Le 22 octobre 2026, DSIH a publié une tribune de Monsieur Alexandre Fiévée et de Madame Alice Robert, avocats au cabinet Derriennic Associés, sur deux décisions récentes visant le groupe IQVIA : 5 millions d'euros d'amende prononcés par la CNIL le 26 mai 2026, puis 7 millions d'euros par l'autorité italienne de protection des données le 23 septembre 2026. Dans les deux dossiers, l'entreprise affirmait traiter des données anonymes. Les deux autorités ont conclu que ces données restaient personnelles. Pour les directions d'établissements de santé, qui multiplient les projets d'entrepôts de données et d'outils d'intelligence artificielle, ces décisions fixent une ligne très concrète.
Pourquoi IQVIA a-t-il été sanctionné en France et en Italie ?
En France, la décision de la CNIL porte sur deux entrepôts de données de santé : LRX, alimenté par environ 14 000 pharmacies, et EMR, alimenté par plusieurs milliers de médecins. Des dizaines de millions de personnes sont concernées. La formation restreinte a retenu plusieurs manquements : non-respect des conditions fixées dans les autorisations de la CNIL (analyse des journaux de connexion, authentification multifacteur, procédure d'opposition), défaut d'information des patients dans les pharmacies contrôlées, et logiciels qui transmettaient les données même quand le client avait refusé. L'entreprise dispose de six mois pour se mettre en conformité, sous astreinte de 10 000 euros par jour de retard.
En Italie, d'après la tribune de DSIH, la base concernée réunissait les dossiers d'environ un million de patients suivis par 800 médecins généralistes. Un module installé dans leur logiciel extrayait les données vers IQVIA, qui supprimait les noms mais conservait un code patient. Le Garante a retenu l'absence de base légale, une information insuffisante des patients, une analyse d'impact inachevée et des durées de conservation mal maîtrisées.
Pourquoi des données « sans les noms » restent-elles des données personnelles ?
C'est le point commun des deux décisions, et le plus utile pour un établissement. IQVIA s'appuyait sur un arrêt de la Cour de justice de l'Union européenne du 4 septembre 2025 sur la pseudonymisation. Les autorités française et italienne ont répondu de la même manière : avec un identifiant unique par patient et un historique de soins détaillé (diagnostics, prescriptions, examens, parfois situation familiale ou localisation), une personne peut être retrouvée par des moyens raisonnables, y compris en croisant ces données avec des informations publiques. L'intention de réidentifier n'a aucune importance. La CNIL a donc qualifié les données de pseudonymes, et le RGPD s'applique en totalité, avec le régime renforcé des données de santé.
Les auteurs de la tribune ajoutent un point que beaucoup d'établissements ignorent : l'opération d'anonymisation constitue elle-même un traitement de données personnelles. Elle doit donc reposer sur une base légale et faire l'objet d'une information des personnes.
Qu'est-ce que cela change pour les projets d'IA en établissement de santé ?
Les établissements se trouvent aujourd'hui dans une situation proche de celle des médecins italiens. Un export du dossier patient informatisé envoyé à un éditeur pour entraîner ou tester un modèle, un entrepôt de données ouvert à un partenaire industriel, un assistant d'IA générative qui reçoit un compte rendu à reformuler : à chaque fois, les mêmes questions se posent. Qui décide des finalités et des moyens du traitement ? Sur quelle base légale ? Qui a informé les patients ? Qu'est-ce qui, dans un champ libre ou un code interne, permet encore de retrouver une personne ?
La tribune de DSIH recommande trois vérifications : identifier qui organise réellement l'extraction des données, mesurer quels recoupements restent possibles, et s'assurer que des contrôles détectent les informations identifiantes, notamment dans les textes libres. Les contrats doivent ensuite refléter les rôles réellement exercés, responsable de traitement ou sous-traitant. Le Garante a précisément reproché à IQVIA de ne pas avoir qualifié les médecins comme sous-traitants pour cette activité, distincte de leur mission de soins.
Que dit la HAS sur les données dans les outils d'IA générative ?
La Haute Autorité de santé, dans ses « Premières clefs d'usage de l'IA générative en santé » (octobre 2025, mises à jour en avril 2026), pose une règle simple : aucune donnée confidentielle dans les requêtes adressées à un outil d'IA générative, et un usage supervisé par le professionnel. Le projet de guide HAS-CNIL sur les systèmes d'IA en contexte de soins, soumis à consultation au printemps 2026, va plus loin en confiant à la direction de la structure la gouvernance de l'IA et en recommandant une formation préalable à l'utilisation de tout système d'IA.
Appliquer ces règles suppose que les personnes qui manipulent les données sachent les lire avec l'œil de la CNIL. Un compte rendu dont on a retiré le nom du patient contient souvent une date d'hospitalisation, un service, un âge, une pathologie rare. Pour l'autorité de contrôle, cela suffit.
Comment ARCADIA accompagne-t-elle les directions sur ce sujet ?
Chez ARCADIA, c'est l'objet de notre formation « IA en santé pour cadres, directeurs et médecins », sur deux jours. Elle donne aux équipes de direction, aux DSI et aux responsables médicaux le cadre juridique des données de santé appliqué aux outils d'IA : distinction entre pseudonymisation et anonymisation, répartition des rôles entre responsable de traitement et sous-traitant, bases légales mobilisables, et contrôles à mettre en place avant d'ouvrir un entrepôt ou un outil d'IA à un partenaire. La formation s'appuie sur les référentiels de la CNIL et de la HAS et sur des cas tirés de décisions publiées, comme celles commentées ici.
Pour en discuter pour votre établissement, contactez ARCADIA ou consultez nos formations IA en santé.
Questions fréquentes
Une donnée de santé pseudonymisée est-elle soumise au RGPD ?
Oui. La CNIL et le Garante italien ont tous deux jugé que des données reliées à un identifiant patient unique, avec un historique de soins détaillé, restent des données personnelles tant qu'une réidentification est possible par des moyens raisonnables. Le régime des données de santé s'applique alors en totalité.
L'anonymisation de données de santé nécessite-t-elle une base légale ?
Oui. Selon la tribune de DSIH, le Garante a rappelé que l'anonymisation est elle-même un traitement de données personnelles. Elle doit reposer sur une base légale et s'accompagner d'une information des personnes concernées.
Un établissement qui transmet des données à un éditeur d'IA est-il responsable de traitement ?
Cela dépend de qui détermine les finalités et les moyens. Dans le dossier italien, IQVIA a été qualifié de responsable de traitement alors que les opérations se déroulaient dans les logiciels des médecins. Les contrats doivent refléter les rôles réellement exercés.
Que risque un établissement en cas de manquement ?
Les sanctions visent ici un industriel, avec des montants à l'échelle de son activité. Pour un établissement, la CNIL dispose des mêmes pouvoirs : mise en demeure, injonction sous astreinte, amende administrative, publicité de la décision.
Source commentée : tribune de Monsieur Alexandre Fiévée et Madame Alice Robert, DSIH, 22 octobre 2026 ; décision CNIL SAN-2026-008 du 26 mai 2026.