Article 4 RGPD : Les Définitions Juridiques Fondamentales

Donnée Personnelle et Traitement (Art. 4.1 & 4.2)

L'Article 4(1) définit la donnée à caractère personnel comme « toute information se rapportant à une personne physique identifiée ou identifiable ». L'identification peut résulter directement d'un nom ou indirectement d'un identifiant en ligne (adresse IP dynamique, identifiant cookie - arrêt Breyer C-582/14).

L'Article 4(2) confère au traitement une portée extrêmement large couvrant toute opération ou ensemble d'opérations appliquées à des données (collecte, enregistrement, conservation, modification, extraction, consultation, diffusion, effacement ou destruction).

Responsable du Traitement vs Sous-Traitant (Art. 4.7 & 4.8)

La qualification des acteurs est fonctionnelle et découle des Lignes Directrices 07/2020 du CEPD :

• Responsable du traitement (Art. 4.7) : La personne physique ou morale qui, seule ou conjointement avec d'autres, détermine les finalités (« pourquoi ») et les moyens essentiels (« comment ») du traitement ;
• Sous-traitant (Art. 4.8) : L'entité qui traite des données à caractère personnel pour le compte du responsable et selon ses instructions documentées ;
• Destinataire (Art. 4.9) et Tiers (Art. 4.10) : Personnes physiques ou morales recevant communication des données.

IQVIA — Décision d’autorité de contrôle, Italie (23 septembre 2026)

Dans le dossier IQVIA, le Garante a jugé que le code longitudinal associé aux données cliniques détaillées et de localisation permettait d'isoler des patients et de les réidentifier par des moyens raisonnables (§§ 82–101). L'absence de nom ne suffisait donc pas à établir l'anonymat dans ce contexte.

Pour la base LPD d'IQVIA, les mesures appliquées ne supprimaient pas l'identifiabilité (§§ 82–101). La pseudonymisation réduit les risques sans établir, à elle seule, une anonymisation : celle-ci exige une évaluation concrète des moyens raisonnablement utilisables. L'opération d'anonymisation de données personnelles demeure elle-même un traitement soumis au RGPD.

Le Garante qualifie IQVIA de responsable du traitement dès la collecte, compte tenu de sa maîtrise des finalités et des moyens du projet LPD (§§ 68–81). Les médecins restent responsables des soins ; pour les opérations du projet réalisées pour IQVIA, l'autorité exige leur encadrement comme sous-traitants si cette activité se poursuit (§ 144). Les rôles s'apprécient par opération et selon les faits.

• Constats propres à la base et aux opérations examinées ; la qualification doit être vérifiée pour chaque traitement.

Décision n° 710, susceptible de recours ; aucun dépôt de recours confirmé dans les sources officielles consultées au 11 octobre 2026.

Sources Officielles Vérifiées

Voir aussi dans le Référentiel