L'autorité italienne de protection des données a condamné IQVIA Solutions Italy S.r.l. à une amende de 7 000 000 euros pour traitement illicite de données de santé de patients, selon un avis publié par le Comité européen de la protection des données. Le CEPD le répertorie comme un cas national et indique le 23 septembre 2026 comme date de la décision finale. Le résumé complet est disponible sur le site Web du CEPD.

IQVIA Solutions Italy appartient à un groupe multinational actif dans l'analytique des données de santé et la recherche clinique. L'enquête portait sur une base de données contenant des informations de santé sur environ un million de patients suivis par 800 médecins généralistes. Cette base de données a été utilisée pour des études, notamment des études commandées par des entreprises pharmaceutiques.

L'affaire a débuté par des inspections en avril 2025. Le Garante italien a ensuite joint cette enquête à des procédures distinctes concernant une violation de données personnelles que IQVIA elle-même avait notifiée. Autrement dit, la société a signalé un incident, et l'autorité de contrôle a profité de la visite pour examiner l'ensemble de ses opérations. Toute organisation ayant notifié une violation et ayant ensuite vu la portée des questions s'élargir reconnaîtra ce schéma.

La conclusion centrale est sans appel. Les données n'étaient pas anonymes, en dépit de l'affirmation contraire d'IQVIA. Un identifiant persistant avait été attribué à chaque patient, et cet identifiant permettait de suivre les individus à travers l'ensemble du jeu de données. Le résumé du CEPD disponible au moment de la rédaction de cet article s'interrompt en plein milieu d'une phrase sur ce point, de sorte que le libellé exact du raisonnement du Garante n'est pas entièrement reproduit dans l'avis. La direction est néanmoins claire: une clé stable qui suit la même personne d'un enregistrement à l'autre constitue de la pseudonymisation, et non de l'anonymisation, et les données pseudonymisées restent des données personnelles au sens du RGPD. Les données de santé constituent en outre une catégorie particulière au titre de l'article 9.

L'avis du CEPD énumère six dispositions du RGPD comme références juridiques de la décision:

• Article 5, les principes relatifs au traitement des données personnelles
• Article 9, le traitement des catégories particulières de données personnelles
• Article 13, les informations à fournir lorsque les données sont collectées auprès de la personne concernée
• Article 25, la protection des données dès la conception et par défaut
• Article 28, les obligations du sous-traitant
• Article 35, l'analyse d'impact relative à la protection des données

Les mots-clés associés à la décision sont les suivants: analyse d'impact relative à la protection des données, santé et recherche, anonymisation et pseudonymisation, protection de la vie privée dès la conception et par défaut, amendes, principes fondamentaux, et responsable du traitement et sous-traitant.

Plusieurs éléments sont absents du résumé publié. Il ne décrit pas la violation notifiée, ne précise pas comment l'amende a été répartie entre les six articles, n'indique pas quelles opérations de traitement étaient dépourvues d'analyse d'impact, et ne détaille pas les arrangements contractuels avec les clients pharmaceutiques en tant que sous-traitants. Il ne contient aucune déclaration d'IQVIA. Ces détails, s'ils sont publics, figurent dans la décision intégrale du Garante plutôt que dans l'avis du CEPD, et le présent article ne fait aucune spéculation à leur sujet.

Pourquoi une publication spécialisée en gestion des identités s'intéresse-t-elle à une amende portant sur des données de santé? Parce que ce qui a fait tomber la prétention à l'anonymat est un identifiant. Supprimer la colonne de noms tout en conservant une clé patient persistante équivaut, en matière de données, à verrouiller la porte d'entrée tout en laissant la clé collée dessus. Les équipes chargées des identités connaissent déjà cette réalité dans d'autres contextes. OpenID Connect propose des identifiants de sujet par paire précisément pour qu'une partie de confiance ne puisse pas corréler le même utilisateur entre différents services. Les coffres de tokenisation existent pour que seule la partie détenant la correspondance puisse retrouver la valeur stable d'un substitut. La question qu'un régulateur pose est la même que celle qu'un architecte IAM devrait poser à tout jeu de données: cette clé, seule ou combinée à d'autres données, permet-elle de reconstituer l'identité d'une personne? Si oui, il s'agit de données personnelles, et tous les contrôles en aval (finalité, information, analyse d'impact, contrat de sous-traitance) s'appliquent toujours.

L'aspect encourageant est qu'aucune nouvelle technologie n'est requise. Ce qu'il faut, c'est un inventaire honnête. La plupart des organisations disposent déjà des éléments nécessaires: un catalogue de données, un modèle d'analyse d'impact, un registre des contrats de sous-traitance, et des ingénieurs en identité qui comprennent la corrélation. L'écart tient généralement au fait que les personnes qui étiquettent un jeu de données comme « anonyme » et celles qui comprennent les identifiants ne se sont jamais trouvées dans la même réunion. Corriger cette lacune permet de réduire une grande partie du risque, à un coût nettement inférieur à sept millions d'euros.

Pour les équipes chargées des identités et de la sécurité, trois vérifications méritent d'être effectuées sans délai. Premièrement, dresser la liste des jeux de données que votre organisation décrit comme anonymes ou dépersonnalisés et y rechercher toute clé stable par personne, y compris les valeurs hachées réutilisées d'un enregistrement à l'autre ou dans le temps; si une telle clé existe, traiter le jeu de données comme des données personnelles pseudonymisées et confirmer qu'une analyse d'impact le couvre. Deuxièmement, examiner les accords de sous-traitance au titre de l'article 28 conclus avec tout partenaire d'analytique ou de recherche recevant des données au niveau patient, et vérifier que le contrat correspond aux flux réels. Troisièmement, confirmer que l'avis de confidentialité remis aux patients au moment de la collecte mentionne effectivement les utilisations à des fins de recherche et commerciales auxquelles les données servent en définitive, car l'article 13 figure dans cette décision pour une raison précise.