AgentPublic/cnil huggingface dataset:
7.3. Les supports permettant la collecte des données susmentionnées devront exclure le recours à des zones de saisie libre, par exemple sous forme de " bloc-notes ". Concernant, plus particulièrement, les données relatives à la qualité de vie collectées par l'intermédiaire des questionnaires directement auprès des patients, seuls les questionnaires validés par les autorités compétentes peuvent être utilisées.
8. Accédants et destinataires des données
8.1. Peuvent collecter les données les personnels des établissements participant à la prise en charge de la personne, dans la stricte limite des missions qui leur sont confiées.
8.2. Le personnel habilité du responsable de traitement peut, sous la responsabilité de ce dernier, accéder aux données à caractère personnel traitées, dans la limite de leurs attributions respectives et pour ce qui les concerne, notamment :
le pharmacien responsable ou son représentant ainsi que toute personne dûment habilitée et placée sous sa responsabilité ;
le responsable de la pharmacovigilance ainsi que les collaborateurs placés sous sa responsabilité ;
les membres des services en charge des affaires médicales, de la recherche et du développement, des affaires réglementaires, de l'accès au marché ;
les membres du service en charge de la gestion des commandes, de l'approvisionnement et de la distribution des médicaments ;
les membres du service en charge des audits peuvent, de façon ponctuelle et motivée, avoir accès à ces données pour vérifier le respect des exigences réglementaires et des procédures internes.
8.3. Peuvent être destinataires des données, sous la responsabilité du responsable de traitement :
le personnel habilité des sous-traitants intervenant pour le compte du responsable de traitement, dans la limite de leurs fonctions, leurs attributions respectives et dans les conditions définies par le contrat de sous-traitance ;
le personnel habilité des autres sociétés du groupe auquel appartient le responsable de traitement qui participent à la mise en œuvre de l'autorisation d'accès précoce ou qui mettent en place un programme d'accès précoce du médicament au niveau national, européen ou international, dans la limite de leurs attributions respectives ;
les organismes publics nationaux ou étrangers en charge de la régulation, de l'évaluation et de la surveillance des médicaments, dans le cadre de l'exercice de leurs missions telles que définies par les textes, notamment l'ANSM, la HAS, les centres régionaux de pharmacovigilance et les centres antipoison, ou les organismes en charge de la surveillance des médicaments bénéficiant d'une autorisation d'accès précoce.
9. Durées de conservation
9.1. Les données traitées sont conservées en base active dans la limite de deux ans suivant la publication par la HAS, le cas échéant après consultation de l'ANSM, du résumé du dernier rapport de synthèse prévu à l'article R. 5121-70-1 du CSP.
9.2. Les données sont ensuite archivées en base intermédiaire pendant la durée de l'autorisation de mise sur le marché (AMM) relative à l'indication thérapeutique ayant fait l'objet d'une autorisation d'accès précoce. Elles ne peuvent pas être conservées, en fonction du médicament concerné, de l'indication thérapeutique visée et des dispositions législatives et règlementaires en vigueur, au-delà d'une période de soixante-dix ans à compter de la date de retrait du marché du médicament.
9.3. Si aucune AMM n'est accordée à la spécialité pharmaceutique concernée ou si l'autorisation d'accès précoce est suspendue ou retirée, les données ne pourront pas être archivées en base intermédiaire au-delà d'une période de soixante-dix ans à compter de :
l'expiration de la décision de la HAS octroyant l'autorisation d'accès précoce, non renouvelée ou de la dernière décision de la HAS autorisant son renouvellement ;
la date de la décision de la HAS prononçant la suspension ou le retrait de l'autorisation d'accès précoce.
9.4. A l'expiration de ces délais, les données sont supprimées ou archivées sous une forme anonyme.
9.5. La conservation et l'archivage des données doivent être réalisés dans des conditions de sécurité conformes aux dispositions de l'article 32 du RGPD.
10. Information des personnes
10.1. Un traitement de données à caractère personnel doit être mis en œuvre en toute transparence vis-à-vis des personnes concernées (patients faisant l'objet d'un traitement par un médicament sous autorisation d'accès précoce et/ou leurs représentants légaux, professionnels de santé intervenant dans la prise en charge des patients, personnes pouvant être affectées par la prise du médicament). Le responsable de traitement prend les mesures appropriées pour fournir aux personnes concernées et/ou leurs représentants légaux une information concise, transparente, compréhensible et aisément accessible, en des termes clairs et simples.
10.2. S'agissant des patients et/ou de leurs représentants légaux, les modalités d'information sont les suivantes :
conformément à l'article L. 5121-12 du CSP, le médecin prescripteur doit informer le patient et/ou ses représentants légaux que la prescription du médicament ne s'effectue pas dans le cadre d'une AMM mais dans le cadre d'une autorisation d'accès précoce, des risques encourus, des contraintes et des bénéfices susceptibles d'être apportés par le médicament ;
dès la demande d'accès au traitement, le médecin prescripteur remet au patient et/ou à ses représentants légaux une note d'information, conforme aux dispositions des articles 13 et, le cas échéant, 14 du RGPD, ainsi que par les articles 69 et 70 de la loi " informatique et libertés " ;
il est rappelé que le patient et/ou ses représentants légaux sont libres d'accepter ou de refuser le traitement par un médicament prescrit sous autorisation d'accès précoce. En cas d'acceptation des soins, les articles L. 5121-12 et suivants et R. 5121-70 du CSP et suivants imposent le recueil de données à caractère personnel relatives au suivi du patient ;
le patient peut être assisté par la personne de confiance qu'il a désignée en application de l'article L. 1111-6 du CSP.
10.3. S'agissant des personnes en lien avec le patient et qui sont affectées par la prise du médicament, les modalités d'information sont les suivantes :
si le professionnel de santé a collecté ces données directement auprès de la personne, il lui remet, dans le respect du secret médical, une note d'information conforme aux dispositions de l'article 13 du RGPD ainsi que par les articles 69 et 70 de la loi " informatique et libertés " ;
si le professionnel de santé a collecté indirectement ces données, il remet au patient une note d'information destinée à la personne affectée par la prise du médicament, conforme aux dispositions de l'article 14 du RGPD ainsi que par les articles 69 et 70 de la loi " informatique et libertés ". Á cette occasion, le professionnel informe le patient et/ou ses représentants légaux des conséquences que cette information aura vis-à-vis du secret des informations le concernant.
10.4. En outre, le responsable de traitement est tenu de mettre à disposition sur son site web les notices d'information relatives au traitement de données à caractère personnel mis en œuvre qui devront être conformes aux dispositions du RGPD.
10.5. S'agissant des professionnels de santé intervenant pour la prise en charge du patient, les supports d'information reprennent les mentions prévues aux articles 13, le cas échéant, 14 du RGPD.
10.6. Si une plateforme électronique est utilisée pour recueillir les données mentionnées à l'article 7, les professionnels de santé doivent être informés lors de leur première connexion à cette plateforme.
10.7. Dans le cas où des données à caractère personnel collectées conformément au présent référentiel font l'objet d'une réutilisation à des fins de recherche, d'étude ou d'évaluation dans le domaine de la santé, une nouvelle information individuelle des personnes concernées est requise, sauf si :
la personne concernée dispose déjà des informations prévues aux articles 13 ou 14 du RGPD concernant ce traitement ultérieur ;
l'information délivrée lors de la collecte des données dans le cadre d'une autorisation d'accès précoce prévoit la possibilité de réutiliser les données, et renvoie à un dispositif spécifique d'information (par exemple : un portail de transparence disponible sur un site web) auquel les personnes concernées pourront se reporter préalablement à la mise en œuvre de chaque nouveau traitement de données.
11. Droits des personnes
11.1. Les personnes concernées par le traitement et/ou leurs représentants légaux (patients, personnes affectées par la prise du traitement en lien avec le patient et professionnels de santé) disposent des droits suivants :
droit d'accès ;
droit de rectification ;
droit à la limitation (par exemple, lorsque la personne conteste l'exactitude de ses données, elle peut demander au responsable de traitement le gel temporaire de ses données le temps que celui-ci procède aux vérifications nécessaires).
11.2. Conformément à l'article L. 1111-6 du CSP, le patient peut être accompagné dans ses démarches par la personne de confiance qu'il a désignée.
11.3. Dans la mesure où le traitement de données à caractère personnel est fondé sur le respect d'une obligation légale et poursuit un objectif d'intérêt public dans le domaine de la santé publique, les personnes concernées ne disposent ni du droit d'opposition, ni du droit à l'effacement, ni du droit à la portabilité des données. Les personnes concernées en sont informées préalablement.
11.4. S'agissant du patient, ses droits s'exercent à tout moment auprès du professionnel de santé intervenant dans sa prise en charge ou par l'intermédiaire du médecin de son choix. Il peut également exercer ses droits directement auprès du responsable de traitement. Dans cette hypothèse, le patient est informé des conséquences sur la confidentialité de ses données.
le transfert est strictement nécessaire à la mise à disposition du médicament sous autorisation d'accès précoce et le suivi des patients traités par un médicament faisant l'objet d'une telle autorisation.
12.2. En outre, le transfert peut être effectué dans le cadre de la déclaration de conformité au présent référentiel uniquement si l'une des conditions suivantes, prévues au chapitre V du RGPD, est remplie :
le transfert s'effectue à destination d'un pays ou d'une organisation internationale reconnu par la Commission européenne comme assurant un niveau de protection adéquat, conformément à l'article 45 du RGPD (décision d'adéquation) ;
le transfert s'effectue moyennant des garanties appropriées, listées à l'article 46.2, du RGPD (notamment : clauses contractuelles types approuvées par la Commission européenne, règles d'entreprise contraignantes, code de conduite, mécanisme de certification) et, le cas échéant, de mesures supplémentaires si la législation du pays dans lequel les données sont exportées fait obstacle au respect des garanties contractuelles (3) ;
en l'absence d'une décision d'adéquation ou de garanties appropriées, le transfert peut être fondé sur l'une des exceptions prévues à l'article 49 du RGPD sous réserve que les conditions particulières, d'interprétation stricte, énoncées dans cet article s'appliquent (4).
12.3. Le responsable de traitement doit avoir préalablement informé les personnes concernées du transfert de leurs données à caractère personnel vers des pays tiers à l'Union européenne, de l'existence ou de l'absence d'une décision d'adéquation ou de garanties appropriées, et enfin des moyens d'en obtenir une copie conformément aux articles 13.1.f et 14.1.f du RGPD.
12.4. Est considéré comme un transfert tout accès distant aux données depuis l'extérieur du territoire de l'Union européenne (visualisation).
13. Sécurité
13.1. De manière générale, le responsable de traitement ainsi que son ou ses sous-traitant(s), y compris les établissements assurant la collecte des données, doivent prendre toutes les précautions utiles au regard des risques présentés par le traitement, pour préserver la sécurité des données à caractère personnel et, notamment, au moment de leur collecte, durant leur transmission et leur conservation, empêcher qu'elles ne soient altérées, endommagées, perdues ou que des tiers non autorisés y aient accès.
13.2. Le responsable du traitement définit, met en œuvre et contrôle l'application d'une politique de sécurité qui doit notamment décrire les mesures répondant à l'exigence de sécurité du traitement prévu par l'article 32 du RGPD.
Chaque personne habilitée à accéder aux données traitées dans le cadre d'un traitement encadré par le présent référentiel doit disposer d'un identifiant unique et individuel. Les comptes partagés entre plusieurs utilisateurs sont à proscrire.
SEC-AUT-2
Mettre en place une authentification des utilisateurs
Le responsable de traitement met en place une authentification multi-facteurs forte faisant intervenir a minima deux facteurs d'authentification distincts pour l'ensemble des utilisateurs et administrateurs, par exemple en utilisant un identifiant couplé à un mot de passe et à un mot de passe à usage unique généré via un protocole cryptographique.
L'authentification des professionnels de santé, dans le cas où le recueil des données est opéré au moyen d'une interface permettant la saisie électronique des données, est assurée par le service dématérialisé prévu au II de l'article R. 5121-70 du CSP. En tout état de cause, cette authentification devra être conforme aux exigences de la PGSSI-S, dans son volet relatif à l'identification électronique des acteurs des secteurs sanitaire, médico-social et social, applicable aux personnes physiques.
SEC-AUT-3
Adopter une politique de mot de passe utilisateur conforme aux recommandations de la CNIL
Si l'un des facteurs d'authentification est un mot de passe, celui-ci doit être conforme à la délibération n° 2022-100 du 21 juillet 2022 de la CNIL portant adoption d'une recommandation relative aux mots de passe et autres secrets partagés et abrogeant la délibération n° 2017-190 du 22 juin 2017, ou toute autre mise à jour ultérieure de cette recommandation.
SEC-AUT-4
Obliger l'utilisateur à changer son mot de passe après réinitialisation
L'utilisateur doit changer tout mot de passe attribué par un administrateur ou automatiquement par le système lors de la création du compte ou d'une réinitialisation.
SEC-AUT-5
Limiter le nombre de tentatives d'accès à un compte
Le responsable de traitement doit prévoir une limite du nombre de tentatives d'accès à toute plateforme électronique utilisée pour recueillir les données traitées dans le cadre d'un traitement encadré par le présent référentiel et mettre en place un blocage temporaire de l'accès lorsque la limite est atteinte.
Gérer les habilitations
SEC-HAB-1
Définir des profils d'habilitation
Différents profils d'habilitation doivent être prévus afin de gérer les accès aux données en tant que besoin et de façon exclusive, d'une durée déterminée et limitée.
Une granularité des accès aux données doit être prévue pour chaque type de profil, par exemple un accès uniquement à des données agrégées, un accès à des données pseudonymisées ou un accès à des données directement identifiantes. Il convient également de distinguer les accès aux données de santé des accès aux autres données.
Les accès privilégiés disposant de droits étendus, notamment pour l'administration et la maintenance, doivent être réservés à une équipe restreinte et être limités au strict nécessaire.
SEC-HAB-2
Supprimer les permissions d’accès obsolètes
Les permissions d'accès doivent être retirées dès le retrait des habilitations, par exemple après le départ d'un collaborateur.
SEC-HAB-3
Réaliser une revue annuelle des habilitations
Une revue des habilitations doit être réalisée régulièrement et a minima annuellement.
Sécuriser les échanges avec d'autres organismes
SEC-ÉCH-1
Sécuriser le recueil d'informations via une plateforme électronique
Si le recueil de données à caractère personnel se fait au format électronique à l'aide d'une plateforme dédiée, le responsable de traitement prévoit que les données soient envoyées de façon chiffrée :
soit en chiffrant directement les données ;
soit en utilisant un canal de communication chiffré (via des protocoles du type HTTPS, SFTP).
Dans tous les cas, les algorithmes de chiffrement employés devront satisfaire les exigences SEC-CRY-1.
La confidentialité des secrets (clé de chiffrement, mot de passe, etc.) devra être assurée en les transmettant via un canal de communication distinct (par exemple, dépôt du fichier chiffré sur la plateforme et communication du mot de passe par téléphone ou SMS).
SEC-ÉCH-2
Sécuriser les envois par courriel
S'agissant des transmissions de données par courriel, celles-ci devront être sécurisées par exemple en chiffrant les données à caractère personnel par un algorithme de chiffrement asymétrique avec une clé privée détenue uniquement par le destinataire des données.
La confidentialité des secrets (clé de chiffrement, mot de passe, etc.) devra être assurée en les transmettant via un canal distinct (par exemple, envoi du fichier chiffré par courriel et communication du mot de passe par téléphone ou SMS).
Lors de la transmission par courriel, l'expéditeur devra s'assurer qu'il s'agit du bon destinataire, afin d'éviter que des données à caractère personnel ne soient accidentellement divulguées à un tiers non autorisé.
SEC-ÉCH-3
Sécuriser les envois par fax
Si le format papier est utilisé et que les transmissions sont effectuées par fax, les mesures de sécurité suivantes doivent être mises en œuvre :
le fax doit être situé dans un local physiquement contrôlé et accessible uniquement au personnel habilité ;
l'impression des messages doit être subordonnée à l'introduction d'un code d'accès personnel ;
lors de l'émission des messages, le fax doit afficher l'identité du fax destinataire afin d'être assuré de l'identité du destinataire ;
le carnet d'adresses des fax doit pré-enregistrer, dans la mesure du possible, les destinataires potentiels afin d'éviter toute erreur de destinataire.
SEC-ÉCH-4
Envoyer de manière sécurisée les rapports de synthèse aux autorités
Le responsable de traitement doit prendre les mesures de sécurité adéquates, y compris celles listées dans les exigences SEC-ÉCH-1, SEC-ÉCH-2 et SEC-ÉCH-3, afin de transmettre aux autorités compétentes les rapports de synthèse. L'usage d'une plateforme électronique d'échange de documents sécurisée est à privilégier.
SEC-ÉCH-5
Sécuriser la collecte des données de la qualité de vie auprès des patients
Concernant les questionnaires permettant la collecte de données de la qualité de vie directement auprès des patients, le responsable de traitement prévoit une procédure permettant de garantir l'intervention d'un professionnel de santé selon les cas suivants, listés par ordre de préférence :
Le questionnaire est rempli en ligne par le patient et la plateforme ne permet qu'un dépôt ou une saisie de données en ligne : La plateforme prévoit une simple identification du patient, à savoir par le biais d'un pseudonyme non signifiant et aléatoire généré par le laboratoire à cette fin et transmis par le professionnel de santé au patient. La création d'un compte ou d'un espace personnel patient n'est pas nécessaire.
Le questionnaire est rempli en ligne par le patient et la plateforme permet également de consulter ultérieurement les données saisies : La plateforme doit satisfaire aux exigences du présent référentiel et le professionnel de santé transmet au patient les détails de connexion communiqués par le laboratoire.
Le recueil se fait par l'intermédiaire du professionnel de santé via un questionnaire papier : Le professionnel remet le questionnaire papier au patient ; celui-ci le complète et le remet au professionnel de santé qui se charge d'occulter les données directement identifiantes et de transmettre les réponses au responsable de traitement.
Le questionnaire est rempli en ligne par le professionnel de santé : Le professionnel de santé se connecte sur une plateforme électronique mise en ligne par le responsable de traitement (ou son sous-traitant) afin de saisir les réponses au questionnaire, lors ou à l'issue de la consultation avec le patient. Cette plateforme doit satisfaire aux exigences du présent référentiel.
Si le recueil des données de qualité de vie est réalisé par voie postale, le questionnaire complété devra être renvoyé par le patient par courrier, au moyen d'une " enveloppe T ", au responsable de traitement à une adresse dédiée.
Utiliser des fonctions cryptographiques
SEC-CRY-1
Utiliser des algorithmes, des logiciels et des bibliothèques reconnues
Les données à caractère personnel doivent être chiffrées au repos par des algorithmes et tailles de clé conformes à l'annexe B1 du référentiel général de sécurité (" RGS "). Une procédure opérationnelle de gestion des clés doit être formalisée.
Les sauvegardes de ces données doivent également faire l'objet d'un chiffrement conforme à l'annexe B1 du RGS.
Toutes les transmissions de données sont réalisées via des canaux de communication chiffrés et assurant l'authentification de la source et du destinataire (type HTTPS, avec une version de TLS la plus à jour possible).
SEC-CRY-2
Conserver les secrets et les clés cryptographiques de manière sécurisée
Ces secrets doivent être protégés, a minima par la mise en œuvre de droits d'accès restrictifs et d'un mot de passe sûr.
Tracer les accès
SEC-JOU-1
Prévoir un système de journalisation (logs)
Les actions des utilisateurs doivent faire l'objet de mesures de journalisation notamment, a minima, les accès des utilisateurs, l'horodatage de leurs accès ainsi que les détails des actions effectuées (comme des opérations de lecture ou d'écriture) ainsi que la référence de l'enregistrement concerné.
Les traces de journalisation doivent être conservées pendant une durée comprise entre six mois et un an.
SEC-JOU-2
Informer les utilisateurs de la mise en place du système de journalisation
Les utilisateurs participant aux traitements encadrés par le présent référentiel doivent être informés de la mise en place du dispositif de journalisation, de la nature des données collectées et de la durée de conservation de ces traces.
SEC-JOU-3
Protéger les équipements de journalisation et les informations journalisées
L'architecture de journalisation doit être centralisée et les journaux doivent faire l'objet de mesures de protection particulières. L'accès aux journaux est restreint aux seules personnes ayant obtenu une autorisation spécifique basée sur la stricte nécessité.
SEC-JOU-4
Contrôler les traces
Un contrôle automatique ou semi-automatique des traces doit être réalisé régulièrement et a minima tous les deux mois, afin de détecter d'éventuelles anomalies.
Gérer les incidents et les violations de données
SEC-VIO-1
Prévoir les procédures pour les incidents de sécurité
Une politique de gestion des incidents de sécurité est mise en œuvre afin de répondre immédiatement à tout éventuel incident de sécurité et d'identifier si l'incident entraîne une violation des données à caractère personnel traitées par le responsable de traitement.
La politique prévoit notamment une procédure visant à mettre en œuvre des actions de remédiation afin de réduire la gravité du préjudice pour une personne concernée par la violation de données et de corriger les vulnérabilités engendrées par les incidents de sécurité.
SEC-VIO-2