La Commission nationale de l’informatique et des libertés sanctionne la filiale française de la société américaine pour des manquements dans la gestion de données médicales sensibles
La Commission nationale de l’informatique et des libertés (Cnil) a annoncé jeudi avoir prononcé une amende de 5 millions d’euros à l’encontre de la filiale française de la société américaine Iqvia pour des manquements liés à la gestion des données de santé qu’elle traite. Iqvia France exerce une activité de conseil et réalise des études sur des maladies ou des traitements, pour son propre compte ou pour le compte de laboratoires pharmaceutiques.
Pour procéder à ces études, elle s’appuie sur deux entrepôts de données de santé que la Cnil l’a autorisée à constituer, l’un alimenté par des données collectées auprès d’environ 14 000 pharmacies et l’autre par des données collectées auprès de plusieurs milliers de médecins. La Cnil avait exigé un certain nombre de garanties pour limiter les risques pour les personnes et respecter leurs droits, les données de santé étant jugées sensibles.
À la suite de la diffusion d’un reportage du magazine « Cash Investigation » diffusé en mai 2021, la Cnil avait été saisie de plusieurs plaintes, de particuliers et d’associations, dénonçant un manque de transparence dans le traitement des données des patients. À l’issue de plusieurs contrôles menés par la Cnil, tant auprès de la société que de pharmacies partenaires, l’autorité a considéré que « la société n’avait pas respecté les termes des autorisations délivrées, s’agissant notamment de l’information des personnes, de l’exercice de leurs droits et de la sécurité des données », selon le communiqué.
Le montant de la sanction a été pris « au regard de la gravité des manquements relevés, qui concernent des données de santé, donc des données sensibles, du nombre élevé de personnes concernées (plusieurs dizaines de millions), de la position de la société sur le marché et de ses capacités financières », précise la Cnil. Le gendarme de la vie privée en France a également prononcé « des injonctions de prendre des mesures permettant de mettre fin à certains manquements dans un délai de six mois, sous peine de 50 000 euros par jour de retard ».