Données des patients : ce que votre contrat LGO autorise réellement

La CNIL a sanctionné IQVIA de 5 millions d'euros le 26 mai 2026 pour la gestion de deux entrepôts de données de santé, dont l'entrepôt LRX alimenté par environ 14 000 officines. La formation restreinte a jugé que ces données n'étaient pas anonymes mais seulement pseudonymes, dans la ligne des décisions du Conseil d'État du 13 février 2026. Chaque titulaire est concerné : c'est le module extracteur installé dans le logiciel de l'officine qui transmet les données, et c'est le pharmacien qui a signé.

Ce que la CNIL a réellement jugé le 26 mai

Par délibération SAN-2026-008 du 26 mai 2026, rendue publique le 28 mai, la formation restreinte de la CNIL a prononcé une amende de 5 millions d'euros contre IQVIA Operations France pour des manquements dans la gestion de deux entrepôts de données de santé autorisés par la CNIL : LRX (autorisé en 2018, alimenté par environ 14 000 pharmacies) et EMR (autorisé en 2021, alimenté par plusieurs milliers de médecins). Le point central est la qualification des données. IQVIA soutenait, en s'appuyant sur l'arrêt SRB de la CJUE du 4 septembre 2025 (C-413/23 P), que les données pseudonymisées de ses entrepôts échappaient au RGPD.

"Ces données n'étaient pas anonymes, mais seulement pseudonymes, la réidentification des personnes concernées étant possible, avec des moyens raisonnables."

La CNIL s'est notamment appuyée sur la jurisprudence convergente du Conseil d'État (CE, 13 février 2026, n° 498628, 498629 et 498749) et sur la profondeur des données collectées : identifiant unique par patient, année de naissance, sexe, prescriptions, et pour l'entrepôt médecins, situation matrimoniale, nombre d'enfants, catégorie socio-professionnelle, diagnostics, allergies, arrêts de travail. Des injonctions accompagnent l'amende, sous astreinte de 10 000 euros par jour de retard au-delà de six mois (CNIL). IQVIA a indiqué se réserver le droit de faire appel.

Ce qui se passe dans votre logiciel, concrètement

La délibération décrit le mécanisme au stade de l'officine : un module extracteur installé avec le logiciel génère un code d'identification du patient par hachage à partir de l'INS-C, du prénom, de l'année de naissance et du genre. Chaque patient reçoit ainsi un code unique, identique quelle que soit l'officine partenaire visitée, ce qui permet de regrouper l'ensemble de ses achats dans n'importe quelle pharmacie du panel. En contrepartie, l'officine reçoit un tableau de bord de ses ventes pour se comparer aux autres et gérer son stock. La CNIL a aussi relevé, sur le fondement de l'article 25 du RGPD, que la conception du logiciel utilisé dans les pharmacies partenaires transmettait les données des patients même en cas de refus de ces derniers.

Les six questions que votre contrat doit trancher

Ce que la presse n'a pas encore publié, ce sont les clauses. Six points déterminent votre exposition, à vérifier dans le contrat LGO, les avenants « statistiques » et les conventions de panel :

• qui est responsable du traitement pour la collecte au comptoir (le raisonnement de la CNIL sur la détention des clés de réidentification expose le détenteur au régime complet du RGPD) ;
• ce que le module extracteur transmet exactement, et si le refus du patient bloque techniquement la transmission ;
• quelle information est remise aux patients au comptoir, l'article 14 du RGPD sur la collecte indirecte ayant fondé une partie de la sanction ;
• qui valorise économiquement les données et ce que perçoit l'officine en retour ;
• ce que le titulaire peut refuser sans perdre l'usage du logiciel ;
• comment se résilie le module de collecte, avec quel préavis et quel sort pour les données déjà transmises.

Une portée qui dépasse le cas IQVIA

Le raisonnement de la CNIL vise une architecture, pas une entreprise : la pseudonymisation ne vaut pas anonymisation pour l'entité qui détient les clés de réidentification. Selon l'analyse d'ActuIA, plus d'une centaine d'opérateurs d'entrepôts de données de santé reposent sur la même brique technique et s'exposent au même contrôle. Pour l'officine, cela signifie que tout module statistique, panel ou remontée de données de dispensation doit être relu à l'aune de cette décision, quel que soit le prestataire.

Ce que vous devez faire, et dans quel ordre

1. Sortez cette semaine votre contrat LGO et ses avenants : identifiez toute clause « études », « statistiques », « panel » ou « données de dispensation ». Trente minutes suffisent pour ce repérage.
2. Demandez par écrit à votre éditeur, sous quinze jours : la liste des flux sortants de votre logiciel, les destinataires, et le comportement du module en cas de refus patient.
3. Vérifiez l'information affichée au comptoir et sur les tickets : la notice patient doit couvrir la collecte indirecte (article 14 RGPD).
4. Testez le refus : faites enregistrer une opposition patient et demandez la preuve technique que la transmission est bloquée.
5. Si vous souhaitez sortir d'un module de collecte, notifiez la résiliation par recommandé en demandant le sort des données déjà transmises.