Données de santé : ce que l'affaire IQVIA enseigne au secteur, du RGPD à l'IA

Le 26 mai 2026, la CNIL a infligé une amende de 5 millions d'euros à IQVIA Operations France pour la gestion de deux entrepôts de données de santé alimentés par des milliers de pharmacies et de médecins. Trois mois plus tôt, le Conseil d'État confirmait les sanctions prononcées contre des sociétés du groupe Cegedim. Ces deux affaires disent la même chose. Dans la santé, la frontière entre donnée exploitable et donnée personnelle est beaucoup plus fine qu'on ne le croit, et l'essor de l'IA la rend encore plus décisive.

Un secteur pas comme les autres

Toutes les organisations traitent des données personnelles. Peu le font dans un cadre aussi dense que celui de la santé. Plusieurs couches juridiques s'y superposent, et chacune ajoute ses propres exigences.

Une catégorie particulière au sens du RGPD. Les données de santé font partie des données dont le traitement est interdit par principe (article 9 du RGPD), sauf exceptions limitativement énumérées. Il ne suffit donc pas d'identifier une base légale classique. Il faut en plus justifier d'une exception, comme la prise en charge sanitaire, l'intérêt public dans le domaine de la santé ou la recherche.

Le secret médical. L'article L.1110-4 du code de la santé publique protège les informations concernant la personne prise en charge. Le partage entre professionnels est encadré, et une violation n'est pas seulement un manquement RGPD. Elle peut aussi engager la responsabilité pénale et déontologique des professionnels concernés.

Un régime spécifique pour la réutilisation. Dès que les données quittent le soin pour servir des études, de la recherche ou l'entraînement d'un modèle, la loi Informatique et Libertés impose des formalités propres. Il faut soit se conformer à une méthodologie de référence de la CNIL, soit obtenir une autorisation. Les entrepôts de données de santé relèvent de ce régime.

Un hébergement certifié. L'hébergement de données de santé pour le compte d'un tiers impose le recours à un hébergeur certifié HDS (article L.1111-8 du code de la santé publique). Le choix d'un prestataire cloud ou d'un outil SaaS n'est donc jamais neutre.

Des données qui durent. Le dossier médical d'un patient hospitalisé se conserve en principe vingt ans à compter de son dernier passage. Plus une donnée vit longtemps, plus elle est exposée aux fuites, aux réutilisations non prévues et aux évolutions techniques qui facilitent la réidentification.

Une chaîne d'acteurs très longue. Une même donnée peut transiter par un médecin, un pharmacien, un éditeur de logiciel métier, un hébergeur, un entrepôt de données, un laboratoire pharmaceutique et une équipe de recherche. Chacun porte une partie de la conformité, et un maillon faible suffit à la compromettre. C'est précisément ce que montre l'affaire IQVIA.

L'affaire IQVIA, un cas d'école

IQVIA Operations France réalise des études sur les maladies et les traitements, notamment pour des laboratoires pharmaceutiques. Elle exploite deux entrepôts autorisés par la CNIL. Le premier, LRX, autorisé en 2018, est alimenté par environ 14 000 pharmacies. Le second, EMR, autorisé en 2021, est alimenté par plusieurs milliers de médecins.

Les contrôles de la CNIL ont fait apparaître plusieurs écarts entre les conditions de ces autorisations et la réalité. Les journaux de connexion n'étaient pas analysés régulièrement pour détecter des activités anormales. L'accès à l'entrepôt EMR ne reposait pas sur une authentification multifacteur. La notice d'information destinée aux patients comportait des inexactitudes et aucune procédure effective ne permettait d'exercer son droit d'opposition. Enfin, aucune des quatre pharmacies contrôlées n'informait ses clients de la transmission de leurs données à IQVIA.

La formation restreinte a prononcé une amende de 5 millions d'euros, assortie d'une injonction de se mettre en conformité sous six mois, sous astreinte de 10 000 euros par jour de retard. Pour fixer ce montant, elle a retenu la sensibilité des données, le nombre de personnes concernées, qui se compte en dizaines de millions, ainsi que la position de marché et la capacité financière de la société.

L'enseignement RGPD, pseudonymiser n'est pas anonymiser

Le cœur du dossier tient en une question. Ces données étaient-elles encore des données personnelles ? La réponse de la CNIL est oui. Les patients n'y figuraient pas sous leur nom, mais sous un identifiant unique, associé à des informations détaillées comme l'année de naissance, le sexe, le diagnostic, les symptômes, les allergies, le poids ou la taille. Croisées avec d'autres sources, notamment publiques, ces informations permettent de réidentifier des personnes. Les données étaient donc pseudonymisées, pas anonymisées, et le RGPD s'appliquait pleinement.

Ce raisonnement n'est pas isolé. Le 13 février 2026, le Conseil d'État a confirmé les sanctions de la CNIL visant GERS et Cegedim Santé, soit 1,8 million d'euros au total, pour des bases alimentées par des logiciels de médecins et de pharmacies. Il y rappelle, à la suite de la Cour de justice de l'Union européenne, qu'une donnée n'est anonyme que si le risque d'identification est insignifiant. Dans cette affaire, la CNIL avait montré qu'un simple tableur et les nomenclatures fournies suffisaient à isoler des individus, grâce à des dates et heures de consultation précises, à l'âge, au sexe ou aux identifiants des prescripteurs.

La leçon est directe pour tout acteur du secteur. Retirer le nom et le numéro de sécurité sociale ne fait pas sortir une base du champ du RGPD. Plus une donnée de santé est riche, et c'est justement ce qui fait sa valeur pour la recherche, plus elle est réidentifiable. L'anonymisation véritable se démontre, elle ne se présume pas.

L'enseignement IA, des entrepôts devenus matière première

Ces affaires dépassent le seul cadre des études pharmaceutiques. Les entrepôts de données de santé sont aujourd'hui la matière première de l'intelligence artificielle médicale, qu'il s'agisse d'aide au diagnostic, de détection précoce des risques ou d'automatisation des comptes rendus.

L'actualité l'a montré en juillet 2026. Doctolib a annoncé à ses utilisateurs le lancement d'un programme de recherche en IA, mené avec l'Inria, l'Inserm et l'Université Paris Cité, à partir des données démographiques et de santé issues de ses services. Le dispositif s'appuie sur une méthodologie de référence de la CNIL qui permet d'inclure les personnes sans recueillir leur consentement, à condition de les informer et de leur permettre de s'y opposer. Le cadre existe et il est légal. Mais l'affaire IQVIA rappelle qu'un cadre autorisé n'a de valeur que si l'information parvient réellement aux personnes et si l'opposition fonctionne en pratique.

Pour un projet d'IA en santé, trois conséquences en découlent.

Les données d'entraînement restent des données personnelles. Un jeu de données pseudonymisé utilisé pour entraîner un modèle reste soumis au RGPD. Base légale, exception de l'article 9, formalités de recherche, information des personnes, droits, sécurité, tout doit être traité avant l'entraînement et non après.

Le modèle lui-même peut porter un risque. Un modèle entraîné sur des données de santé détaillées peut, dans certains cas, mémoriser et restituer des informations sur des patients. La question de la réidentification ne s'arrête donc pas à la base de données, elle se pose aussi pour le système d'IA qui en est issu.

L'AI Act ajoute une couche, avec un calendrier repoussé. Une IA intégrée à un dispositif médical relève des systèmes à haut risque. Avec le règlement omnibus (UE) 2026/1744, entré en vigueur le 27 juillet 2026, les obligations correspondantes s'appliqueront à partir du 2 août 2028. Ce report ne doit pas être lu comme un répit. Les exigences de gouvernance des données, de documentation et de contrôle humain qu'il annonce se préparent sur plusieurs années, et le RGPD, lui, s'applique déjà. En France, le code de la santé publique impose en outre au professionnel qui utilise un dispositif médical fondé sur l'apprentissage automatique d'en informer le patient (article L.4001-3).

La sécurité, l'autre front

Les établissements de santé sont des cibles privilégiées des cyberattaques. Le 3 septembre 2026, la CNIL a sanctionné l'Hôpital Privé de la Loire à hauteur de 500 000 euros. À l'été 2025, un attaquant s'était connecté à son dossier patient informatisé et avait accédé aux données de 524 867 patients et de 202 246 personnes désignées comme tiers de confiance. La CNIL a relevé une authentification insuffisamment robuste, une politique de gestion des accès inadaptée et l'absence de détection des activités suspectes, qui a laissé l'attaquant explorer le système pendant plusieurs jours.

On retrouve ici les mêmes manques que chez IQVIA, l'authentification multifacteur et l'analyse des journaux. Ce ne sont pas des mesures avancées. Ce sont les fondamentaux, et leur absence suffit désormais à justifier une sanction.

Ce que nous recommandons aux acteurs de santé

Cartographier les flux réels. Savoir quelles données sortent de vos logiciels métier, vers qui et pour quoi faire. Dans l'affaire IQVIA, aucune des pharmacies contrôlées n'informait ses clients. Un logiciel qui transmet des données par défaut engage aussi celui qui l'utilise.

Tester l'anonymisation plutôt que la supposer. Avant de qualifier une base d'anonyme, la confronter aux critères du CEPD et de la CNIL, individualisation, corrélation et inférence. Dans le doute, la traiter comme une donnée personnelle.

Encadrer chaque réutilisation. Études, recherche, entraînement d'un modèle d'IA. Chaque finalité secondaire doit reposer sur la bonne formalité, méthodologie de référence ou autorisation, et ses conditions doivent être respectées dans la durée, pas seulement au moment du dépôt.

Rendre l'information et l'opposition effectives. Une notice exacte, accessible au point de contact avec le patient, et une procédure d'opposition qui fonctionne réellement de bout en bout, y compris chez les partenaires.

Traiter les fondamentaux de sécurité. Authentification multifacteur sur les accès sensibles, revue des habilitations, analyse régulière des journaux, hébergement HDS. Puis mener une analyse de risques et, dès que le traitement le justifie, une analyse d'impact (AIPD).

Préparer l'IA dès sa conception. Pour tout projet d'IA en santé, documenter l'origine des données d'entraînement, leur qualification juridique, les risques de réidentification et le rôle du contrôle humain. C'est ce que demandera l'AI Act, et c'est déjà ce que demande le RGPD.

La valeur des données de santé est aussi leur risque

Ce qui rend les données de santé si précieuses pour la recherche et pour l'IA, leur richesse, leur précision, leur profondeur dans le temps, est exactement ce qui les rend difficiles à protéger. Les affaires IQVIA et Cegedim montrent que les autorités ne se contentent plus de vérifier qu'une autorisation existe. Elles vérifient que ses conditions sont respectées, maillon par maillon, jusqu'à la pharmacie de quartier.

Pour les établissements, les professionnels, les éditeurs et les acteurs de la recherche, la question n'est plus de savoir si leurs données sont utiles. Elle est de savoir s'ils peuvent démontrer, à tout moment, qu'elles sont utilisées dans le cadre prévu.