La CNIL multa a IQVIA con 5 millones de euros
La autoridad francesa de protección de datos acaba de emitir una de las sanciones más relevantes del año en el sector de la analítica farmacéutica. Una señal de alerta para cualquier organización que trabaje con datos sensibles.
Hay una pregunta que muchas organizaciones evitan hacerse hasta que es demasiado tarde: ¿realmente estamos cumpliendo con todo lo que implica gestionar datos de salud? La reciente sanción de la CNIL francesa a IQVIA Operations France ofrece una respuesta incómoda: tener una autorización no es suficiente.
El 26 de mayo de 2026, la Commission Nationale de l’Informatique et des Libertés (CNIL) impuso una multa de 5 millones de euros a la filial francesa de IQVIA —el gigante mundial de analítica farmacéutica y datos de salud— por múltiples infracciones del RGPD en la gestión de dos almacenes de datos sanitarios. La decisión fue publicada el 28 de mayo y va acompañada de medidas correctoras bajo pena de 10.000 euros adicionales por día de retraso.
¿Qué hacía IQVIA con estos datos?
IQVIA operaba dos almacenes de datos de salud autorizados por la propia CNIL: el sistema LRX, alimentado con información procedente de unas 14.000 farmacias francesas, y el almacén EMR, nutrido con datos de varios miles de médicos. Ambos contenían información de decenas de millones de pacientes: año de nacimiento, sexo, diagnósticos, prescripciones, síntomas, alergias, peso, talla, vacunas, historial laboral y hasta situación matrimonial y número de hijos.
Con toda esa información, IQVIA realizaba estudios de analítica para sus propios fines y para clientes del sector farmacéutico. Un negocio completamente legítimo… siempre que se respeten las condiciones bajo las cuales fue autorizado. Y ahí fue donde empezaron los problemas.
Las infracciones detectadas
Las inspecciones de la CNIL, iniciadas en 2021 tras una investigación periodística que reveló cómo fluían los datos de pacientes a través de redes privadas de analítica farmacéutica, pusieron sobre la mesa tres grandes categorías de incumplimiento:
1. Falta de información a los pacientes. Ninguna de las farmacias inspeccionadas comunicaba a sus clientes que sus datos eran transmitidos a IQVIA.
2. Fallos graves de seguridad. Sin análisis de registros de conexión y sin autenticación multifactor en el acceso al almacén EMR.
3. Usos no autorizados. Estudios realizados para uso propio sin autorización, y datos transmitidos a farmacias que ni siquiera participaban en el panel.
El tercer punto es especialmente llamativo: un software de gestión de farmacias encargado por IQVIA transmitía sistemáticamente datos de pacientes al subcontratista, incluyendo farmacias que no habían firmado ningún acuerdo de participación. Una fuga silenciosa que pasó inadvertida durante años.
El debate que redefine el sector: pseudonimización no es anonimización
Uno de los aspectos más trascendentes de esta resolución es el rechazo de la CNIL a uno de los argumentos favoritos de la industria del dato: que los datos pseudonimizados quedan fuera del ámbito del RGPD.
IQVIA sostenía que sus datos eran anónimos. La CNIL determinó que eran, en el mejor de los casos, seudónimos: cada paciente tenía asignado un identificador único, los registros eran profundamente detallados y la posibilidad de reidentificación combinándolos con otras fuentes era técnicamente real. Conclusión del regulador: si es posible reidentificar a una persona —aunque sea con esfuerzo— el RGPD sigue aplicándose en toda su extensión.
Qué lecciones extrae el sector
Esta resolución no es solo relevante para empresas de analítica farmacéutica. Cualquier organización que trabaje con datos sensibles —sanitarios, laborales, financieros— debería leerla como un mapa de riesgos propio.
- La autorización es el punto de partida, no el destino. Estar autorizado implica cumplir continuamente todas las condiciones de esa autorización, no solo en el momento del alta.
- Delegar la información al paciente no elimina tu responsabilidad. Aunque sean las farmacias o los médicos quienes deban informar, el responsable del tratamiento sigue siendo responsable de que esa información se entregue efectivamente.
- La seguridad técnica no es opcional. La autenticación multifactor y el análisis de registros de acceso ya no son «buenas prácticas»: son estándares mínimos exigibles, especialmente con datos sensibles.
- La cadena de subcontratación es tu responsabilidad. Lo que hace tu proveedor con los datos que le transmites te afecta directamente. Auditar a terceros no es burocracia: es gestión de riesgos.
Desde RAP Informes llevamos años ayudando a organizaciones a construir sistemas de cumplimiento que no se limiten a marcar casillas. El cumplimiento normativo real —el que protege a tu organización y a las personas cuyos datos gestionas— requiere procesos auditables, cultura interna y revisión continua.
Si gestionas datos sensibles en tu organización y quieres revisar si tu marco de cumplimiento está a la altura de lo que los reguladores europeos están exigiendo, estamos aquí para ayudarte.
¿Quieres evaluar el nivel de cumplimiento normativo de tu organización en materia de datos?
rapinformes@rapinformes.es · 915 554 555 · rapinformes.es
