L'Italie inflige une amende de 7 millions d'euros à la société d'analyse de données de santé Iqvia pour des données de patients non anonymisées

Enquête et conclusions du régulateur

L'autorité italienne de protection des données personnelles, le Garante per la protezione dei dati personali, a infligé le 2 octobre 2026 une amende de 7 millions d'euros à Iqvia Solutions Italy S.r.l. pour des manquements relatifs au traitement de données de santé personnelles. La sanction fait suite à une enquête ouverte en avril 2025, ensuite jointe à une notification de violation de données transmise par l'entreprise elle-même. Le régulateur a établi qu'Iqvia avait constitué une base de données contenant des informations de santé appartenant à plus d'un million de patients, collectées auprès de 800 médecins généralistes en Italie, avec des dossiers remontant à 2001. L'autorité a considéré qu'Iqvia agissait comme responsable du traitement dès la collecte initiale dans les cabinets médicaux. Le régulateur a conclu que l'entreprise avait traité des données de santé sensibles sans base légale appropriée et n'avait pas fourni d'informations adéquates aux personnes concernées.

Risques de réidentification et dossiers non masqués

Le régulateur a rejeté les affirmations selon lesquelles les informations stockées auraient fait l'objet d'une anonymisation effective. Chaque patient disposait d'un code de suivi permettant une observation continue dans le temps qui, combiné à des profils médicaux et démographiques détaillés incluant l'année de naissance, le sexe, les diagnostics, les symptômes, les prescriptions, les examens médicaux, les vaccinations et la localisation géographique, permettait l'identification individuelle par des moyens raisonnables. Les enquêteurs ont en outre constaté que les informations d'identification directe de plus de 3 300 patients étaient entrées en clair dans le fichier, notamment les noms complets, les codes fiscaux, les adresses personnelles et les coordonnées. Dans plus de 3 000 de ces cas, les identifiants personnels accompagnaient directement des dossiers médicaux sensibles. L'autorité a relevé qu'Iqvia n'avait pas fixé de durées de conservation maximales pour les dossiers collectés depuis 2001, n'avait pas réalisé l'analyse d'impact relative à la protection des données requise et maintenait des garanties techniques de sécurité insuffisantes.

Réaction de l'entreprise et protection des données

Iqvia a déclaré avoir pris acte de la décision tout en se réservant le droit de faire appel de la sanction. La société d'analyse de données de santé soutient que le jeu de données visé par la décision n'est pas utilisé pour des services de recherche clinique ou des essais cliniques menés pour des promoteurs commerciaux. L'entreprise affirme également avoir collaboré de manière constructive tout au long de la procédure et avoir déjà adopté des mesures pour se conformer pleinement aux instructions du régulateur.

Iqvia s'engage à un usage responsable des données et des informations et continue de collaborer avec l'Autorité. La protection des données constitue une priorité absolue pour Iqvia et est assurée par des mesures de sécurité robustes, notamment le recours à la pseudonymisation et au chiffrement, afin de soutenir un usage responsable des données dans le domaine de la santé.

Calendrier de mise en conformité et responsabilité des médecins

Aux termes de la décision, Iqvia dispose de 120 jours pour mettre ses opérations de traitement de données en pleine conformité si elle entend continuer à travailler avec ce fichier. Si l'entreprise ne peut satisfaire aux exigences, l'anonymisation devra être assurée directement et de manière indépendante par les médecins généralistes, selon les lignes directrices techniques définies par le régulateur. Pour fixer l'amende de 7 millions d'euros, l'autorité a évalué le volume total de patients concernés, la nature sensible des dossiers de santé et l'assistance constructive apportée par l'entreprise durant l'enquête. Le régulateur a également tenu compte du fait que les médecins généralistes avaient cessé d'envoyer des données médicales à Iqvia en 2023. L'autorité a confirmé que les médecins de famille n'encourent aucune responsabilité juridique pour les pratiques de traitement des données établies par la société d'analyse.