Les développements de la délibération comportant des données à caractère personnel ou des secrets protégés par la loi sont remplacés par le signe […], [X], [Y], [Z] et [Z+]

La Commission nationale de l’informatique et des libertés, réunie en sa formation restreinte composée de M. Philippe-Pierre CABOURDIN, président, M. Vincent LESCLOUS, vice-président, Mmes Laurence FRANCESCHINI et Isabelle LATOURNARIE-WILLEMS et M. Didier KLING, membres ;

Vu le règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016 relatif à la protection des personnes physiques à l’égard du traitement des données à caractère personnel et à la libre circulation de ces données ;

Vu la loi no 78-17 du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés, notamment ses articles 20 et suivants ;

Vu le décret no 2019-536 du 29 mai 2019 pris pour l’application de la loi no 78-17 du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés ;

Vu la délibération no 2013-175 du 4 juillet 2013 portant adoption du règlement intérieur de la Commission nationale de l’informatique et des libertés ;

Vu la décision n° 2025-1154 QPC du 8 août 2025 du Conseil constitutionnel ;

Vu la décision n° 2021-125C du 29 juin 2021 de la présidente de la Commission nationale de l’informatique et des libertés de charger le secrétaire général de procéder ou de faire procéder à une mission de vérification des traitements mis en œuvre par les sociétés IQVIA OPERATIONS FRANCE SAS, IQVIA HOLDINGS FRANCE SAS et IQVIA RDS FRANCE ou pour leur compte, en tout lieu susceptible d’être concerné par leur mise en œuvre ;

Vu la décision de la présidente de la Commission nationale de l’informatique et des libertés du 18 juillet 2024 portant désignation d’un rapporteur devant la formation restreinte ;

Vu le rapport de M. Claude CASTELLUCCIA, commissaire rapporteur, notifié à la société IQVIA OPERATIONS FRANCE le 31 mars 2025 ;

Vu les observations écrites versées par la société IQVIA OPERATIONS FRANCE le 30 avril 2025 ;

Vu la réponse du rapporteur à ces observations, notifiées à la société le 26 mai 2025 ;

Vu les nouvelles observations écrites versées par la société IQVIA OPERATIONS FRANCE le 26 juin 2025 ;

Vu la clôture de l’instruction, notifiée à la société le 16 juillet 2025 ;

Vu le courrier du président de la formation restreinte du 16 juillet 2025, informant la société que le dossier était inscrit à l’ordre du jour de la formation restreinte du 16 octobre 2025 ;

Vu la communication par la société, le 7 octobre 2025, d’un document intitulé  » analyse des modalités de pseudonymisation des données des entrepôts LRX et EMR de la société IQVIA Opérations France, des possibilités de réidentification des personnes et de la qualification de ces données au regard de la décision de la CJUE du 4 septembre 2025  » ;

Vu la décision du président de la formation restreinte du 10 octobre 2025 de déclarer cette pièce recevable et de reporter la clôture de l’instruction ;

Vu la réponse du rapporteur à ces nouveaux éléments, notifiée à la société IQVIA OPERATIONS FRANCE le 24 novembre 2025 ;

Vu les nouvelles observations écrites versées par la société les 23 décembre 2025 et 8 janvier 2026 ;

Vu la clôture de l’instruction, notifiée à la société le 16 février 2026 ;

Vu le courrier du président de la formation restreinte notifié le même jour, informant la société que le dossier était inscrit à l’ordre du jour de la formation restreinte du 26 mars 2026 ;

Vu les pièces complémentaires transmises par la société les 24 et 26 mars 2026 ;

Vu les observations orales formulées lors de la séance de la formation restreinte du 26 mars 2026 ;

Vu les autres pièces du dossier ;

Étaient présents, lors de la séance de la formation restreinte du 26 mars 2026 :

– M. Claude CASTELLUCCIA, commissaire, entendu en son rapport ;

En qualité de représentants de la société IQVIA OPERATIONS FRANCE :

[…].

La société IQVIA OPERATIONS FRANCE ayant été informée de son droit de garder le silence sur les faits qui lui étaient reprochés et ayant eu la parole en dernier ;

La formation restreinte a adopté la décision suivante :

I. FAITS ET PROCÉDURE

1. La société IQVIA OPERATIONS FRANCE (ci-après,  » la société  » ou  » la société IQVIA « ) est une société par actions simplifiée à associé unique dont le siège social est situé 17 bis place des Reflets à Courbevoie (92400).

2. Elle appartient au groupe étasunien IQVIA (anciennement QUINTILES et IMS HEALTH, INC.), présent dans plus de cent pays dans le monde et qui se présente, sur son site web, comme le  » leader mondial de la recherche clinique et de la donnée de santé « .

3. La société IQVIA OPERATIONS FRANCE exerce notamment une activité de conseil et de réalisation d’études, pour son propre compte ou pour le compte de laboratoires pharmaceutiques. Dans ce cadre, elle analyse l’activité des officines ainsi que le suivi des parcours de soins des patients, en s’appuyant sur deux entrepôts de données de santé que la Commission nationale de l’informatique et des libertés (ci-après,  » la CNIL  » ou  » la Commission « ) l’a autorisée à constituer en application de l’article 66-III de la loi n° 78-17 du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés (ci-après,  » la loi Informatique et Libertés  » ou  » la loi du 6 janvier 1978 modifiée « ) :

– l’entrepôt Longitudinal prescription data (ci-après,  » LRX « ), alimenté par des données collectées auprès d’officines et autorisé par la délibération n° 2018-289 du 12 juillet 2018 ;

– l’entrepôt Electronic medical records (ci-après,  » EMR « ), alimenté par des données collectées auprès de médecins et autorisé par la délibération n° 2021-015 du 4 février 2021.

4. La société IQVIA OPERATIONS FRANCE a réalisé, en 2023, un chiffre d’affaires de 152,6 millions d’euros, pour un résultat net de 23,3 millions d’euros. La société mère du groupe, IQVIA HOLDINGS INC., a réalisé pour la même année un chiffre d’affaires de 15 milliards de dollars (soit environ 12,9 milliards d’euros), pour un bénéfice de 1,3 milliard de dollars (soit environ 1,1 milliard d’euros).

5. A la suite de la diffusion d’un reportage sur une chaîne de télévision grand public, dont une partie était consacrée aux données traitées par la société IQVIA, la CNIL a, le 17 mai 2021, publié sur son site web un communiqué rappelant le cadre légal applicable et les conditions dans lesquelles la société avait été autorisée à constituer l’entrepôt LRX. Elle a précisé à cette occasion qu’au regard des éléments portés à la connaissance du public, des contrôles seraient diligentés.

6. En parallèle, la CNIL a, après la diffusion du reportage, été saisie de plusieurs plaintes et signalements émanant de particuliers et d’associations, relatifs aux traitements mis en œuvre par la société IQVIA.

7. Les 6 et 7 juillet 2021, une délégation a procédé à un contrôle sur place au siège de la société IQVIA OPERATIONS FRANCE. Cette opération avait pour but de vérifier le respect des dispositions de la loi du 6 janvier 1978 modifiée et du règlement (UE) 2016/679 du 27 avril 2016 (ci-après,  » le RGPD « ). Les procès-verbaux dressés à l’issue ont été notifiés à la société IQVIA OPERATIONS FRANCE le 15 juillet 2021.

8. La société a communiqué à la délégation des éléments complémentaires les 28 juillet, 3 septembre, 16 décembre 2021, 11 février et 4 octobre 2022.

9. Par ailleurs, les 24 septembre, 29 octobre et 26 novembre 2021, des contrôles sur place ont été menés auprès de six officines parisiennes, partenaires de la société IQVIA OPERATIONS FRANCE. Les procès-verbaux dressés à l’issue ont également été adressés à la société.

10. Aux fins d’instruction de ces éléments, la présidente de la Commission a, le 18 juillet 2024, désigné M. Claude CASTELLUCCIA en qualité de rapporteur sur le fondement de l’article 22 de la loi du 6 janvier 1978 modifiée.

11. Le 31 mars 2025, à l’issue de son instruction, le rapporteur a notifié à la société un rapport détaillant les manquements aux articles 66 de la loi Informatique et Libertés, 14 et 25 du RGPD qu’il estimait constitués en l’espèce. Ce rapport proposait à la formation restreinte de prononcer à l’encontre de la société une amende administrative, ainsi qu’une injonction de mettre en conformité ses pratiques avec les dispositions susvisées, assortie d’une astreinte. Il proposait également que cette décision soit rendue publique mais qu’il ne soit plus possible d’identifier nommément la société à l’expiration d’un délai de deux ans à compter de sa publication.

12. Plusieurs échanges d’écritures ont par la suite eu lieu entre le rapporteur et la société, jusqu’à la clôture de l’instruction notifiée à la société le 16 février 2026.

13. A l’issue de la procédure contradictoire écrite, le rapporteur et la société ont présenté des observations orales lors de la séance de la formation restreinte.

II. MOTIFS DE LA DECISION

A. Sur la procédure

1. Sur la prétendue violation de l’article 6 de la Convention européenne des droits de l’homme

14. La société fait valoir que la durée de la procédure suivie à son encontre est excessive et constitue une violation de son droit à un procès équitable, tel que garanti par l’article 6 de la Convention européenne des droits de l’homme (ci-après,  » CEDH « ). Elle considère en effet qu’au regard des critères dégagés par la Cour européenne des droits de l’homme (ci-après,  » Cour EDH « ) et le Conseil d’Etat, qui permettent d’apprécier le caractère raisonnable de la durée d’une procédure, au regard de la complexité de l’affaire, du comportement du requérant, du comportement de l’autorité concernée et de l’enjeu du litige pour l’intéressé, le délai de trois ans et neuf mois s’étant écoulé entre la décision de contrôle de la présidente de la CNIL le 29 juin 2021 et la réception du rapport de sanction le 31 mars 2025 n’est pas justifié. Elle relève que ce délai est très largement supérieur aux délais moyens de traitement des dossiers par la Commission, laquelle disposait par ailleurs, dès le 4 octobre 2022, de l’ensemble des éléments lui permettant de statuer.

15. La société considère que compte tenu de ces délais, elle n’a pu  » disposer du temps et des facilités nécessaires à la préparation de sa défense « , n’ayant pas été informée  » dans le plus court délai  »  » de la nature et de la cause de l’accusation portée contre elle « , près de vingt-et-un mois s’étant écoulés entre son dernier contact avec la CNIL et la notification de la désignation d’un rapporteur, auxquels viennent s’ajouter les huit mois séparant la désignation du rapporteur et la notification du rapport de sanction. Elle indique à cet égard que les équipes ont été amenées à évoluer pendant ce laps de temps, que plusieurs personnes présentes au moment des opérations de contrôles (dont certaines occupaient un rôle déterminant) ont quitté la société et qu’elle ne dispose plus aujourd’hui de l’ensemble des éléments pertinents, ce qui est de nature à entrainer des difficultés dans la préparation de sa défense.

16. En réponse aux observations du rapporteur, qui fait valoir que les garanties de l’article 6 de la CEDH n’ont vocation à s’appliquer qu’à compter du moment où une accusation est portée à l’encontre de la personne concernée (soit à compter de l’engagement d’une procédure de sanction), la société soutient au contraire que ces dispositions sont également applicables à la phase d’instruction. Elle considère qu’elles le sont d’autant plus qu’IQVIA faisait l’objet de soupçons avant même les opérations de contrôles, en raison de la diffusion du reportage réalisé par le magazine  » Cash Investigations  » et des plaintes adressées à la CNIL.

17. La société considère que la violation des dispositions de l’article 6 de la CEDH vicie l’ensemble de la procédure, et indique se réserver le droit d’exercer tout recours, y compris juridictionnel.

18. La formation restreinte rappelle qu’aux termes de l’article 6, paragraphe 1 de la CEDH,  » toute personne a droit à ce que sa cause soit entendue équitablement, publiquement et dans un délai raisonnable, par un tribunal indépendant et impartial, établi par la loi, qui décidera, soit des contestations sur ses droits et obligations de caractère civil, soit du bien-fondé de toute accusation en matière pénale dirigée contre elle « . Le paragraphe 3 dispose que  » tout accusé a droit notamment à : a) être informé, dans le plus court délai, dans une langue qu’il comprend et d’une manière détaillée, de la nature et de la cause de l’accusation portée contre lui ; b) disposer du temps et des facilités nécessaires à la préparation de sa défense […] « .

19. La Cour européenne des droits de l’homme a précisé à plusieurs reprises que la période à prendre en considération pour apprécier le caractère raisonnable du délai dans lequel toute personne a droit à ce que sa cause soit entendue  » commence nécessairement le jour où une personne se trouve accusée, sans quoi il ne serait pas possible de statuer sur le bien-fondé de l’accusation  » (CEDH, Neumeister c. Autriche, 27 juin 1968, n° 1936/63, point 18), cette accusation devant s’entendre  » comme la notification officielle, émanant de l’autorité compétente, du reproche d’avoir accompli une infraction  » (CEDH, Deweer c. Belgique, 27 février 1980, n° 6903/75, point 46).

20. S’agissant des procédures de sanction menées devant le CNIL, l’article 22 de la loi Informatique et Libertés prévoit que les mesures susceptibles d’être prononcées par la formation restreinte le sont sur la base d’un rapport établi par l’un des membres de la Commission, désigné par le président de celle-ci. C’est donc au rapporteur qu’il appartient, après avoir procédé à toutes diligences utiles en application de l’article 39 du décret n° 2019-536 du 29 mai 2019 pris pour l’application de la loi Informatique et Libertés, de déterminer si des manquements sont susceptibles d’être reprochés à la personne ou à l’organisme mis en cause et de décider, soit de mettre fin à la procédure, soit d’établir le rapport susvisé, qui comprend les griefs formulés à l’encontre de la personne physique ou morale visée.

21. Le Conseil d’Etat a ainsi jugé que  » le principe des droits de la défense s’applique seulement à la procédure ouverte par la notification du rapport prévu par l’article 22 de la loi du 6 janvier 1978, dans les conditions prévues par le premier alinéa de cet article et par l’article 40 du décret du 29 mai 2019, et non aux diligences préalables effectuées par le rapporteur ou aux contrôles réalisés à sa demande en application de l’article 39 de ce décret  » (CE, 10ème/9ème ch., 14 mai 2024, n° 472221, inédit).

22. En application de cette jurisprudence, ce n’est donc qu’à compter de la notification du rapport de sanction que la personne mise en cause se trouve  » accusée  » et que les garanties prévues à l’article 6 de la CEDH, visant notamment à assurer le droit de  » toute personne [à voir] sa cause […] entendue dans un délai raisonnable « , doivent s’appliquer.

23. En tout état de cause, les garanties prévues à l’article 6 de la CEDH ne peuvent trouver à s’appliquer au stade de la phase de contrôle, par définition préalable à l’ouverture de la procédure de sanction et à la notification de griefs et ayant pour seul objet la collecte d’éléments factuels relatifs aux pratiques en cause. La Cour européenne des droits de l’homme considère à cet égard qu’ » exiger que semblable enquête préparatoire soit assujettie aux garanties d’une procédure judiciaire énoncées à l’article 6 par. 1 (art. 6-1) gênerait indûment, en pratique, la réglementation efficace, dans l’intérêt public, d’activités financières et commerciales complexes  » (Saunders c. Royaume Uni, 17 décembre 1996, n° 19187/91, § 67 ; Fayed c. Royaume-Uni, 21 sept. 1994, n° 17101/90, point 62).

24. En l’espèce, la présidente de la Commission a, le 18 juillet 2024, saisi la formation restreinte et désigné un rapporteur chargé d’instruire le dossier et d’établir le rapport visé à l’article 22 de la loi Informatique et Libertés. Ce rapport, qui contient les griefs formulés à l’encontre de la société IQVIA, a été notifié à cette dernière le 31 mars 2025. La formation restreinte relève ainsi qu’il s’est écoulé moins d’un an entre la notification du rapport – date à laquelle une  » accusation  » a été portée à l’encontre de la société au sens de l’article 6 de la CEDH – et la séance au cours de laquelle elle a examiné le dossier, et vingt mois entre la désignation du rapporteur et la tenue de la séance précitée. Elle considère que ces délais, compte tenu notamment de la complexité du dossier (l’architecture des traitements mis en œuvre présentant une technicité particulière), de la pluralité de manquements relevés, du nombre de pièces dont le rapporteur a dû prendre connaissance et des nombreux échanges ayant eu lieu entre ce dernier et la société dans le cadre du contradictoire, ne sont en rien déraisonnables.

25. La formation restreinte souligne par ailleurs que, si le dossier devait initialement être examiné lors de la séance du 16 octobre 2025, la société a, le 7 octobre 2025, produit une analyse remettant en cause le fait que les données figurant dans ses entrepôts doivent être qualifiées de données à caractère personnel (argument qu’elle n’avait jusqu’alors jamais exprimé). Ainsi, ce n’est qu’en raison de la production de ces nouveaux éléments que le président de la formation restreinte a décidé de reporter la clôture de l’instruction et qu’une nouvelle phase contradictoire s’est ouverte, afin de permettre au rapporteur de répliquer et à la société de transmettre d’ultimes observations.

26. Par ailleurs, si la formation restreinte regrette qu’un délai de vingt-et-un mois se soit écoulé entre le dernier contact de la délégation de contrôle avec la société et la désignation d’un rapporteur, elle considère néanmoins, d’une part, qu’un tel délai n’est pas susceptible de constituer une violation de l’article 6 de la CEDH, pour les raisons développées supra et, d’autre part, que ce délai peut s’expliquer notamment par les éléments énumérés au point 24 de la présente délibération, tels que la complexité du dossier, le nombre de pièces à analyser et la pluralité des constats effectués pouvant constituer des manquements.

27. En outre, la formation restreinte rappelle que la société a disposé du délai d’un mois prévu à l’article 40 du décret n° 2019/536 pour répondre d’abord au rapport de sanction, puis aux observations en réponse du rapporteur. Le Conseil d’Etat a jugé que ce délai permettait aux personnes mises en cause de préparer et de présenter utilement leur défense (CE, 10ème et 9ème chambres, 19 juin 2020, n° 430810, Rec., point 13). Il convient également de relever que, comme indiqué au point 25 de la présente délibération, la société a, le 7 octobre 2025, transmis une nouvelle analyse, comprenant de nouveaux arguments, que le président de la formation restreinte a, en application du III de l’article 40 du décret n° 2019-536 du 29 mai 2019, décidé de déclarer recevable. La société a également pu répondre aux dernières observations du rapporteur concernant cette analyse, portant à quatre les jeux d’écriture déposés par IQVIA à l’appui de sa défense. Dès lors, la société a été mise en mesure de répondre à l’ensemble des griefs formulés à son encontre et a pu apporter des éléments précis et circonstanciés.

28. Compte tenu de ce qui précède, la formation restreinte considère que les droits garantis par l’article 6 de la CEDH n’ont pas été méconnus.

2. Sur la prétendue méconnaissance de la charte des contrôles de la CNIL

29. La société fait valoir que les délais de traitement du dossier contreviennent aux principes édictés par la charte des contrôles de la CNIL, laquelle prévoit que  » l’instruction d’une procédure de contrôle est réalisée dans les meilleurs délais  » et qu’ » en cas de circonstances exceptionnelles allongeant le temps d’instruction du dossier, un courrier est adressé à l’organisme contrôlé, pour lui indiquer que l’instruction du dossier est toujours en cours « . Elle relève qu’en l’espèce, aucun courrier ne lui a été adressé entre ses derniers échanges avec la délégation de contrôle, le 4 octobre 2022, et le courrier l’informant de la désignation du rapporteur le 29 juillet 2024, et qu’elle ne pouvait donc s’attendre à faire l’objet d’une procédure de sanction.

30. La formation restreinte relève que la charte des contrôles de la CNIL, publiée sur son site web, a pour objectif d’assurer le bon déroulement des missions de contrôle en les faisant mieux connaître et en présentant les modalités pratiques les plus courantes de déroulement des contrôles. La formation restreinte considère que si cette charte permet d’offrir une plus grande prévisibilité des méthodes utilisées par les contrôleurs de la CNIL, elle n’a pas pour autant vocation à se substituer aux dispositions légales applicables, qui ne prévoient pas de délai spécifique à respecter entre la procédure de contrôle et la désignation d’un rapporteur. La charte précise en outre que si l’instruction est réalisée  » dans les meilleurs délais « , celle-ci  » se déroule toutefois sur une période de plusieurs mois « . Compte tenu des circonstances particulières rappelées précédemment, la formation restreinte considère que la durée de l’instruction, bien qu’importante, n’apparait pas excessive.

31. Par ailleurs, si la formation restreinte regrette que l’organisme n’ait pas été informé du fait que l’instruction était toujours en cours, une telle circonstance ne saurait néanmoins entacher la procédure d’une quelconque irrégularité.

B. Sur les traitements en cause et la responsabilité de la société IQVIA OPERATIONS FRANCE

32. La formation restreinte rappelle que la société IQVIA a été autorisée par la CNIL à constituer deux entrepôts de données de santé, LRX et EMR, à des fins de recherche, d’étude et d’évaluation, et que la présente procédure porte à titre principal sur le potentiel non-respect des autorisations délivrées.

33. A la suite de l’arrêt  » SRB  » rendu le 4 septembre 2025 par la Cour de justice de l’Union européenne, la société a introduit de nouveaux arguments visant à remettre en question le fait que les données figurant dans ces entrepôts doivent être considérées comme étant des données à caractère personnel. Elle conteste également être responsable des premières phases du traitement relatif à la constitution des entrepôts.

34. Au vu de ces nouveaux éléments, la formation restreinte considère qu’avant d’examiner les griefs soulevés par le rapporteur, il convient, premièrement, de présenter les finalités et modes d’alimentation des entrepôts LRX et EMR (1), deuxièmement, d’examiner la responsabilité de la société IQVIA dans la constitution de ces entrepôts (2) et, troisièmement, de déterminer si les données qui y figurent doivent être qualifiées de données à caractère personnel (3).

1. Présentation des entrepôts LRX et EMR

a. Sur l’entrepôt LRX

35. La délibération n° 2018-289 du 12 septembre 2018 prévoit que l’entrepôt LRX  » a vocation à permettre de mener des études non interventionnelles visant à l’évaluation de la bonne utilisation du médicament en vie réelle, l’analyse scientifique et statistique des phénomènes liés à la persistance, la conformité, le respect des prescriptions et des contre-indications « .

36. Pour constituer cet entrepôt, la société IQVIA collecte, auprès d’environ 14 000 officines partenaires, les données liées aux ventes de médicaments ainsi que, lorsque le pharmacien l’accepte (ce qui est le cas d’environ 10 000 officines), un code d’identification unique permettant un suivi longitudinal du parcours de chaque patient. Dans sa plaquette de présentation à destination des pharmaciens, la société évoque  » 20 millions de patients anonymisés suivis dans le temps « .

37. En pratique, la procédure mise en place par la société IQVIA se présente de la manière suivante : lorsque le pharmacien enregistre les ventes de médicaments dans son logiciel de gestion d’officine (ci-après,  » LGO « ), un module intégré à ce logiciel (développé par l’éditeur du LGO pour le compte d’IQVIA et selon un cahier des charges fixé par cette dernière) permet d’extraire les données et de générer un flux, nommé Pharmastat. Ce flux comprend non seulement les données relatives aux ventes de médicaments mais également un code d’identification du patient, généré par le module extracteur à l’aide d’une fonction de hachage à partir de l’INS-C (identifiant national de santé assigné aux personnes bénéficiaires de l’assurance maladie, utilisable dans l’ensemble du système de soins et qui permet d’associer le patient à ses données de santé), ainsi que le prénom, l’année de naissance et le genre de la personne concernée. Chaque patient se voit ainsi attribuer un code unique, qui est le même quelle que soit l’officine partenaire dans laquelle il se rend.

38. Ce code, associé aux données de dispensation des produits, est transmis successivement à deux tiers de confiance désignés par la société IQVIA, d’abord la société [X], puis la société [Y], lesquelles vont chacune procéder à un nouveau hachage du code d’identification afin de réduire les risques de réidentification des patients.

39. Les données ainsi pseudonymisées sont versées dans l’entrepôt LRX.

40. En contrepartie de la fourniture de ces données, la société transmet aux officines partenaires un tableau de bord de leurs données de vente, leur permettant de comparer leur activité à celle des autres officines et de gérer leur stock.

b. Sur l’entrepôt EMR

41. La délibération n° 2021-015 du 4 février 2021 prévoit que l’entrepôt EMR doit permettre  » de mener des études sur l’évaluation et l’analyse des pratiques de soins en médecine générale « .

42. Cet entrepôt est alimenté par deux flux, provenant de données collectées auprès de médecins :

– le flux  » [Z+]  » […], qui contient les données issues des consultations réalisées par des médecins généralistes et spécialistes utilisant les logiciels édités par la société [Z], laquelle a contracté avec la société IQVIA ;

– le flux  » DA  » (analyse de maladie), qui contient les données issues des consultations réalisées par des médecins généralistes utilisant des logiciels édités par les sociétés […] et […]. Afin de se voir transmettre les données, la société IQVIA a contracté directement avec chaque médecin du panel, dans le cadre du réseau  » Médical 21 « .

43. Ces flux sont transférés vers une plateforme intitulée  » Hub EMR « , hébergée par la société [Y], tiers de confiance certifié  » HDS  » (hébergeur de données de santé), qui les verse ensuite dans l’entrepôt EMR.

44. S’agissant du flux  » DA « , les données font l’objet d’une première étape de pseudonymisation opérée au sein même du logiciel médecin, puis d’une seconde réalisée par la société [Y].

45. S’agissant du flux  » [Z+] « , celles-ci ne font que traverser le  » Hub EMR « , sans modification de leur format.

46. Sont ainsi collectées, s’agissant des patients, des données d’identification (année de naissance, sexe, situation matrimoniale, nombre d’enfants, catégorie socio-professionnelle) ainsi que des données de santé issues des consultations (date de visite, diagnostic, symptômes, allergies, poids, taille, pouls, prescriptions médicamenteuses, vaccins, examens, arrêts de travail, etc.).

47. Chaque patient dispose d’un identifiant qui lui est propre, mais qui diffère pour chaque médecin consulté. La société a précisé qu’aucune corrélation n’était possible entre plusieurs cabinets.

48. En contrepartie de la fourniture de ces données à IQVIA, les médecins participant au panel peuvent bénéficier des publications réalisées par la société et participer à des études interventionnelles.

49. La société a indiqué lors du contrôle que les données de l’entrepôt EMR, tous flux confondus, provenaient d’environ 2 000 médecins. Sur sa plaquette de présentation de l’observatoire  » Médical 21  » à destination des médecins, elle évoque 3 000 médecins partenaires.

2. Sur la responsabilité de la société IQVIA OPERATIONS FRANCE vis-à-vis des traitements mis en œuvre aux fins de constitution des entrepôts LRX et EMR

50. L’article 4, point 2 du RGPD définit le  » traitement  » comme  » toute opération ou tout ensemble d’opérations effectuées ou non à l’aide de procédés automatisés et appliquées à des données ou des ensembles de données à caractère personnel, telles que la collecte, l’enregistrement, l’organisation, la structuration, la conservation, l’adaptation ou la modification, l’extraction, la consultation, l’utilisation, la communication par transmission, la diffusion ou toute autre forme de mise à disposition, le rapprochement ou l’interconnexion, la limitation, l’effacement ou la destruction « . La Cour de justice de l’Union européenne (ci-après,  » CJUE « ) a rappelé qu’il  » ressort de cette définition qu’un traitement de données à caractère personnel peut être constitué d’une ou de plusieurs opérations, chacune d’entre elles visant l’un des différents stades que peut contenir un traitement de données à caractère personnel  » (CJUE, 2ème ch., 29 juillet 2019, Fashion ID Gmbh, C-40/17).

[… passage central omis : décision trop longue pour une cellule …]

108. La possibilité technique d’une réidentification est par ailleurs attestée par le fait que, lorsqu’un patient souhaite s’opposer au traitement des données figurant déjà dans l’entrepôt EMR, il doit fournir à la société certaines informations (date et heure du rendez-vous, contenu de la prescription) qui permettent à la société de réidentifier la personne concernée et faire droit à sa demande d’opposition. La notice d’information à destination des patients confirme que, s’ils le souhaitent, ils ont la possibilité de  » transmettre à IQVIA des informations complémentaires qui pourraient l’aider à [les] identifier, le cas échéant, afin de permettre l’exercice de [leurs] droits « . Ces éléments – même s’ils proviennent dans ces cas de figure des personnes concernées – démontrent que, de façon générale, en disposant de quelques informations relatives aux consultations réalisées, la société IQVIA est tout à fait en mesure de lever le pseudonymat des données figurant dans les entrepôts LRX et EMR.

109. La société ne peut pas non plus soutenir que les moyens de réidentification évoqués ne pourraient être qualifiés de  » moyens raisonnables  » au motif qu’ils seraient  » illégaux  » car contraires, d’une part, aux stipulations des contrats conclus par la société avec ses partenaires et, d’autre part, aux règles régissant la protection des données.

110. Pour apprécier cette illégalité potentielle, la formation restreinte rappelle que, dans son arrêt Breyer, la CJUE considère que les moyens ne pourraient être qualifiés de raisonnables  » si l’identification de la personne était interdite par la loi  » (point 46 de l’arrêt). Cette précision a été reprise au point 82 de l’arrêt SRB.

111. D’une part, la formation restreinte considère qu’en englobant les contrats dans ce qui est  » interdit par la loi « , au sens de la jurisprudence de la CJUE, la société fait une lecture erronée des arrêts précités. En effet, il ne peut être considéré que le fait pour la société de conclure avec ses partenaires des contrats qui interdiraient à ces derniers de lui transmettre des éléments permettant la réidentification aurait pour conséquence de rendre l’identification de la personne  » interdite par la loi « . La formation restreinte estime que cette interdiction légale évoquée par la CJUE ne saurait découler de la simple rencontre de volontés de deux parties, au risque de permettre aux acteurs de soustraire aisément les données aux règles régissant la protection des données à caractère personnel, puisqu’il leur suffirait de prévoir, par des clauses contractuelles, que cette réidentification est interdite, alors même que dans les faits le risque persiste puisqu’elle est techniquement réalisable.

112. D’autre part, l’identification de la personne par le recoupement des données figurant dans les entrepôts avec celles disponibles à partir de sources ouvertes ne saurait être regardée, faute d’interdit explicite précis en ce sens, comme  » interdite par la loi  » au sens de cette jurisprudence, quand bien même la conformité au RGPD d’une telle pratique de collecte en sources ouvertes peut, dans certaines configurations, être sujette à caution. A cet égard, la simplicité avec laquelle il est possible d’obtenir des données à partir de sources ouvertes afin de les recouper avec celles figurant dans les entrepôts LRX et EMR, sans avoir recours à aucun moyen manifestement illégal en tant que tel, doit conduire à considérer qu