des études sans respecter la méthodologie de référence MR-004, s’agissant des données collectées par l’intermédiaire des quatre officines ayant fait l’objet de contrôles.
253. Ces études ne sont pas non plus fondées sur la base d’une autorisation délivrée par la CNIL, dès lors que l’autorisation n° 2018-289 exclut expressément de son champ les études ultérieures réalisées à partir de l’entrepôt LRX, comme précisé aux points 241 à 244 de la présente délibération, et qu’aucune autre autorisation spécifique permettant ces études n’a été délivrée. 
254. Au vu de l’ensemble de ce qui précède, la formation restreinte considère qu’un manquement à l’article 66 de la loi Informatique et Libertés est constitué, la société ayant réutilisé les données de l’entrepôt LRX collectées par l’intermédiaire des quatre officines contrôlées à des fins de réalisation d’études en dehors du cadre légal applicable.
255. La formation restreinte entend préciser que, contrairement à ce que soutient la société, un tel manquement ne saurait se confondre avec celui qui lui est reproché au titre de l’article 14 du RGPD, même si tous deux découlent de l’absence d’information délivrée aux personnes concernées. Le manquement à l’article 14 du RGPD constitue en effet un manquement autonome, qui concerne la constitution de l’entrepôt LRX, et qui se trouve caractérisé indépendamment de toute réutilisation ultérieure des données. Le manquement à l’article 66 de la loi Informatique et Libertés a trait, pour sa part, aux conditions dans lesquelles ces données peuvent être réutilisées, l’absence d’information des personnes concernées interdisant à la société de se prévaloir de la MR-004 et de pouvoir ainsi réaliser des études sans autorisation préalable de la CNIL. Les éléments constitutifs de ces manquements, tout comme leurs effets, apparaissent donc bien distincts. 
F. Sur le manquement à l’article 25 du RGPD, s’agissant de l’entrepôt LRX
256. En droit, l’article 25 du RGPD dispose que " 1. Compte tenu de l'état des connaissances, des coûts de mise en œuvre et de la nature, de la portée, du contexte et des finalités du traitement ainsi que des risques, dont le degré de probabilité et de gravité varie, que présente le traitement pour les droits et libertés des personnes physiques, le responsable du traitement met en œuvre, tant au moment de la détermination des moyens du traitement qu'au moment du traitement lui-même, des mesures techniques et organisationnelles appropriées, telles que la pseudonymisation, qui sont destinées à mettre en œuvre les principes relatifs à la protection des données, par exemple la minimisation des données, de façon effective et à assortir le traitement des garanties nécessaires afin de répondre aux exigences du présent règlement et de protéger les droits de la personne concernée.
2. Le responsable du traitement met en œuvre les mesures techniques et organisationnelles appropriées pour garantir que, par défaut, seules les données à caractère personnel qui sont nécessaires au regard de chaque finalité spécifique du traitement sont traitées. Cela s'applique à la quantité de données à caractère personnel collectées, à l'étendue de leur traitement, à leur durée de conservation et à leur accessibilité. En particulier, ces mesures garantissent que, par défaut, les données à caractère personnel ne sont pas rendues accessibles à un nombre indéterminé de personnes physiques sans l'intervention de la personne physique concernée ".
257. Le Comité européen de la protection des données (ci-après, " le CEPD ") précise, dans ses lignes directrices 4/2019 relatives à l’article 25 adoptées le 20 octobre 2020, que " le responsable du traitement devrait choisir et répondre de la mise en œuvre des paramètres et des options de traitement par défaut, de manière à ce que seul le traitement qui est strictement nécessaire pour atteindre la finalité licite prévue soit effectué par défaut. Dans ce contexte, les responsables du traitement doivent s’appuyer sur leur évaluation de la nécessité du traitement au regard des fondements juridiques visés à l’article 6, paragraphe 1. Il s’ensuit que, par défaut, le responsable du traitement ne doit ni collecter plus de données que nécessaire, ni traiter les données collectées plus qu’il n’est nécessaire pour atteindre ses finalités, ni conserver les données plus longtemps que nécessaire. L’exigence fondamentale est que la protection des données soit intégrée par défaut dans le traitement ".
258. Le rapporteur relève que les modules d’extraction de données installés sur les LGO des pharmaciens transmettent systématiquement au premier tiers de confiance, la société [X], les données des patients, et ce même pour les officines ne participant pas au panel LRX. Il considère que cette transmission n’apparait pas justifiée et que la société IQVIA aurait dû prévoir, dès la conception et par défaut, des mesures permettant de s’assurer que les logiciels n’extraient pas les données des patients lorsque le pharmacien refuse cette communication. Le rapporteur estime dès lors qu’un manquement à l’article 25 du RGPD est caractérisé. 
259. En défense, dans ses premières et deuxièmes observations en réponse, la société rappelle que les modules installés sur les LGO permettent non seulement d’extraire les données mais également de les pseudonymiser à un premier niveau, et ce avant toute transmission. Elle considère que cette pseudonymisation, expressément citée à l’article 25 du RGPD, permet d’assurer le respect de ces dispositions. 
260. Par ailleurs, la société fait valoir qu’il ne peut être soutenu que les données seraient transmises au premier tiers de confiance sans qu’aucune finalité ne le justifie, cette transmission n’étant pas, en tant que telle, un traitement de données à caractère personnel, mais faisant partie d’un processus global de pseudonymisation comprenant différentes phases, validé par la Commission dans le cadre de la délivrance de l’autorisation.
261. Enfin, la société précise n’être destinataire d’aucune donnée qu’elle ne devrait pas recevoir, l’objectif du filtrage réalisé par le premier tiers de confiance étant justement que seules les données des officines participant au panel LRX soient transmises au second tiers de confiance puis à la société IQVIA. 
262. Dans le rapport produit le 7 octobre 2025, puis dans ses dernières observations en réponse, la société soutient que, dans la mesure où c’est le pharmacien qui est responsable de la communication des données de ses clients à la société [X], le manquement à l’article 25 du RGPD, relatif à cette transmission, ne peut lui être imputable.
263. La formation restreinte relève qu’il ressort de l’instruction que la société IQVIA a chargé les éditeurs de LGO de développer, en son nom et pour son compte, des modules d’extraction de données répondant tous à un même cahier des charges, élaboré par IQVIA. Ces modules, intégrés aux LGO de l’ensemble des pharmaciens ayant contracté avec la société, permettent d’extraire les données et de générer un flux (" flux Pharmastat "), qui comprend non seulement les données relatives aux ventes de médicaments, mais également le code d’identification du patient, généré par le module à l’aide d’une fonction de hachage, et ce même dans l’hypothèse où le pharmacien a choisi de ne pas participer au panel LRX, et donc de ne pas transmettre les données relatives aux patients (ce qui est le cas d’environ 4 000 officines sur les 14 000 ayant contracté avec la société IQVIA).
264. Ce flux est ensuite transmis au premier tiers de confiance désigné par la société IQVIA, la société [X], à qui il appartient d’effectuer un tri entre les données des patients des officines participant au panel LRX (et qui ont donc vocation à être transmises au second tiers de confiance, puis à la société IQVIA), et celles des patients des officines ne participant pas à ce panel. Le contrat de prestation passé entre IQVIA et la société [X] prévoit à cet égard que la société IQVIA met à disposition de la société [X] la liste des " panélistes pour lesquels le traitement puis la transmission des données doit être effectuée en distinguant : - la liste des panélistes participant au projet Pharmastat [la participation au projet Pharmastat étant entendue comme la transmission à la société IQVIA des seules données relatives aux ventes de médicaments, à l’exclusion des données relatives aux patients] - la liste des panélistes participant à l’étude LRX […]. Sur la base des listes fournies par IQVIA, le tiers de confiance s’oblige à limiter les traitements des données de chaque panéliste au(x) projet(s) pour le(s)quel(s) il participe […] ".
265. Il apparait ainsi que, même dans l’hypothèse où l’officine a choisi de ne pas transmettre les données de ses patients, ces données sont néanmoins systématiquement transmises, via les modules extracteurs, au premier tiers de confiance.
266. La formation restreinte rappelle que l’article 25 du RGPD, tel qu’éclairé par les lignes directrices du CEPD précitées, impose au responsable de traitement de s’assurer que, dès la conception et par défaut, seules les données à caractère personnel nécessaires à l’atteinte de la finalité sont traitées. 
267. Or, en l’espèce, la transmission systématique à la société [X] de données que les pharmaciens ont refusé de communiquer, et qui n’ont donc pas vocation à être traitées dans le cadre du panel LRX, n’est pas justifiée et ne répond pas à la finalité poursuivie par ce traitement. 
268. La formation restreinte rappelle également que, contrairement à ce que soutient la société, cette transmission au premier tiers de confiance constitue bien, en tant que telle, une opération de traitement au titre de l’article 4, point 2 du RGPD, et ce quand bien même la société IQVIA ne serait in fine pas destinataire de ces données, ou que cette opération s’inscrirait dans un processus plus global de pseudonymisation (et, de manière générale, dans un traitement unique). La formation restreinte relève qu’en tout état de cause, les données provenant des officines qui ne participent pas au panel LRX n’ont pas vocation à être pseudonymisées, puisqu’elles ne devraient pas du tout être traitées.
269. En sa qualité de responsable de traitement et de propriétaire des modules d’extraction, la société aurait dû s’assurer que les données des patients ne soient pas extraites lorsque le pharmacien refuse leur transmission. Le filtrage confié par la société IQVIA à la société [X] aurait ainsi dû intervenir en amont, au niveau du LGO, afin que la société [X] ne soit pas destinataire de données qu’elle n’avait vocation ni à traiter ni à transmettre, ce que confirme la société IQVIA. La formation retreinte rappelle à cet égard que, si les modules extracteurs ont été développés par les éditeurs de LGO, c’est bien la société IQVIA qui a déterminé le contenu du flux transmis au premier tiers de confiance, via le cahier des charges imposé aux éditeurs. 
270. Compte tenu de l’ensemble de ces éléments, la formation restreinte considère que la société IQVIA n’a pas mis en œuvre les mesures techniques et organisationnelles appropriées pour garantir que, dès la conception et par défaut, seules les données à caractère personnel qui sont nécessaires au regard des finalités du traitement sont traitées. Un manquement à l’article 25 du RGPD est dès lors constitué. 
III. SUR LES MESURES CORRECTRICES ET LEUR PUBLICITÉ
271. En droit, aux termes de l’article 20-IV de la loi n° 78-17 du 6 janvier 1978 modifiée, " lorsque le responsable de traitement ou son sous-traitant ne respecte pas les obligations résultant du règlement (UE) 2016/679 du 27 avril 2016 ou de la présente loi, le président de la Commission nationale de l'informatique et des libertés peut […] saisir la formation restreinte de la commission en vue du prononcé, après procédure contradictoire, de l'une ou de plusieurs des mesures suivantes : […] 
2° Une injonction de mettre en conformité le traitement avec les obligations résultant du règlement (UE) 2016/679 du 27 avril 2016 ou de la présente loi ou de satisfaire aux demandes présentées par la personne concernée en vue d’exercer ses droits, qui peut être assortie, sauf dans les cas où le traitement est mis en œuvre par l’Etat, d’une astreinte dont le montant ne peut excéder 100 000 euros par jour de retard à compter de la date fixée par la formation restreinte ;
7° À l'exception des cas où le traitement est mis en œuvre par l'État, une amende administrative ne pouvant excéder 10 millions d'euros ou, s'agissant d'une entreprise, 2 % du chiffre d'affaires annuel mondial total de l'exercice précédent, le montant le plus élevé étant retenu. Dans les hypothèses mentionnées aux 5 et 6 de l'article 83 du règlement (UE) 2016/679 du 27 avril 2016, ces plafonds sont portés, respectivement, à 20 millions d'euros et 4 % dudit chiffre d'affaires. La formation restreinte prend en compte, dans la détermination du montant de l'amende, les critères précisés au même article 83 ".
272. L’article 83 du RGPD prévoit en outre que " chaque autorité de contrôle veille à ce que les amendes administratives imposées en vertu du présent article pour des violations du présent règlement visées aux paragraphes 4, 5 et 6 soient, dans chaque cas, effectives, proportionnées et dissuasives ", avant de préciser les éléments devant être pris en compte pour décider s'il y a lieu d’imposer une amende administrative et pour décider du montant de cette amende.
273. Le considérant 150 du RGPD précise que " lorsque des amendes administratives sont imposées à une entreprise, ce terme doit, à cette fin, être compris comme une entreprise conformément aux articles 101 et 102 du traité sur le fonctionnement de l'Union européenne ".
274. Les lignes directrices sur l’application et la fixation des amendes administratives aux fins du règlement 2016/679 indiquent quant à elles que la notion d’entreprise doit s’entendre comme " une unité économique pouvant être formée par la société mère et toutes les filiales concernées. Conformément au droit et à la jurisprudence de l’Union, il y a lieu d’entendre par entreprise l’unité économique engagée dans des activités commerciales ou économiques, quelle que soit la personne morale impliquée ".
275. Par un arrêt du 5 décembre 2023 (CJUE, grande chambre, C-807/21, " Deutsche Wohnen "), la CUJE a considéré, s’agissant de la notion d’ " entreprise " qu’" ainsi que l’a relevé M. l’avocat général au point 45 de ses conclusions, c’est dans ce contexte spécifique du calcul des amendes administratives imposées pour des violations visées à l’article 83, paragraphes 4 à 6, du RGPD qu’il y a lieu d’appréhender le renvoi, effectué au considérant 150 de ce règlement, à la notion d’" entreprise ", au sens des articles 101 et 102 TFUE. À cet égard, il convient de souligner que, aux fins de l’application des règles de la concurrence, visées par les articles 101 et 102 TFUE, cette notion comprend toute entité exerçant une activité économique, indépendamment du statut juridique de cette entité et de son mode de financement. Elle désigne ainsi une unité économique même si, du point de vue juridique, cette unité économique est constituée de plusieurs personnes physiques ou morales. Cette unité économique consiste en une organisation unitaire d’éléments personnels, matériels et immatériels poursuivant de façon durable un but économique déterminé (arrêt du 6 octobre 2021, Sumal, C 882/19, EU:C:2021:800, point 41 et jurisprudence citée). Ainsi, il ressort de l’article 83, paragraphes 4 à 6, du RGPD, qui vise le calcul des amendes administratives pour les violations énumérées dans ces paragraphes, que, dans le cas où le destinataire de l’amende administrative est ou fait partie d’une
entreprise, au sens des articles 101 et 102 TFUE, le montant maximal de l’amende administrative est calculé sur la base d’un pourcentage du chiffre d’affaires annuel mondial total de l’exercice précédent de l’entreprise concernée. En définitive, ainsi que M. l’avocat général l’a relevé au point 47 de ses conclusions, seule une amende administrative dont le montant est déterminé en fonction de la capacité économique réelle ou matérielle de son destinataire, et donc imposée par l’autorité de contrôle en se fondant, en ce qui concerne le montant de celle-ci, sur la notion d’unité économique au sens de la jurisprudence citée au point 56 du présent arrêt, est susceptible de réunir les trois conditions énoncées à l’article 83, paragraphe 1, du RGPD, à savoir d’être à la fois effective, proportionnée et dissuasive. Dès lors, lorsqu’une autorité de contrôle décide, au titre des pouvoirs qu’elle détient en vertu de l’article 58, paragraphe 2, du RGPD, d’imposer à un responsable du traitement, qui est ou fait partie d’une entreprise, au sens des articles 101 et 102 TFUE, une amende administrative en application de l’article 83 dudit règlement, cette autorité est tenue de se fonder, en vertu de cette dernière disposition, lue à la lumière du considérant 150 du même règlement, lors du calcul des amendes administratives pour les violations visées aux paragraphes 4 à 6 de cet article 83, sur la notion d’" entreprise ", au sens de ces articles 101 et 102 TFUE " (paragraphes 55 à 59).
276. Cette position a été confirmée par la Cour dans un arrêt du 13 février 2025 (CJUE, cinquième chambre, C-383/23, " Ilva A/S "). 
277. Enfin, l’article 22, alinéa 2 de la loi Informatique et Libertés dispose que " la formation restreinte peut rendre publique les mesures qu’elle prend ". 
A. Sur le prononcé d’une amende administrative et son montant 
278. Le rapporteur propose à la formation restreinte de prononcer à l’encontre de la société une amende administrative au regard des manquements constitués aux articles 66 de la loi Informatique et Libertés, 14 et 25 du RGPD. 
279. En défense, la société considère que, si des manquements devaient être caractérisés, ils ne sauraient présenter le degré de gravité évoqué par le rapporteur. Elle insiste à cet égard sur la durée de la procédure et considère que, si les manquements relevés avaient été graves, la CNIL aurait dû faire preuve de célérité pour les faire cesser. 
280. La société met également en avant les mesures de pseudonymisation renforcée des données mises en œuvre, permettant selon elle de réduire considérablement les risques en matière de sécurité.