L'Italie inflige une amende de 7 millions d'euros à IQVIA
Le Garante italien sanctionne IQVIA pour le traitement de données de santé d'environ un million de patients sans base légale conforme au RGPD.
L'Autorité italienne de protection des données (GPDP) a infligé une amende de 7 millions d'euros (7,8 millions de dollars) à IQVIA pour des pratiques de traitement de données jugées non conformes, rapporte bleepingcomputer.com. La sanction porte sur la division italienne du groupe, qui a constitué une base de données contenant les informations de santé d'environ un million de patients en agrégeant les données de 800 médecins généralistes.
Selon le GPDP, les patients pouvaient être suivis et ré-identifiés au fil du temps grâce à un code unique combiné à des informations de santé détaillées. L'autorité a également estimé que la société avait traité ces données sans base légale appropriée et sans en informer les personnes concernées, en violation du RGPD.
En octobre 2025, les autorités italiennes avaient ouvert une enquête sur les pratiques de traitement des données d'IQVIA, comme le rappelle le GPDP. Le mois dernier, l'autorité avait déjà conclu que l'entreprise ne fournissait pas de garanties suffisantes d'anonymisation des données de santé. La base de données contenait des enregistrements remontant à 2001.
Des données nominatives pour une partie des patients
Le GPDP a précisé que, pour un sous-ensemble de 3 300 patients, la base d'IQVIA comportait des noms, des numéros d'identification fiscale, des adresses et des coordonnées.
L'autorité a ordonné à IQVIA de mettre ses pratiques en conformité dans un délai de 120 jours.
En bref
Quel est le montant de l'amende infligée à IQVIA par l'Italie ?
Le GPDP a infligé une amende de 7 millions d'euros (7,8 millions de dollars) à IQVIA.
Quel délai IQVIA a-t-il pour se mettre en conformité ?
L'autorité a ordonné à IQVIA de régulariser ses pratiques dans un délai de 120 jours.
Pourquoi le GPDP a-t-il sanctionné IQVIA ?
Le GPDP a jugé que la société avait traité des données sans base légale appropriée et sans informer les patients, en violation du RGPD, et que les patients pouvaient être ré-identifiés.