AgentPublic/cnil huggingface dataset:
1.1. Donnée à caractère personnel : toute information se rapportant à une personne physique identifiée ou identifiable (ci-après dénommée " personne concernée") ; est réputée être une " personne physique identifiable " une personne physique qui peut être identifiée, directement ou indirectement, notamment par référence à un identifiant, tel qu'un nom, un numéro d'identification, des données de localisation, un identifiant en ligne, ou à un ou plusieurs éléments spécifiques propres à son identité physique, physiologique, génétique, psychique, économique, culturelle ou sociale.
1.2. Traitement : toute opération ou tout ensemble d'opérations effectuées ou non à l'aide de procédés automatisés et appliquées à des données ou des ensembles de données à caractère personnel, telles que la collecte, l'enregistrement, l'organisation, la structuration, la conservation, l'adaptation ou la modification, l'extraction, la consultation, l'utilisation, la communication par transmission, la diffusion ou toute autre forme de mise à disposition, le rapprochement ou l'interconnexion, la limitation, l'effacement ou la destruction.
1.3. Responsable de traitement : la personne physique ou morale qui, seule ou conjointement avec d'autres, est responsable d'une autorisation d'accès compassionnel, en assure la gestion, le suivi des patients, vérifie que son financement est prévu et qui détermine les finalités et les moyens des traitements nécessaires à celle-ci.
1.4. Représentant : une personne physique ou morale établie dans l'Union, désignée par le responsable du traitement ou le sous-traitant par écrit, en vertu de l'article 27, qui les représente en ce qui concerne leurs obligations respectives en vertu du RGPD.
1.5. Sous-traitant : la personne physique ou morale, l'autorité publique, le service ou un autre organisme qui traite des données à caractère personnel pour le compte du responsable du traitement. Il s'agit par exemple des fournisseurs de plateformes électroniques, des établissements au sein desquels la collecte des données à caractère personnel est assurée, ou d'un prestataire de services hébergeur de données de santé.
1.6. Destinataire : la personne physique ou morale, l'autorité publique, le service ou tout autre organisme qui reçoit communication de données à caractère personnel, qu'il s'agisse ou non d'un tiers.
1.7. Tiers : une personne physique ou morale, une autorité publique, un service ou un organisme autre que la personne concernée, le responsable du traitement, le sous-traitant et les personnes qui, placées sous l'autorité directe du responsable du traitement ou du sous-traitant, sont autorisées à traiter les données à caractère personnel.
1.8. Données génétiques : données à caractère personnel relatives aux caractéristiques génétiques héréditaires ou acquises d'une personne physique qui donnent des informations uniques sur la physiologie ou l'état de santé de cette personne physique et qui résultent, notamment, d'une analyse d'un échantillon biologique de la personne physique en question.
2. A qui s'adresse ce référentiel ?
2.1. Ce référentiel encadre exclusivement les traitements de données à caractère personnel :
mis en œuvre par l'entreprise qui assure l'exploitation du médicament disposant d'une autorisation d'accès compassionnel, ci-après le responsable de traitement ;
et ayant pour finalité, la mise à disposition du médicament sous autorisation d'accès compassionnel et le suivi d'un patient traité par un médicament dans le cadre d'une telle autorisation.
2.2. Sont visés par le présent référentiel, les traitements de données à caractère personnel relatifs au suivi d'un patient traité par un médicament disposant d'une autorisation d'accès compassionnel, conformément à l'article L. 5121-12-1 du code de la santé publique (CSP), mis en œuvre à la date d'entrée en vigueur du présent référentiel, dès lors qu'un protocole d'utilisation thérapeutique de suivi des patients (PUT-SP) est établi.
2.3. Sont concernés par le présent référentiel les responsables de traitement établis en France ou qui recourent aux services d'un sous-traitant établi en France ou qui mettent en œuvre un traitement de données à caractère personnel relatives à des personnes résidant en France (patient, personne affectée, professionnel de santé), quel que soit leur lieu d'établissement. Dans l'hypothèse où le responsable de traitement ne serait pas établi sur le territoire de l'Union européenne, il est tenu de désigner par un mandat écrit un représentant établi dans l'Union européenne conformément à l'article 27 du RGPD.
2.4. Le présent référentiel n'est pas applicable :
aux traitements de données à caractère personnel mis en œuvre par les professionnels de santé et les systèmes ou services de soins de santé (p. ex. : établissements de santé, agences sanitaires, etc.) en application des dispositions du 1° de l'article 65 de la loi " informatique et libertés " (par exemple : dossier médical, dossier patient informatisé) ;
aux traitements de données à caractère personnel mis en œuvre lors d'une demande d'autorisation d'accès compassionnel par un professionnel de santé auprès de l'Agence nationale de sécurité des médicaments et des produits de santé (ANSM) via le téléservice " e-saturne " ;
aux traitements de données à caractère personnel mis en œuvre par les laboratoires pharmaceutiques à des fins de traçabilité des médicaments ;
aux traitements de données à caractère personnel mis en œuvre par les laboratoires pharmaceutiques à des fins de gestion de la pharmacovigilance (1) ;
aux traitements de données à caractère personnel mis en œuvre au titre d'un cadre de prescription compassionnelle prévu à l'article L. 5121-12-1 III et V du CSP ;
aux traitements de données à caractère personnel mis en œuvre pour l'exécution de la convention de dédommagement mentionnée à l'article R. 5121-74-5 du CSP ;
aux traitements de données à caractère personnel mis en œuvre dans le cadre d'une autorisation d'accès précoce prévue à l'article L. 5121-12 du CSP.
3. Portée du référentiel
3.1. Ce référentiel précise le cadre juridique, issu du RGPD et des dispositions nationales, applicable aux traitements de données à caractère personnel constitués pour la mise à disposition du médicament concerné par une autorisation d'accès compassionnel, et pour le suivi d'un patient traité par un médicament disposant d'une telle autorisation.
3.2. Les responsables de traitement qui réalisent auprès de la CNIL une déclaration de conformité au présent référentiel sont autorisés à mettre en œuvre un traitement de données à caractère personnel à des fins de mise à disposition d'un médicament sous autorisation d'accès compassionnel et de suivi des patients s'il est strictement conforme au référentiel.
3.3. Tout traitement de données à caractère personnel à des fins de mise à disposition d'un médicament sous autorisation d'accès compassionnel et de suivi des patients qui ne respecte pas l'ensemble des exigences définies par le présent référentiel doit faire l'objet d'une demande d'autorisation spécifique, conformément aux dispositions de l'article 66 III de la loi " informatique et libertés ".
3.4. Les responsables de traitement doivent mettre en œuvre toutes les mesures appropriées (techniques et organisationnelles) afin de garantir la protection des données à caractère personnel traitées, à la fois dès la conception du traitement et par défaut. Ils doivent, en outre, démontrer cette conformité tout au long de la vie des traitements. Les traitements de données à caractère personnel mis en œuvre dans le cadre du présent référentiel doivent également être inscrits dans le registre des activités de traitement prévu à l'article 30.1 du RGPD.
3.5. Les principes dégagés par la CNIL, dans le présent référentiel, constituent une aide à la réalisation de l'analyse d'impact relative à la protection des données (AIPD) que les responsables de traitement concernés doivent mener (article 14 du présent référentiel). Les responsables de traitement pourront ainsi définir les mesures leur permettant d'assurer la proportionnalité et la nécessité de leurs traitements, de garantir les droits des personnes et la maîtrise des risques présentés par leurs traitements.
4. Responsables de traitement et sous-traitants
4.1. Dans le cadre du présent référentiel, l'organisme ou l'établissement au sein duquel la collecte de données à caractère personnel est assurée, agit en qualité de sous-traitant pour la collecte et la transmission de données à caractère personnel au responsable de traitement. Ces établissements et, le cas échéant, les professionnels de santé intervenant dans la prise en charge du patient restent responsables des traitements pour lesquels ils définissent les finalités et les moyens, notamment à des fins de tenue et de gestion des dossiers médicaux.
4.2. Est également qualifié de sous-traitant, tout organisme intervenant dans le traitement et répondant à la définition de l'article 1.5 du présent référentiel, notamment le fournisseur d'une plateforme électronique de saisie des données à caractère personnel relatives au suivi du patient traité par un médicament disposant d'une autorisation d'accès compassionnel.
4.3. En cas de recours à un sous-traitant, la prestation doit s'effectuer dans les conditions prévues à l'article 28 du RGPD. Un contrat de sous-traitance doit être conclu entre le prestataire et le responsable de traitement. Ce contrat doit notamment :
spécifier la répartition des responsabilités relatives aux mesures de sécurité et à la gestion des violations de données entre les différents acteurs ;
prévoir les conditions de restitution et de destruction des données ;
prévoir les modalités pour le responsable de traitement pour s'assurer de l'effectivité des garanties prévues (audits de sécurité, visites, etc.) ;
préciser les modalités selon lesquelles le sous-traitant aide, dans la mesure du possible, le responsable de traitement à s'acquitter de son obligation de donner suite aux demandes d'exercice des droits des personnes concernées.
4.4. Chaque sous-traitant doit tenir un registre des activités de traitement effectuées pour le compte d'un responsable de traitement dans les conditions de l'article 30.2 du RGPD.
4.5. Dans le cas où le responsable de traitement a recours aux services d'un sous-traitant pour l'hébergement, le stockage ou la conservation des données de santé, ce sous-traitant doit être un hébergeur de données de santé agréé ou certifié selon les dispositions du CSP.
5. Objectif(s) poursuivi(s) par le traitement (Finalités)
5.1. Un traitement de données à caractère personnel mis en œuvre dans le cadre d'une autorisation d'accès compassionnel a pour finalité de permettre la mise à disposition du médicament au patient, dès l'obtention de ladite autorisation, ainsi que leur suivi.
5.2. Pour ce faire, le traitement de données à caractère personnel vise à permettre :
la collecte, l'enregistrement, l'analyse, le suivi, la documentation, la transmission et la conservation des données relatives à l'accès, à l'initiation, au suivi et à l'arrêt des prescriptions de médicaments dans le cadre défini par l'article L. 5121-12-1 du CSP ;
la gestion des contacts avec les professionnels de santé intervenant dans le cadre du suivi des patients bénéficiant des médicaments sous accès compassionnel et les personnels agissant sous leur responsabilité ou autorité ;
en ce qui concerne les rapports de synthèse mentionnés à l'article R. 5121-74-6 du CSP et uniquement s'ils contiennent des données à caractère personnel, l'évaluation des médicaments ayant bénéficié d'une autorisation d'accès compassionnel par l'ANSM.
5.3. Les données à caractère personnel recueillies pour ces finalités pourront être réutilisées uniquement dans les conditions prévues par le RGPD et la loi " informatique et libertés ", applicables aux traitements de données à caractère personnel mis en œuvre à des fins de recherche, d'étude ou d'évaluation dans le domaine de la santé, et sous réserve de l'accomplissement des formalités préalables requises auprès de la CNIL. Par ailleurs, l'entreposage de données à caractère personnel en vue de leur réutilisation à des fins de recherche, d'étude ou d'évaluation dans le domaine de la santé (entrepôt de données de santé) est également soumise au respect des conditions prévues par le RGPD et la loi " informatique et libertés " ainsi qu'à l'accomplissement des formalités requises auprès de la CNIL, sauf en cas de recueil du consentement exprès de la personne.
5.4. Ces réutilisations ultérieures constituent des traitements de données distincts de ceux mis en œuvre pour les finalités définies à l'article 5.2.
6. Base(s) légale(s) du traitement
6.1. Dans le cadre du présent référentiel, les obligations légales imposées au responsable de traitement, notamment à l'article L. 5121-12-1 ainsi qu'aux articles R. 5121-74 et suivants du CSP, sont retenues comme bases légales du traitement de données à caractère personnel conformément aux dispositions de l'article 6.1 c du RGPD.
6.2. La collecte de données sensibles pour les finalités mentionnées à l'article 5 du présent référentiel est nécessaire pour des motifs d'intérêt public dans le domaine de la santé publique ; elle a notamment pour objectif de garantir le respect de normes élevées de qualité et de sécurité des soins de santé et des médicaments conformément aux dispositions de l'article 9.2 i du RGPD et de l'article 66 de la loi " informatique et libertés ".
7. Données à caractère personnel concernées
7.1. Seules peuvent faire l'objet d'un traitement les données adéquates, pertinentes et limitées à ce qui est nécessaire au regard des finalités poursuivies, à savoir la mise à disposition du médicament disposant d'une autorisation d'accès compassionnel, ainsi que le suivi du patient visé par cette autorisation, dans les conditions et selon les spécificités prévues à l'article L. 5121-12-1 ainsi qu'aux articles R. 5121-74 et suivants du CSP.
7.2. A ce titre, en fonction de l'objectif poursuivi par le traitement de données à caractère personnel, du médicament concerné et des situations, conformément au PUT-SP défini par l'ANSM, le responsable de traitement peut collecter et traiter :
a) Les données relatives au patient :
données d'identification du patient : trois premières lettres du nom et deux premières lettres du prénom, numéro, code alphanumérique ou code alphabétique, informations signalétiques (sexe, poids, taille, âge ou année et mois de naissance ou date de naissance complète si nécessaire dans un contexte pédiatrique), à l'exclusion du numéro d'inscription au répertoire national d'identification des personnes physiques (NIR) et de l'identifiant national de santé (INS) ;
données relatives à la santé du patient notamment l'histoire de la maladie, les antécédents personnels ou familiaux, les pathologies ou événements associés ;
données relatives aux conditions d'utilisation du médicament impliquant notamment les traitements concomitants, les informations relatives au mode de prescription, de dispensation ;
données portant sur l'efficacité du médicament ;
données portant sur la sécurité du médicament : nature et fréquence des effets indésirables.
En complément de ces données, le responsable de traitement peut également collecter et traiter les données suivantes sous réserve qu’elles soient strictement nécessaires au regard du produit prescrit et de la pathologie en cause :
l’origine ethnique ;
les données génétiques, à l’exclusion du génome complet ;
la vie sexuelle ;
la consommation de tabac, d’alcool et de drogues ;
b) Le cas échéant, les données collectées concernant les personnes en lien avec le patient, uniquement si la prise du médicament les a affectées (partenaire, descendance), notamment les données d'identification dont le lien avec le patient, les données d'efficacité et les données portant sur des effets indésirables telles que décrites à l'article 7.2 a ;
c) Les données relatives aux professionnels de santé intervenant dans le cadre du suivi des patients bénéficiant des médicaments sous accès compassionnel (notamment les médecins prescripteurs et les pharmaciens dispensateurs) et les personnels agissant sous leur responsabilité ou autorité : nom, prénom, spécialité, numéro d'inscription au répertoire partagé des professionnels de santé (RPPS), coordonnées professionnelles.
7.3. Les supports permettant la collecte des données susmentionnées devront exclure le recours à des zones de saisie libre, par exemple sous forme de " bloc-notes ".
8. Accédants et destinataires des données
8.1. Peuvent collecter les données les personnels des établissements participant à la prise en charge de la personne, dans la stricte limite des missions qui leur sont confiées.
8.2. Le personnel habilité du responsable de traitement peut, sous la responsabilité de ce dernier, accéder aux données à caractère personnel traitées, dans la limite de leurs attributions respectives et pour ce qui les concerne :
le pharmacien responsable ou son représentant ainsi que toute personne dûment habilitée et placée sous sa responsabilité ;
le responsable de la pharmacovigilance ainsi que les collaborateurs placés sous sa responsabilité ;
les membres des services en charge des affaires médicales, de la recherche et du développement, des affaires réglementaires, de l'accès au marché ;
les membres du service en charge de la gestion des commandes, de l'approvisionnement et de la distribution des médicaments ;
les membres du service en charge des audits peuvent, de façon ponctuelle et motivée, avoir accès à ces données pour vérifier le respect des exigences réglementaires et des procédures internes.
8.3. Peuvent être destinataires des données, sous la responsabilité du responsable de traitement :
le personnel habilité des sous-traitants intervenant pour le compte du responsable de traitement, dans la limite de leurs fonctions, leurs attributions respectives et dans les conditions définies par le contrat de sous-traitance ;
le personnel habilité des autres sociétés du groupe auquel appartient le responsable de traitement qui participent à la mise en œuvre de l'autorisation d'accès compassionnel, notamment par la mise à disposition du médicament, dans la limite de leurs attributions respectives ;
les organismes publics nationaux ou étrangers en charge de la surveillance des médicaments bénéficiant d'une autorisation d'accès compassionnel, dans le cadre de l'exercice de leurs missions telles que définies par les textes, notamment l'ANSM, les centres régionaux de pharmacovigilance et les centres antipoison, ou les organismes en charge de la surveillance des médicaments bénéficiant d'une autorisation d'accès compassionnel.
9. Durées de conservation
9.1. Les données traitées sont conservées en base active dans la limite de deux ans suivant l'approbation par l'ANSM, du résumé du dernier rapport de synthèse prévu à l'article R. 5121-74-6 du CSP.
9.2. Les données sont ensuite archivées en base intermédiaire pendant la durée de l'autorisation d'accès compassionnel et ne peuvent pas être conservées, en fonction du médicament concerné, de l'indication thérapeutique visée et des dispositions législatives et règlementaires en vigueur, au-delà d'une période de soixante-dix ans à compter de la date d'expiration de l'autorisation d'accès compassionnel.
9.3. Si aucune autorisation d'accès précoce ou aucune autorisation de mise sur le marché n'est accordée à la spécialité pharmaceutique concernée ou si l'autorisation d'accès compassionnel est suspendue ou retirée, les données ne pourront pas être archivées en base intermédiaire au-delà d'une période de soixante-dix ans à compter de :
l'expiration de la décision de l'ANSM octroyant l'autorisation d'accès compassionnel ;
la date de la décision de l'ANSM prononçant la suspension ou le retrait de l'autorisation d'accès compassionnel.
9.4. A l'expiration de ces délais, les données sont supprimées ou archivées sous une forme anonyme.
9.5. La conservation et l'archivage des données doivent être réalisés dans des conditions de sécurité conformes aux dispositions de l'article 32 du RGPD.
10. Information des personnes
10.1. Un traitement de données à caractère personnel doit être mis en œuvre en toute transparence vis-à-vis des personnes concernées (patient faisant l'objet d'un traitement par un médicament sous autorisation d'accès compassionnel et/ou leurs représentants légaux, professionnels de santé intervenant dans la prise en charge des patients, personnes, en lien avec le patient, affectées par la prise du médicament). Le responsable de traitement prend les mesures appropriées pour fournir aux personnes concernées et/ou leurs représentants légaux une information concise, transparente, compréhensible et aisément accessible, en des termes clairs et simples.
10.2. S'agissant des patients et/ou de leurs représentants légaux, les modalités d'information sont les suivantes :
conformément à l'article L. 5121-12-1 du CSP, le médecin prescripteur doit informer le patient et/ou ses représentants légaux que la prescription du médicament ne s'effectue pas dans le cadre d'une AMM mais dans le cadre d'une autorisation d'accès compassionnel, des risques encourus, des contraintes et des bénéfices susceptibles d'être apportés par le médicament ;
dès l'initiation du traitement, le médecin prescripteur remet au patient et/ou à ses représentants légaux une note d'information, conforme aux dispositions des articles 13 et, le cas échéant, 14 du RGPD, ainsi que par les articles 69 et 70 de la loi " informatique et libertés " ;
il est rappelé que le patient et/ou ses représentants légaux sont libres d'accepter ou de refuser le traitement par un médicament prescrit sous autorisation d'accès compassionnel. En cas d'acceptation des soins, les articles L. 5121-12 -1 et suivants et R. 5121-74 et suivants du CSP imposent le recueil de données à caractère personnel relatives au suivi du patient ;
le patient peut être assisté par la personne de confiance qu'il a désignée en application de l'article L. 1111-6 du CSP.
10.3. S'agissant des personnes en lien avec le patient et qui sont affectées par la prise du médicament, les modalités d'information sont les suivantes :
si le professionnel de santé a collecté ces données directement auprès de la personne, il lui remet, dans le respect du secret médical, une note d'information conforme aux dispositions de l'article 13 du RGPD ainsi que par les articles 69 et 70 de la loi " informatique et libertés " ;
si le professionnel de santé a collecté indirectement ces données, il remet au patient une note d'information destinée à la personne affectée par la prise du médicament, conforme aux dispositions de l'article 14 du RGPD ainsi que par les articles 69 et 70 de la loi " informatique et libertés ". A cette occasion, le professionnel informe le patient et/ou ses représentants légaux des conséquences que cette information aura vis-vis du secret des informations le concernant.
10.4. En outre, le responsable de traitement est tenu de mettre à disposition sur son site web les notices d'information relatives au traitement de données à caractère personnel mis en œuvre qui devront être conformes aux dispositions du RGPD.
10.5. S'agissant des professionnels de santé intervenant pour la prise en charge du patient, les supports d'information reprennent les mentions prévues aux articles 13, et le cas échéant, 14 du RGPD.
10.6. Si une plateforme électronique est utilisée pour recueillir les données mentionnées à l'article 7, les professionnels de santé doivent être informés lors de leur première connexion à cette plateforme.