Lexique · Gouvernance & conformité
Entrepôt de données de santé
Base de données destinée à être utilisée notamment à des fins de recherche, d'études ou d'évaluations dans le domaine de la santé, qui réunit de grands volumes de données sur une longue durée pour les réutiliser dans plusieurs projets. En France, sa constitution relève d'un régime défini par la CNIL (consentement, référentiel ou autorisation).
- Rubrique
- Gouvernance
- Mise à jour
- Articles
- 1
Notions liées
Sources · 3
- [1] La CNIL adopte un référentiel sur les entrepôts de données de santé (CNIL)
- [2] Traitements de données de santé : comment faire la distinction entre un entrepôt et une recherche et quelles conséquences ? (CNIL)
- [3] Données de santé : sanction de 5 millions d'euros à l'encontre de la société IQVIA (CNIL)
Ce que ça change pour une organisation
La CNIL raisonne en deux temps. La constitution de l’entrepôt, c’est-à-dire la collecte et la conservation des données dans une base unique pendant une longue durée, relève de l’une de trois hypothèses : le consentement explicite des personnes, qui dispense de formalité sans dispenser de démontrer la conformité au RGPD ; l’engagement de conformité au référentiel de la délibération n° 2021-118 du 7 octobre 2021, réservé aux entrepôts nécessaires à une mission d’intérêt public et conformes en tous points ; à défaut, une autorisation de la CNIL. Dans tous les cas, une analyse d’impact est requise.
Chaque réutilisation des données pour une recherche, une étude ou une évaluation suppose ensuite des formalités distinctes, comme l’engagement de conformité à une méthodologie de référence ou une autorisation recherche.
Au quotidien, le responsable de traitement doit informer effectivement les personnes, rendre le droit d’opposition opérationnel, sécuriser les accès (journaux de connexion analysés, authentification multifacteur) et ne pas s’en remettre à un tiers pour l’information, dont il reste responsable.
Exemple
La CNIL a autorisé IQVIA Operations France à constituer deux entrepôts : LRX en 2018, alimenté par environ 14 000 pharmacies, et EMR en 2021, alimenté par plusieurs milliers de médecins. Le 26 mai 2026, elle a infligé à la société 5 millions d’euros d’amende pour non-respect des termes de ces autorisations, notamment sur l’information des personnes, l’exercice de leurs droits et la sécurité : aucune des quatre pharmacies contrôlées n’informait ses clients de la transmission de leurs données. Elle a aussi jugé les données pseudonymes et non anonymes, chaque patient étant relié à un identifiant unique.
À ne pas confondre avec
- Une recherche, une étude ou une évaluation : traitement à finalité précise et ponctuelle, limité dans le temps, alors que l’entrepôt collecte des données massives sur une période prolongée pour plusieurs projets.
- Des données anonymes : IQVIA soutenait que ses données l’étaient, mais la CNIL a retenu qu’elles étaient seulement pseudonymes, la réidentification restant possible avec des moyens raisonnables.
