(Demande d’autorisation n° 1607570)
La Commission nationale de l’informatique et des libertés ;
Saisie par l’Association française des centres régionaux de pharmacovigilance d’une demande d’autorisation concernant un traitement automatisé de données à caractère personnel ayant pour finalité le recueil des signalements d’effets indésirables et l’information sur les médicaments à usage humain ;
Vu la Convention n° 108 du Conseil de l’Europe pour la protection des personnes à l’égard du traitement automatisé des données à caractère personnel ;
Vu la directive 95/46/CE du Parlement européen et du Conseil du 24 octobre 1995 relative à la protection des personnes physiques à l’égard du traitement de données à caractère personnel et à la libre circulation de ces données ;
Vu le code de la santé publique, notamment ses articles L. 5121-22 à L. 5121-26, R. 5121-150 et suivants ;
Vu la loi n° 78-17 du 6 janvier 1978 modifiée relative à l’informatique, aux fichiers et aux libertés, notamment ses articles 8-IV et 25-I-1° ;
Vu le décret n° 2005-1309 du 20 octobre 2005 modifié pris pour l’application de la loi n° 78-17 du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés ;
Vu le dossier et ses compléments ;
Sur la proposition de M. Jean MASSOT, commissaire, et après avoir entendu les observations de M. Jean-Alexandre SILVY, commissaire du Gouvernement ;
Formule les observations suivantes :
Sur le responsable du traitement
L’Association française des centres régionaux de pharmacovigilance, association régie par la loi du 1er juillet 1901, dont sont membres les 6 centres régionaux de pharmacovigilance (CRPV) d’Ile-de-France.
Les CRPV ont pour mission générale de surveiller, d’évaluer et de prévenir les risques médicamenteux potentiels ou avérés et de promouvoir le bon usage du médicament.
A ce titre, ils sont notamment chargés de :
recueillir les signalements d'effets indésirables que doivent leur adresser les professionnels de santé, les patients et associations agréées de patients, et les transmettre à l’Agence Nationale de Sécurité des Médicaments (ANSM) ;
assurer une mission d’information en matière de pharmacovigilance, notamment en renseignant les professionnels de santé et en participant à leur formation et en faisant remonter les informations portées à leur connaissance au niveau de l’ANSM (usage abusif, mésusage, produit défectueux…).
Sur la finalité
La finalité du traitement est le recueil, par le biais d’un site Internet, des signalements d’effets indésirables et l’information des patients et des professionnels de santé sur les médicaments.
La Commission considère les finalités poursuivies comme déterminées, explicites et légitimes.
La Commission estime qu’il y a  lieu de faire application des dispositions combinées des articles 8-IV et 25-I-1° de la loi du 6 janvier 1978 modifiée, qui soumettent à autorisation les traitements comportant des données relatives à la santé et justifiés par l’intérêt public.
Sur les données traitées
Les données traitées seront celles correspondant aux champs des formulaires de l’ANSM pour le signalement des effets indésirables.
S’agissant de l’auteur d’un signalement d’effet indésirable : les données d’identification (nom et, s’agissant de professionnels de santé, le numéro d’inscription au répertoire partagé des professionnels de santé, RPPS), et s’il est nécessaire que l’auteur du signalement soit recontacté ses coordonnées (adresse, téléphone, fax, email, qu’il s’agisse d’un professionnel de santé, d’un patient, d’un proche ou d’une association de patients…).
S’agissant de la personne victime d’un effet indésirable : les trois premières lettres du nom et la première lettre du prénom, le sexe, la date de naissance ou l’âge, le poids, la taille, les données de santé contenues dans la déclaration d’effet indésirable (pathologies, antécédents, données relatives aux soins et conditions d’utilisation du produit de santé en question).
S’agissant des personnes à l’origine de demandes d’information sur les médicaments : les données d’identification (nom, prénom, n° RPPS le cas échéant), les coordonnées (adresse postale, adresse mail à laquelle sera adressée la réponse documentée du CRPV), la qualité professionnelle s’agissant des professionnels de santé.
Les données traitées sont adéquates, pertinentes et non excessives au regard de la finalité poursuivie, conformément aux dispositions de l’article 6-3° de la loi du 6 janvier 1978 modifiée.
Sur les destinataires
Les destinataires des données sont les personnels dûment habilités du seul CRPV de Paris Henri Mondor. Le poste informatique permettant la gestion du site Internet sera localisé à l’hôpital Henri Mondor, au sein du service de pharmacovigilance.
La Commission prend acte de ce que l’habilitation à consulter des données de santé n’est attribuée qu’à des personnes soumises au secret médical, et dans la stricte limite de leurs missions.
Les déclarations d’effets indésirables sont transmises sans délai à l’ANSM par les CRPV, conformément aux dispositions de l’article R. 5121-167 du code de la santé publique.
Ces destinataires n’appellent pas d’observation de la part de la Commission.
Sur l’information et le droit d’accès
Les personnes concernées, dès lors qu’elles transmettront leurs déclarations ou leurs questions au responsable de traitement, sont informées du traitement de leurs données, conformément à l’article 32 de la loi du 6 janvier 1978 modifiée, par une mention sur le site Internet et par l’envoi d’un email de confirmation aux utilisateurs qui valideront le formulaire de déclaration.
Les droits d’accès et de rectification s’exercent auprès du CRPV Paris Henri Mondor.
Ces modalités d’information et d’exercice des droits sont suffisantes.
Sur les mesures de sécurité
Chaque utilisateur dispose d'un identifiant qui lui est propre.
Le responsable de traitement a mis en place une politique de mot de passe conforme aux recommandations de la Commission.
Ainsi, les professionnels de santé seront authentifiés par l’utilisation d’un mot de passe d’une longueur minimale de huit caractères et composé de trois types de caractères distincts. Les administrateurs, quant à eux, s’authentifieront par l’utilisation d’un mot de passe d’une longueur minimale de douze caractères.
Les mots de passe sont conservés hachés afin d’en garantir la confidentialité.
Les services web sont sécurisés au moyen du protocole SSL.
Les données sont conservées chez un hébergeur de données de santé agréé, dans des conditions conformes aux dispositions de l’article L. 1111-8 du code de la santé publique.
Les accès à l’application sont tracés.
Les mesures de sécurité mises en place n’appellent pas d’observation.
Sur les autres caractéristiques du traitement
Sur la durée de conservation des données
Les données d’identification des personnes sont conservées pendant deux ans à compter de la réception du signalement ou de la demande d’information, afin de pouvoir les recontacter si nécessaire. Passé ce délai, ces données seront supprimées. Les personnes à l’origine de signalements d’effets indésirables ou de demandes d’information sur les médicaments peuvent toutefois demander que les données les concernant soient immédiatement anonymisées.
Les données de santé seront conservées pendant dix ans sous une forme anonymisée. Passé ce délai, elles seront supprimées.
La Commission estime que ces durées de conservation sont pertinentes au regard de la finalité poursuivie par le traitement.
Autorise, conformément à la présente délibération, l’Association Française des Centres Régionaux de Pharmacovigilance à mettre en œuvre le traitement susmentionné.
La Présidente
Isabelle FALQUE-PIERROTIN