AgentPublic/cnil huggingface dataset:
83. Dans ses dernières observations en réponse, qui s’appuient sur le rapport rédigé pour son compte par la société […], la société soutient que les données des entrepôts LRX et EMR sont anonymes et que, dès lors, les obligations du RGPD et de la loi Informatique et Libertés sont inapplicables et les autorisations délivrées par la CNIL sont, de fait, devenues sans objet. La société fonde cette analyse sur l’arrêt SRB précité qui, selon l’interprétation qu’elle en fait, a " clarifié le fait que la notion de données à caractère personnel est relative et non absolue " et " qu’un même ensemble de données peut constituer pour une entité A des données à caractère personnel soumises à toutes les contraintes du RGPD et, pour une autre entité B, des données parfaitement anonymes, si cette seconde entité est, elle, incapable d’identifier les personnes concernées en utilisant des moyens raisonnables et licites ". Or, elle considère qu’en l’espèce, compte tenu de la pseudonymisation des données figurant dans les entrepôts LRX et EMR, les moyens qui devraient être mis en œuvre par IQVIA pour réidentifier les personnes concernées seraient soit déraisonnables, soit illicites, et en conclut que les données en cause doivent être considérées comme n’étant pas, de son point de vue, des données à caractère personnel. 
a. Sur la position de la société IQVIA jusqu’à l’arrêt SRB
84. La formation restreinte relève tout d’abord que, jusqu’à la production du rapport rédigé pour son compte par la société […], la société IQVIA n’avait jamais contesté que les données figurant dans les entrepôts LRX et EMR étaient des données à caractère personnel. C’est en raison de cette qualification, et en tant que responsable de traitement, qu’elle a, en 2017 puis en 2019, déposé auprès de la CNIL des demandes afin d’être autorisée, conformément à l’article 66 de la loi Informatique et Libertés, à mettre en œuvre des " traitements automatisés de données à caractère personnel " ayant pour finalité la constitution de ces entrepôts.
85. Les éléments de l’instruction établissent que la société avait pris soin d’analyser la nature des données traitées au sein des différents entrepôts mis en œuvre par ses soins. Elle a ainsi précisé, notamment à l’occasion du contrôle sur place réalisé le 6 juillet 2021, qu’elle considérait que les données composant le flux " [Z+] ", provenant des logiciels médecins édités par la société [Z] et destinées à alimenter l’entrepôt EMR, n’étaient pas, selon elle, des données anonymes, alors même que la société [Z] soutenait le contraire. La société IQVIA avait d’ailleurs informé la CNIL de ce désaccord avec la société [Z]. La formation restreinte relève que, par une délibération en date du 5 septembre 2024, les données des patients collectées par la société [Z] (ayant repris les activités de la société [Z]) auprès des médecins ont été considérées comme étant des données à caractère personnel, et qu’un manquement à l’article 66 de la loi Informatique et Libertés a été retenu (CNIL, FR, Sanction, 5 septembre 2024, n° SAN-2024-013, publié). Cette délibération a été confirmée par le Conseil d’État, par une décision du 13 février 2026 (cf. point 81 de la présente délibération).
86. Ces éléments démontrent qu’avant l’intervention de l’arrêt SRB, la société avait mené une analyse la conduisant à en conclure que les traitements opérés dans le cadre des entrepôts LRX et EMR étaient bien des traitements de données à caractère personnel. Il convient dès lors de s’interroger sur l’éventuelle portée de l’arrêt SRB sur les traitements en cause dans le cadre de la présente procédure. 
b. Sur la portée de l’arrêt SRB s’agissant des traitements mis en œuvre par la société IQVIA dans le cadre de la constitution des entrepôts LRX et EMR 
87. La société justifie sa nouvelle analyse en indiquant que l’arrêt SRB, qui selon elle " tranche fortement avec la position des autorités de protection des données jusqu’à cette date quant à l’interprétation de la notion de données à caractère personnel ", a un effet direct sur l’appréciation de la nature des données figurant au sein des entrepôts LRX et EMR.
88. La formation restreinte relève tout d’abord que cet arrêt fait clairement apparaître que la CJUE n’a pas entendu marquer une rupture par rapport à ses précédentes décisions, mais au contraire s’inscrire dans leur continuité. En témoignent les nombreuses références aux arrêts Breyer ou OC précités (points 78 à 79 de la présente délibération). Tout en considérant que des données pseudonymisées pouvaient, en théorie, perdre leur caractère personnel, la Cour a rappelé que " la perspective pertinente pour apprécier le caractère identifiable de la personne concernée dépend essentiellement des circonstances caractérisant le traitement des données dans chaque cas particulier " (point 100 de l’arrêt, soulignement ajouté). C’est donc au regard des faits de l’espèce, des caractéristiques des traitements en cause et du rôle occupé par les différents acteurs amenés à traiter les données, que doit s’apprécier le caractère personnel ou non de ces dernières. La Cour opère à cet égard une distinction, selon que l’organisme mis en cause est responsable du traitement, ou simple destinataire de données pseudonymisées, précisant que " la pseudonymisation peut, selon les circonstances de l’espèce, effectivement empêcher des personnes autres que le responsable de traitement d’identifier la personne concernée de telle manière que, pour elles, celle-ci n’est pas ou n’est plus identifiable " (point 87 de l’arrêt, soulignement ajouté).
89. Dans l’affaire ayant donné lieu à l’arrêt SRB, le Conseil de résolution unique (ci-après, " CRU ") avait lancé une phase de consultation auprès d’actionnaires et de créanciers, recueillant les contributions écrites de ces derniers. Ces commentaires avaient été filtrés, catégorisés et agrégés, et un code alphanumérique, généré de manière aléatoire, avait été attribué à chacun d’eux (sans qu’il soit possible de regrouper tout ou partie des commentaires rédigés par la même personne). Les données ainsi pseudonymisées avaient ensuite été transmises à un cabinet d’audit, intervenant en qualité d’évaluateur indépendant. C’est dans ce contexte que la Cour a considéré que " comme c’est normalement le cas du responsable de traitement ayant procédé à la pseudonymisation, le CRU dispose, en l’espèce, des informations supplémentaires permettant d’attribuer les commentaires transmis [au cabinet d’audit] à la personne concernée, si bien que, pour lui, ces commentaires conservent, en dépit de la pseudonymisation, leur caractère personnel " (point 76 de l’arrêt). " S’agissant [du cabinet d’audit auquel] le CRU a transmis des commentaires pseudonymisés, les mesures techniques et organisationnelles [de pseudonymisation] peuvent […] avoir pour effet que, pour cette société, ces commentaires ne présentent pas un caractère personnel. Cela présuppose toutefois, d’une part, que [le cabinet d’audit] ne soit pas en mesure de lever ces mesures lors de tout traitement desdits commentaires effectué
sous son contrôle. D’autre part, lesdites mesures doivent effectivement être de nature à empêcher [le cabinet d’audit] d’attribuer ces mêmes commentaires à la personne concernée également par le recours à d’autres moyens d’identification tels qu’un recoupement avec d’autres éléments, de telle manière que, pour cette société, la personne concernée n’est pas ou n’est plus identifiable " (point 77 de l’arrêt).
90. Or, en l’espèce, la formation restreinte relève que la société IQVIA est dans une situation bien différente puisque, comme démontré aux points 54 à 63 et 66 à 69 de la présente délibération, celle-ci n’est pas un simple destinataire de données pseudonymisées, mais doit être regardée comme étant responsable de l’ensemble du traitement mis en œuvre, et ce dès le stade de collecte des données auprès des officines ou des médecins. Comme rappelé précédemment, la société admet elle-même avoir " défini un processus global de flux et de pseudonymisation, via plusieurs process et plusieurs tiers de confiance ". La formation restreinte estime que cette qualité de responsable de traitement fait obstacle, à elle seule, à ce que les données puissent être considérées comme étant anonymes, au regard des circonstances de l’espèce. 
91. En outre, et comme il sera démontré ci-après, les données traitées par la société IQVIA sont très différentes des commentaires transmis au cabinet d’audit mentionné dans l’arrêt SRB, compte tenu notamment de leur richesse et du fait qu’elles permettent un suivi longitudinal de chaque patient, via un identifiant unique. 
92. La formation restreinte considère dès lors que la qualité des organismes par rapport aux données traitées et la richesse des informations contenues examinées dans le cadre de la présente procédure sont trop éloignées de celles à l’origine de l’arrêt SRB pour qu’un parallèle pertinent puisse être établi.
c. Sur les risques de réidentification des personnes dont les données figurent au sein des entrepôts LRX et EMR 
93. La société soutient que les moyens qu’elle devrait mettre en œuvre pour réidentifier les personnes dont les données figurent dans les entrepôts LRX et EMR seraient, soit irréalisables en pratique (notamment parce qu’ils impliqueraient un effort démesuré en termes de temps, de coût et de main-d’œuvre), soit illicites, qu’il s’agisse de reconstruire la chaîne de pseudonymisation ou de recouper ces données avec des données externes. 
94. Le rapporteur considère au contraire que, compte tenu notamment de la richesse des données figurant dans ces entrepôts et de l’objet même des traitements, qui est d’opérer un suivi longitudinal du parcours de soin de chaque patient et donc de pouvoir isoler chacun d’eux, il apparait plus que plausible de pouvoir lever le pseudonymat des personnes concernées par des moyens raisonnables.
95. A titre liminaire, la formation restreinte rappelle, d’une part, que pour apprécier le caractère personnel ou non d’un ensemble de données, l’intention, l’intérêt ou la motivation du responsable de traitement ou du tiers à réidentifier les personnes concernées ne sont pas des facteurs pertinents à prendre en considération. Cette notion d’" intention " ne figure ainsi ni à l’article 4, point 1 du RGPD, ni à son considérant 26. Dans une décision contraignante de juillet 2021, le CEPD a rappelé que " ce qui est pertinent pour que le RGPD s’applique, c’est-à-dire pour que les données soient considérées comme " à caractère personnel ", est plutôt de savoir si les données concernent une personne qui peut être identifiée, directement ou indirectement, et si le responsable du traitement ou un tiers a la capacité technique d’individualiser une personne concernée dans un ensemble de données. Cette possibilité peut se concrétiser indépendamment de la question de savoir si cette capacité technique est associée à la motivation pour réidentifier ou individualiser une personne concernée " (décision contraignante 1/2021 concernant le litige relatif au projet de décision de l’autorité de contrôle irlandaise concernant Whatsapp Ireland en application de l’article 65, paragraphe 1, point a) du RGPD, adoptée le 28 juillet 2021). Ainsi, en l’espèce, il importe peu que la société IQVIA ait l’intention de réidentifier les personnes dont les données figurent au sein de ses entrepôts LRX et EMR
– ou même y ait intérêt. Il suffit en effet qu’elle ait la capacité de les réidentifier, via des moyens raisonnables, pour que les données en question soient qualifiées de données à caractère personnel.
96. D’autre part, la formation restreinte relève que la société affirmait, au moment du contrôle, que les données figurant dans les entrepôts LRX et EMR étaient bien des données à caractère personnel concernant la santé des personnes. 
97. A titre principal et en premier lieu, la formation restreinte relève que l’objet même des traitements en cause dans le cadre de la présente procédure est d’assurer un suivi longitudinal des personnes dont les données figurent dans les entrepôts LRX et EMR. Pour permettre un tel suivi, la société collecte de nombreuses informations, ayant trait à la fois à l’identification des patients et à leur santé. L’entrepôt EMR contient ainsi notamment l’année de naissance du patient, son sexe, sa situation matrimoniale, son nombre d’enfants, sa catégorie socio-professionnelle, sa ou ses dates de visite chez le médecin, le diagnostic posé, ses symptômes, ses allergies, son poids, sa taille, son pouls, ses prescriptions médicamenteuses, ses vaccins, ses examens ou encore ses arrêts de travail. L’entrepôt LRX contient quant à lui l’année de naissance de la personne concernée, son sexe, des informations relatives au spécialiste ayant délivré l’ordonnance, ainsi que des informations relatives aux prescriptions.
98. Afin de pouvoir isoler chaque individu au sein de ces entrepôts et permettre le suivi de leur parcours au fil du temps, la société IQVIA a mis en place un processus permettant d’attribuer à chaque individu un identifiant unique (selon les modalités décrites ci-dessous), qui se combine avec l’ensemble des données précitées. 
99. S’agissant de l’entrepôt LRX, chaque client de pharmacie se voit ainsi attribuer un identifiant qui lui est propre, et qui est le même quelle que soit l’officine partenaire dans laquelle il se rend. Ce code, associé aux données de dispensation des produits, permet de regrouper l’ensemble des achats réalisés par un même client dans n’importe quelle pharmacie partenaire d’IQVIA. 
100. S’agissant de l’entrepôt EMR, chaque patient dispose également d’un identifiant qui lui est propre pour un médecin donné. S’il n’est pas possible de corréler les données provenant de différents médecins pour un même patient, la société peut néanmoins suivre, à l’aide de ce code, le parcours de chaque patient au sein d’un même cabinet. 
101. La formation restreinte relève que s’ajoutent à l’ensemble de ces données des données de localisation, permettant de situer les patients par zones géographiques composées de regroupements de neuf pharmacies et de cinq médecins de la même spécialité.
102. Ainsi, le fait que chaque patient dispose d’un code d’identification unique, auquel sont rattachées de nombreuses données telles que son âge, son sexe, l’ensemble des prescriptions dont il bénéficie ou encore sa situation géographique, afin de permettre à la société de suivre son parcours de soin dans le temps, a pour conséquence que celle-ci peut aisément isoler chaque individu et que les traitements en cause ne résistent pas au risque d’individualisation, tel qu’il est notamment mentionné dans l’avis du " G29 " précité (cf. points 75 et 76 de la présente délibération). Ce point n’est d’ailleurs pas contesté par la société. 
103. La formation restreinte relève que, dans une espèce similaire, cette accumulation d’informations sur la prise en charge de patients, ainsi que la possibilité de les individualiser, a largement été mise en avant par le Conseil d’État dans sa décision précitée du 13 février 2026 (cf. point 81 de la présente délibération), pour en déduire que les données ne pouvaient être considérées comme étant anonymes. 
104. En deuxième lieu, la formation restreinte rappelle que pour évaluer le risque de réidentification des personnes concernées, il convient de rechercher si le pseudonymat peut être levé par des moyens raisonnables, y compris en recoupant les données non directement identifiantes avec des données externes, notamment avec des informations disponibles sur Internet.
105. En l’espèce, si les données figurant dans les entrepôts LRX et EMR ne sont pas directement identifiantes (ce qui est le propre de la pseudonymisation), la formation restreinte relève que, compte tenu de la richesse des informations que ces entrepôts contiennent, le recours à diverses sources externes est susceptible de permettre aisément la réidentification des personnes concernées.
106. L’exemple donné par le rapporteur dans son troisième rapport illustre ce risque. Il relève ainsi que la société réalise, à partir de l’entrepôt LRX, des études en vie réelle sur la prise en charge des patients traités pour une amyotrophie spinale (SMA), via l’analyse du rôle des prescripteurs et l’âge des patients traités (la liste des études réalisées par IQVIA étant accessible à tous, à partir de son site web). Comme précisé dans la note d’information à destination des patients (elle aussi accessible au public), " la population de l’étude est composée des patients correspondant aux critères de sélection suivants : au moins une délivrance de/pour amyotrophie spinale SMA en officine de ville sur la période 2024 ". Le rapporteur observe que, comme pour beaucoup de maladies rares ou touchant des enfants, il existe de nombreux groupes de soutien et de partage sur les réseaux sociaux, révélant parfois une quantité importante d’informations sur les lieux et la chronologie de la prise de charge, ainsi que sur les traitements délivrés. En parcourant l’un de ces groupes sur le réseau social Facebook, le rapporteur a pu avoir accès à de nombreuses informations […] [ndlr : ces informations comprennent l’historique du parcours de soin d’un enfant, les lieux de sa prise en charge, son lieu d’habitation, ainsi que le nom complet de la mère et de l’enfant]. La formation restreinte rejoint le rapporteur pour considérer qu’à partir de ces éléments, notamment la chronologie établie, les
lieux de prise en charge et les médicaments délivrés, il serait aisé d’isoler la patiente au sein de la base de données LRX (qui contient notamment l’âge du patient, les prescriptions délivrées et sa zone géographique) et donc de la réidentifier.
107. La formation restreinte relève que le rapporteur indique dans ses écritures que ces recherches n’ont pris que quelques minutes avec un simple accès à Internet. La société ne peut donc valablement soutenir qu’un tel recoupement serait irréalisable en pratique parce qu’il impliquerait des recherches longues et complexes et qu’il constituerait un effort démesuré compte tenu du temps, du coût et de la main d’œuvre requis. La formation restreinte rappelle, d’une part, que le fait que la société IQVIA ne retirerait aucun avantage de cette opération est sans incidence (cf. point 96 de la présente délibération) et, d’autre part, qu’il suffit qu’une seule personne puisse être réidentifiée par des moyens raisonnables pour que les données figurant dans la base soient qualifiées de données à caractère personnel.
108. La possibilité technique d’une réidentification est par ailleurs attestée par le fait que, lorsqu’un patient souhaite s’opposer au traitement des données figurant déjà dans l’entrepôt EMR, il doit fournir à la société certaines informations (date et heure du rendez-vous, contenu de la prescription) qui permettent à la société de réidentifier la personne concernée et faire droit à sa demande d’opposition. La notice d’information à destination des patients confirme que, s’ils le souhaitent, ils ont la possibilité de " transmettre à IQVIA des informations complémentaires qui pourraient l’aider à [les] identifier, le cas échéant, afin de permettre l’exercice de [leurs] droits ". Ces éléments – même s’ils proviennent dans ces cas de figure des personnes concernées – démontrent que, de façon générale, en disposant de quelques informations relatives aux consultations réalisées, la société IQVIA est tout à fait en mesure de lever le pseudonymat des données figurant dans les entrepôts LRX et EMR.
109. La société ne peut pas non plus soutenir que les moyens de réidentification évoqués ne pourraient être qualifiés de " moyens raisonnables " au motif qu’ils seraient " illégaux " car contraires, d’une part, aux stipulations des contrats conclus par la société avec ses partenaires et, d’autre part, aux règles régissant la protection des données.
110. Pour apprécier cette illégalité potentielle, la formation restreinte rappelle que, dans son arrêt Breyer, la CJUE considère que les moyens ne pourraient être qualifiés de raisonnables " si l’identification de la personne était interdite par la loi " (point 46 de l’arrêt). Cette précision a été reprise au point 82 de l’arrêt SRB.
111. D’une part, la formation restreinte considère qu’en englobant les contrats dans ce qui est " interdit par la loi ", au sens de la jurisprudence de la CJUE, la société fait une lecture erronée des arrêts précités. En effet, il ne peut être considéré que le fait pour la société de conclure avec ses partenaires des contrats qui interdiraient à ces derniers de lui transmettre des éléments permettant la réidentification aurait pour conséquence de rendre l’identification de la personne " interdite par la loi ". La formation restreinte estime que cette interdiction légale évoquée par la CJUE ne saurait découler de la simple rencontre de volontés de deux parties, au risque de permettre aux acteurs de soustraire aisément les données aux règles régissant la protection des données à caractère personnel, puisqu’il leur suffirait de prévoir, par des clauses contractuelles, que cette réidentification est interdite, alors même que dans les faits le risque persiste puisqu’elle est techniquement réalisable.
112. D’autre part, l’identification de la personne par le recoupement des données figurant dans les entrepôts avec celles disponibles à partir de sources ouvertes ne saurait être regardée, faute d’interdit explicite précis en ce sens, comme " interdite par la loi " au sens de cette jurisprudence, quand bien même la conformité au RGPD d’une telle pratique de collecte en sources ouvertes peut, dans certaines configurations, être sujette à caution. A cet égard, la simplicité avec laquelle il est possible d’obtenir des données à partir de sources ouvertes afin de les recouper avec celles figurant dans les entrepôts LRX et EMR, sans avoir recours à aucun moyen manifestement illégal en tant que tel, doit conduire à considérer que les risques de réidentification sont réels. 
113. Il résulte de l’ensemble de ces éléments que les mesures de pseudonymisation mises en place par la société IQVIA ont seulement pour effet de réduire les risques d’une mise en corrélation de ces données avec l’identité des personnes concernées, mais non de les supprimer. Les données figurant dans les entrepôts LRX et EMR doivent dès lors être considérées comme étant des données à caractère personnel, soumises aux règles du RGPD et de la loi Informatique et Libertés. 
C. Sur les manquements aux dispositions de l’article 66 de la loi Informatique et Libertés s’agissant de la constitution des entrepôts LRX et EMR
114. Les traitements de données à caractère personnel dans le domaine de la santé sont régis par les articles 64 et suivants de la loi Informatique et Libertés. 
115. L’article 66 de cette loi dispose que :
" I - Les traitements relevant de la présente section ne peuvent être mis en œuvre qu'en considération de la finalité d'intérêt public qu'ils présentent. La garantie de normes élevées de qualité et de sécurité des soins de santé et des médicaments ou des dispositifs médicaux constitue une finalité d'intérêt public.
II - Des référentiels et règlements types, au sens des b et c du 2° du I de l'article 8, s'appliquant aux traitements relevant de la présente section sont établis par la Commission nationale de l'informatique et des libertés, en concertation avec la plateforme des données de santé mentionnée à l'article L. 1462-1 du code de la santé publique et des organismes publics et privés représentatifs des acteurs concernés.
Les traitements conformes à ces référentiels peuvent être mis en œuvre à la condition que leurs responsables adressent préalablement à la Commission nationale de l'informatique et des libertés une déclaration attestant de cette conformité. […]
III - Les traitements mentionnés au I qui ne sont pas conformes à un référentiel mentionné au II ne peuvent être mis en œuvre qu'après autorisation de la Commission nationale de l'informatique et des libertés. La demande d'autorisation est présentée dans les formes prévues à l'article 33 […] ".