Demande d’autorisation n°  2231654v1.

La Commission nationale de l’informatique et des libertés,

Saisie le 4 décembre 2025 par la société IQVIA Opérations France d’une demande d’autorisation concernant un traitement de données automatisé ayant pour finalité la constitution d’un entrepôt de données de santé, dénommé HEALTHCARE ENRICHED HUB « HEH » ;

Vu le règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016 relatif à la protection des personnes physiques à l’égard du traitement des données à caractère personnel et à la libre circulation de ces données, et abrogeant la directive 95/46/CE (règlement général sur la protection des données) ;

Vu la loi n° 78-17 du 6 janvier 1978 modifiée relative à l’informatique, aux fichiers et aux libertés, notamment ses articles 66, 72 et suivants ;

Vu le dossier et ses compléments ;

Sur la proposition de M^me Marie Zins, commissaire, et après avoir entendu les observations de M. Damien Milic, commissaire du Gouvernement,

Au regard des observations suivantes :

Sur le responsable de traitement :

La société IQVIA Opérations France détermine les finalités et les moyens du traitement.

Sur la finalité du traitement, sa licéité et les conditions permettant de traiter des données concernant la santé :

Le traitement envisagé a pour finalité la constitution d’un entrepôt de données à caractère personnel comprenant notamment des données de santé, dénommé Healthcare Enriched Hub ou « HEH ».

La société IQVIA Opérations France bénéficie d’une autorisation (délibération n° 2021-015 du 4 février 2021) pour la mise en œuvre d’un entrepôt de données de santé, dénommé Electronic Medical Records ou « EMR », qui vise à mener des études sur l’évaluation et l’analyse des pratiques de soins en médecine générale. Cette base est alimentée par des données à caractère personnel regroupées dans deux bases préexistantes comportant les données longitudinales extraites de logiciels de gestion des dossiers médicaux de médecins généralistes en France.

L’entrepôt « HEH » contiendra les données de l’entrepôt « EMR » qui seront appariées, de manière probabiliste (indirecte) aux données correspondantes issues du Système national des données de santé (SNDS).

Les traitements qui seront mis en œuvre à partir de l’entrepôt « HEH » seront de deux ordres :

• ceux réalisés à l’initiative du responsable de traitement, par les personnels habilités de la société IQVIA Opérations France et de ses sous-traitants éventuels :

— réalisation d’études de faisabilité ;

— production et publication d’indicateurs agrégés et de pilotage stratégique de l’activité.

• ceux réalisés à des fins de recherche, d’étude ou d’évaluation dans le domaine de la santé :

— estimation de la prévalence / incidence des maladies ;

— analyse de la prise en charge des patients en fonction de leurs pathologies ;

— analyse des caractéristiques socio-démographiques et médicales des patients en fonction des pathologies ;

— description des conditions d’utilisation des produits de santé en pratique courante et évaluation de leur bonne utilisation ;

— analyse des disparités démographiques, régionales et des profils de prise en charge des médecins ;

— suivi de cohortes de patients et surveillance de la survenue d’évènements secondaires, le cas échéant indésirables ;

— mesure de l’efficacité et des risques liés à l’utilisation d’une thérapeutique au sens large ;

— mesure de l’apport et/ou de l’impact organisationnel d’une nouvelle technique, technologie, produit de santé ou pratique médicale ;

— mesure de l’impact d’une politique de santé ou autre politique publique ;

— mesure de la consommation de soins ;

— mesure de l’impact médico-économique d’une thérapeutique en vie réelle ;

— évaluation du parcours de soins dans son intégralité et sa valorisation économique ;

— développement d’algorithmes de prédiction.

Les finalités du traitement sont déterminées, explicites et légitimes, conformément aux dispositions de l’article 5-1-b) du RGPD.

Le traitement mis en œuvre par le responsable de traitement est nécessaire aux fins des intérêts légitimes qu’il poursuit. Ce traitement est licite au regard de l’article 6-1-f) du RGPD et remplit des conditions permettant le traitement des données concernant la santé au regard des dispositions de l’articles 9-2-j) du RGPD et 44-3° de la loi « informatique et libertés ».

Les données contenues dans cet entrepôt ne pourront, conformément aux dispositions de l’article L. 1461-1 du code de la santé publique (CSP), être exploitées à des fins de promotion des produits de santé en direction des professionnels de santé ou d’établissements de santé, ou à des fins d’exclusion de garanties des contrats d’assurance et de modification de cotisations ou primes d’assurance d’un individu ou d’un groupe d’individus présentant un même risque. De même, la CNIL rappelle l’interdiction de constituer et d’utiliser à des fins de prospection ou de promotion commerciale des fichiers composés à partir des données issues directement ou indirectement des prescriptions médicales, dès lors que ces fichiers permettent d’identifier directement ou indirectement le prescripteur (article L. 4113-7 du CSP).

Les utilisations futures des données contenues dans cet entrepôt s’inscriront dans le cadre des dispositions des articles 66 et 72 et suivants de la loi « informatique et libertés », qui imposent que chaque projet de recherche, étude ou évaluation soit justifié par l’intérêt public. Ces traitements devront faire l’objet de formalités propres.

Le dossier de demande indique que le traitement envisagé est conforme aux dispositions du référentiel « entrepôt de données dans le domaine de la santé », à l’exception :

— de la base légale du traitement ;

— de la nature des données traitées (appariement de données cliniques avec les données du SNDS).

En dehors de ces points, qui font l’objet d’un examen spécifique dans la présente autorisation, ce traitement devra respecter le cadre prévu par le référentiel « entrepôt de données dans le domaine de la santé ».

• Sur la gouvernance de l’entrepôt :

Une gouvernance commune aux entrepôts « EMR » et « HEH » sera mise en œuvre par la société IQVIA opérations France afin de maitriser l’exploitation qui sera faite des données de ces entrepôts, dans le respect des finalités déclarées et de l’intérêt public, avec une attention particulière quant à la prévention des finalités interdites. Cette gouvernance vise également à analyser, pour chaque projet, l’opportunité de recourir aux données de ces entrepôts.

Ce dispositif sera composé de plusieurs comités, composés de membres qualifiés en matière de traitements de données du SNDS.

La gouvernance spécifique à l’entrepôt « HEH » sera assurée par trois comités.

Le Comité stratégique a principalement pour missions de fixer les directions et arbitrer sur sollicitation du Comité opérationnel, certains des projets d’études ou de traitements de données, il se réunit régulièrement, au moins deux fois par an et sur demande du Comité opérationnel. Le Comité opérationnel a notamment pour rôle de mettre en application les décisions du Comité stratégique.

Il est également prévu un Comité scientifique et éthique, qui a pour mission de proposer les orientations stratégiques de l’entrepôt, de rendre, de manière systématique un avis préalable et motivé sur les sollicitations de traitements à des fins de recherche, d’étude ou d’évaluation dans le domaine de la santé de l’entrepôt, qu’ils soient mis en œuvre par la société IQVIA Opérations France en tant que responsable de traitement ou en réponse à des sollicitations clients et de relire le rapport annuel d’utilisation de l’entrepôt préalablement à sa publication.

Sur les données traitées :

Cet entrepôt sera alimenté par des données à caractère personnel issues :

• de l’entrepôt « EMR », dont la société IQVIA Opérations France est responsable de traitement, comportant les données longitudinales extraites des dossiers médicaux de logiciels de médecins généralistes en France, sous réserve que son exploitation respecte les termes de l’autorisation délivrée par la CNIL (délibération n° 2021-015 du 4 février 2021) ;
• du SNDS, pour les données qui auront pu être appariées, de manière indirecte (probabiliste), aux données correspondantes des personnes incluses dans la base « EMR ».

Concernant les données issues du SNDS :

Les données de l’entrepôt « EMR » seront appariées avec certaines données du SNDS provenant :

• du Système national d’information inter-régimes de l’Assurance maladie (SNIIRAM) s’agissant notamment des données issues du DCIR (à l’exception des tables IR_ETM_R, ER_ANO_F, ER_ARO_F et les tables de la cartographie des dépenses) ;
• du Programme de médicalisation des systèmes d’information (PMSI), s’agissant notamment des données du PMSI, MCO, SSR, et RIM-P (à l’exception des tables suivantes pour le PMSI MCO : T_MCOXXDIALP et T_MCOXXZ et la table T_SSRXXDIALP pour le PMSI SSR) ; pour le PMSI HAD, seules les tables de chainage et de résumé de séjours HAD (T_HADXXC et T_HADXXS) seront conservées afin d’assurer la continuité du parcours de soins patients en conformité avec les finalités de l’entrepôt HEH ;
• du Centre d’épidémiologie sur les causes médicales de décès (CépiDC).

706 variables, dont la liste est précisée dans une expression de besoins figurant dans le dossier de demande seront mises à disposition de IQVIA Opérations France par la Caisse nationale de l’assurance maladie (CNAM).

Après un travail de mise en qualité et de minimisation des données réalisé par IQVIA Opérations France, l’entrepôt contiendra moins de 300 variables, dans la limite de celles qui auront pu être appariées, de manière indirecte (probabiliste), aux données correspondantes des personnes incluses dans la base « EMR ».

Cette liste est susceptible de modifications afin de suivre les évolutions annuelles de la structure du SNDS ; les adaptations nécessaires, qui devront respecter le principe de minimisation prévu par le RGPD et les conditions fixées par la présente délibération, seront validées par le Comité scientifique et éthique et notifiées à la CNIL.

Les données du SNIIRAM, du PMSI et du CépiDc des années 2014 à 2023 alimenteront l’entrepôt « HEH », sous réserve qu’elles soient diffusables par la CNAM.

L’entrepôt sera ensuite alimenté par des données plus récentes en fenêtre roulante, afin de conserver une profondeur historique de dix ans et dans la limite de la durée de validité de la présente autorisation. Les données de l’année la plus ancienne seront supprimées annuellement à l’occasion de la mise à jour des données concernées du SNDS.

Sur l’appariement des données de l’entrepôt « EMR » et des données du SNDS dans le cadre de l’entrepôt « HEH » :

L’appariement sera réalisé de manière probabiliste à l’aide de variables communes :

• des variables prioritaires :
  
  • données des patients (dates des consultations rattachées aux médecins, année de naissance, sexe, département de consultation),
  • données des médecins du panel (sexe, année de naissance, département d’exercice de l’activité libérale, spécialité du médecin, numéro identifiant du médecin (RPPS) pour les médecins recrutés par IQVIA Opérations France ;

• des variables discriminantes additionnelles :
  
  • type de la visite (visite au cabinet du médecin, visite au domicile du patient, téléconsultation), présence d’une ALD (oui/non), arrêt de travail prescrits (date de l’arrêt), autre variable commune pertinente (si besoin, après validation par la CNAM).

Les données traitées aux fins d’appariement avec le SNDS seront extraites de l’entrepôt « EMR » et conservées dans l’entrepôt « HEH » de manière cloisonnée. Seules les variables communes d’appariement seront transmises à la CNAM en vue de l’extraction des données du SNDS, les pseudonymes des patients concernés par l’entrepôt « EMR » étant remplacés par un numéro d’accrochage aléatoire non signifiant.

Une fois l’appariement effectué, les variables d’appariement alimenteront l’entrepôt « HEH », à l’exception du numéro RPPS des professionnels de santé, qui ne sera pas intégré dans l’entrepôt. De même, le code FINESS identifiant les établissements de santé, présent dans les données SNDS transmises par la CNAM, sera masqué dès réception chez IQVIA Opérations France à l’aide d’une fonction cryptographique de hachage à clé secrète, récente et résistante aux attaques par force brute.

Le masquage sera effectué dans la zone de pseudonymisation, cloisonnée du reste de l’entrepôt ; les FINESS non masqués devront être supprimés à bref délai, dès le contrôle qualité effectué. Cette minimisation des données versées dans l’entrepôt « HEH » vise notamment à réduire les risques au regard des finalités interdites du SNDS.

Les données suivantes relatives aux utilisateurs seront collectées :

• nom, prénom et identifiant.

Ces données sont adéquates, pertinentes et limitées à ce qui est nécessaire au regard des finalités du traitement, conformément aux dispositions de l’article 5-1-c) du RGPD.

Sur les accédants et les destinataires des données :

Pourront accéder aux données de l’entrepôt « HEH » :

• les personnels spécifiquement habilités de la société IQVIA Opérations France, ainsi que, dans le cadre de projets de recherche, le personnel autorisé de certaines filiales d’IQVIA Opérations France participant à l’étude et spécifiquement habilités, soumis au secret professionnel, dans les strictes limites de leur besoin d’en connaître, pour l’exercice de leurs missions ;
• les chercheurs issus du secteur public ou institutionnel (dont les académiques) français ou de l’espace économique européen, porteurs de projets d’étude, d’évaluation ou de recherche dans le domaine de la santé, ayant réalisé les formalités nécessaires auprès de la CNIL ;
• les internes de santé publique (pharmaciens ou médecins) accueillis par IQVIA Opérations France dans le cadre de leur formation.

Pourront accéder aux données à caractère personnel les sous-traitants suivants :

• les sous-traitants qui assurent l’infogérance et l’hébergement de l’entrepôt et de ses espaces projet ;
• les prestataires techniques pour des opérations de maintenance ;
• les prestataires scientifiques (par exemple : le centre de mathématiques appliquées de l’École Polytechnique en qualité de prestataire scientifique) afin d’apporter à IQVIA Opérations France son expertise dans le traitement statistique des données.

Des documents tenus à jour indiqueront la ou les personnes compétentes au sein d’IQVIA Opérations France pour délivrer l’habilitation à accéder aux données, la liste des personnes habilitées à accéder à ces données, leurs profils d’accès respectifs et les modalités d’attribution, de gestion et de contrôle des habilitations.

La qualification des personnes habilitées et leurs droits d’accès devront être régulièrement réévalués, conformément aux modalités décrites dans la procédure d’habilitation établie par le responsable de traitement.

En dehors des chercheurs issus du secteur public ou institutionnel mentionnés ci-dessus, les clients d’IQVIA Operations France ne pourront ni accéder aux données à caractère personnel de l’entrepôt « HEH » ni en être destinataires. Seuls des rapports contenant des données agrégées et anonymisées selon les critères en vigueur publiés par le Comité européen de la protection des données pourront être transmis aux acteurs mentionnés au II de l’article L.1461-3 du code de la santé publique.

Sur l’information des personnes et la transparence :

S’agissant des patients pris en charge par les médecins panélistes :

Ces personnes seront individuellement informées de la mise en œuvre de l’entrepôt « HEH » et des projets de recherche réalisés à partir des données qu’il contient. Pour ce faire, la société IQVIA Opérations France remettra à chaque médecin partenaire des notices d’information, à transmettre à chaque patient. Il est demandé que les médecins s’engagent contractuellement à ré-informer régulièrement leurs patients de la mise en œuvre de ce traitement.

Le support d’information précise que l’exercice du droit d’opposition n’a pas d’incidence sur la prise en charge des patients. Ce document devra comporter l’ensemble des mentions prévues par le RGPD concernant chacun des entrepôts, et mentionner le portail de transparence du responsable de traitement. Il devra également mentionner que, bien que les données soient transmises à IQVIA Opérations France sous une forme ne permettant pas d’identifier directement les personnes concernées, il existe un risque de réidentification lié notamment à l’appariement des données avec celles du SNDS.

Cette information sera complétée par une information générale affichée par les médecins dans leurs locaux, fournie également par IQVIA Opérations France et qui mettra en avant la possibilité pour les personnes concernées d’exercer leurs droits.

Un QR code ainsi qu’un lien renvoyant vers un site web permettant à chaque patient d’accéder, avant la consultation, à une note d’information sur son téléphone mobile seront mentionnés sur ces affiches.

Un communiqué de presse relatif à l’entrepôt sera diffusé auprès de médias régionaux ou nationaux, des réseaux sociaux et auprès d’associations de patients. Un encart dédié à l’information patient ainsi qu’un lien vers le portail de transparence figureront sur ce communiqué.

S’agissant des patients pris en charge antérieurement à la constitution de l’entrepôt et n’étant plus suivis :

En application de l’article 69 de la loi « informatiques et libertés » et de l’article 14-5-b) du RGPD, l’obligation d’information individuelle peut faire l’objet d’exceptions, notamment dans l’hypothèse où la fourniture d’une telle information exigerait des efforts disproportionnés. En pareil cas, le responsable de traitement prend des mesures appropriées pour protéger les droits et libertés, ainsi que les intérêts légitimes de la personne concernée, y compris en rendant les informations publiquement disponibles. En l’espèce, il sera fait exception au principe d’information individuelle des patients pris en charge antérieurement à la constitution de l’entrepôt et n’étant plus suivis.

Des mesures appropriées seront mises en œuvre, notamment par la diffusion d’un communiqué de presse auprès des médias régionaux ou nationaux, d’associations de patients, des réseaux sociaux et par voie d’affichage dans les cabinets médicaux concernés, ainsi que par la diffusion sur le site web du responsable de traitement, d’une information comportant l’ensemble des mentions prévues par le RGPD.

S’agissant des médecins panélistes :

Les médecins panélistes dont les données sont versées dans l’entrepôt seront informés dans le cadre du contrat conclu avec IQVIA Opérations France. Dans le cas où le contrat est signé entre l’éditeur et le médecin panéliste, une note d’information sera transmise à l’éditeur (sous panel LPD Cegedim) qui aura la charge de la transmettre à chacun de ses panélistes.

Ces documents devront comporter l’ensemble des mentions prévues par le RGPD.

S’agissant des utilisateurs de l’entrepôt :

Les utilisateurs de l’entrepôt sont informés de la collecte de leurs données au moment de leur connexion et préalablement à l’envoi de l’identifiant et du mot de passe.

S’agissant du portail de transparence :

Le responsable de traitement diffusera sur son portail de transparence, les notes d’information suivantes :

• une information relative à l’entrepôt HEH ;
• une information spécifique à chaque projet de recherches, études et évaluations dans le domaine de la santé menés à partir des données de l’entrepôt HEH.

Chaque note d’information sera également diffusée, le cas échéant, sur le site web du responsable de traitement du projet. Ces documents d’information devront comporter l’ensemble des mentions prévues par le RGPD.

La CNIL prend acte de ce que le portail de transparence sera mis à jour afin :

• d’intégrer la liste des études sous forme de tableaux avec les notices d’information en lien hypertexte, et la possibilité d’appliquer des filtres de recherche ;
• d’intégrer une section présentant les publications et communications réalisées à partir de données secondaires et la possibilité d’appliquer des filtres de recherche ;
• d’héberger ce nouveau site sur un sous-domaine de IQVIA.com afin de permettre son référencement dans les moteurs de recherche et son identification par les personnes concernées.

La CNIL prend acte, d’une part, de l’engagement de la société IQVIA Opérations France de procéder aux modifications nécessaires sur son portail de transparence afin de se conformer aux obligations prévues par le RGPD en matière de transparence et d’information des personnes et, d’autre part, d’inscrire l’entrepôt au sein du répertoire public de la PDS.

Sous réserve de la mise en œuvre effective des mesures ainsi décrites dans les meilleurs délais, ces modalités d’information sont conformes au principe de transparence et aux exigences d’information prévues par les articles 12 et suivants du RGPD.

Sur les droits des personnes :

Les droits des personnes concernées pourront s’exercer auprès :

• du médecin utilisant le logiciel métier et participant à la prise en charge de la personne concernée. L’exercice des droits du patient au traitement de ses données dans l’entrepôt sera matérialisé au moyen d’une case à cocher dans le logiciel de gestion du médecin ;
• de IQVIA Operations France par voie postale ou électronique.

Une demande d’exercice des droits réalisée sur l’un des deux entrepôts (EMR ou HEH) sera effective sur chacune de ces deux bases.

Une procédure opérationnelle sécurisée doit être mise en place afin d’assurer la levée du pseudonymat et la bonne ré-identification des personnes concernées, dans le respect de la confidentialité des données traitées. En particulier, les droits devront pouvoir être exercés auprès des médecins alimentant les entrepôts EMR et HEH et ce, sur l’ensemble des données qu’ils contiennent, en mobilisant la chaîne de pseudonymisation correspondante.

En cas d’exercice du droit d’opposition, les données de la personne concernée n’alimenteront pas l’entrepôt et seront supprimées dans un délai maximum d’un mois à compter de la réception de la demande d’exercice des droits.

Sur les transferts de données :

La présente décision ne vaut pas autorisation de transfert de données en dehors de l’Union européenne vers un pays ne présentant pas un niveau de protection adéquat.

Sur la sécurité des données et la traçabilité des actions :

Le responsable de traitement a réalisé et transmis à l’appui de sa demande d’autorisation une analyse d’impact relative à la protection des données spécifique à l’entrepôt HEH, ainsi qu’une analyse de risques sur la sécurité des systèmes d’information. Le dossier indique que le traitement envisagé est conforme aux dispositions du référentiel de sécurité applicable au SNDS prévu par l’arrêté du 6 mai 2024.

Les données provenant de l’entrepôt EMR et les données correspondantes provenant du SNDS seront stockées chez l’hébergeur, isolément du réseau IQVIA Opérations France, dans deux enclaves séparées sans accès simultané sauf pour les programmes d’alimentation des espaces projet. Les accès à l’entrepôt et aux espaces projets seront protégés par une authentification multifacteur sur un bastion opéré par l’infogéreur. Les sessions utilisateurs des espaces projets feront l’objet d’un enregistrement vidéo par le bastion et seront consultables en cas de litige. Les traces d’accès et les vidéos de sessions seront conservées par l’infogéreur et signées électroniquement pour assurer leur intégrité.

Une homologation de la bulle sécurisée a été réalisée par l’autorité d’homologation le 30 septembre 2024, conformément au référentiel de sécurité applicable au SNDS prévu par l’arrêté du 6 mai 2024. Aucun écart avec les exigences de ce référentiel n’a été relevé par le responsable de traitement, à l’exception de l’audit interne, prévu dans les 12 mois suivant l’homologation ; la CNIL recommande qu’il soit réalisé avant le versement des données dans l’entrepôt HEH. La décision d’homologation n’est valable que jusqu’au 30 septembre 2025 et devra être renouvelée avant cette date, puis à chaque échéance.

Les mesures de sécurité planifiées ou mises en place dans l’entrepôt HEH ont également été comparées avec les exigences de sécurité mentionnées dans le référentiel « entrepôts de données de santé ». Aucun écart avec les exigences de sécurité de ce référentiel n’a été relevé par le responsable de traitement. La conformité à l’exigence SEC-JOU-3 repose sur "une solution d’examen des logs [qui] sera développée pour détecter les comportements "suspects”" : celle-ci devra être articulée avec des procédures formalisées de surveillance proactive des traces et de levée et de gestion des alertes.

Les mesures de sécurité décrites dans le dossier, qui devront être opérationnelles lors de la mise en œuvre du traitement, répondent aux exigences prévues par les articles 5.1.f) et 32 du RGPD, compte tenu des risques identifiés par le responsable de traitement. Il appartiendra à ce dernier de procéder à une réévaluation régulière des risques pour les personnes concernées et une mise à jour, le cas échéant, de ces mesures.

Sur la conservation des données :

Les données seront conservées pendant la durée de l’autorisation. Au-delà, elles seront anonymisées ou supprimées, sauf disposition contraire d’une nouvelle autorisation.

Les traces fonctionnelles et techniques devront être conservées au maximum pendant un an.

Ces durées de conservation des données n’excèdent pas la durée nécessaire aux finalités pour lesquelles elles sont collectées et traitées, conformément aux dispositions de l’article 5-1-e) du RGPD.

Observations complémentaires :

Dans l’hypothèse où la société IQVIA Opérations France souhaiterait poursuivre la mise en œuvre de ce traitement à l’issue de la durée de l’autorisation, le dossier de renouvellement de demande d’autorisation devra comporter un bilan, comprenant notamment :

• l’adéquation des objectifs de chaque étude aux finalités de l’entrepôt « HEH » ;
• la liste des projets réalisées ou en cours de réalisation ;
• une synthèse des demandes de mise à disposition des données ;
• le fonctionnement de l’entrepôt ;
• la liste exhaustive des habilitations associées à l’entrepôt HEH pour le personnel de la société IQVIA Opérations France et ses filiales ;
• les modalités d’information déployées afin d’informer collectivement et individuellement l’ensemble des personnes concernées par ce traitement ;
• la démonstration de la prise en compte effective des demandes d’exercice des droits.

AUTORISE, dans ces conditions, la société IQVIA OPERATIONS FRANCE à mettre en œuvre le traitement décrit ci-dessus durant la validité de l’autorisation accordée par la délibération n° 2021-015 du 4 février 2021, soit jusqu’au 8 février 2031.

La présidente,

M.-L. Denis