(demande d’autorisation n° 1735841)
La Commission nationale de l'informatique et des libertés,
Saisie par l’Agence nationale de sécurité du médicament et des produits de santé (ANSM) d’une demande d’autorisation concernant un traitement automatisé de données à caractère personnel ayant pour finalité la gestion de la base nationale de pharmacovigilance ;
Vu la convention n° 108 du Conseil de l’Europe pour la protection des personnes à l’égard du traitement automatisé des données à caractère personnel ;
Vu la directive 95/46/CE du Parlement européen et du Conseil du 24 octobre 1995 relative à la protection des personnes physiques à l’égard du traitement des données à caractère personnel et à la libre circulation de ces données ;
Vu la directive 2001/83/CE du Parlement européen et du Conseil du 6 novembre 2001 instituant un code communautaire relatif aux médicaments à usage humain modifiée par la directive 2010/84/UE en ce qui concerne la pharmacovigilance ;
Vu le règlement (UE) n° 1235/2010 du Parlement européen et du Conseil du 15 décembre 2010 modifiant, en ce qui concerne la pharmacovigilance des médicaments à usage humain, le règlement (CE) n° 726/2004 établissant des procédures communautaires pour l’autorisation et la surveillance en ce qui concerne les médicaments à usage humain et à usage vétérinaire, et instituant une Agence européenne des médicaments, et le règlement (CE) n° 1394/2007 concernant les médicaments de thérapie innovante ;
Vu le règlement (UE) n°520/2012 de la Commission du 19 juin 2012 sur l’exécution des activités de pharmacovigilance prévues par le règlement (CE) n°726/2004 du Parlement européen et du Conseil et par la directive 2001/83/CE du Parlement européen et du Conseil ;
Vu le code de la santé publique, notamment ses articles L. 5121-22 à L. 5121-26, R.5121-150 et suivants ;
Vu la loi n° 78-17 du 6 janvier 1978 modifiée relative à l’informatique, aux fichiers et aux libertés, notamment ses articles 8-IV et 25-I-1° ;
Vu le décret n° 2005-1309 du 20 octobre 2005 modifié pris pour l’application de la loi n° 78-17 du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés ;
Vu le dossier et ses compléments ;
Après avoir entendu M. Nicolas COLIN, commissaire, en son rapport, et M. Jean-Alexandre SILVY, commissaire du Gouvernement, en ses observations,
Formule les observations suivantes :
La Commission a été saisie par l’Agence nationale de sécurité du médicament et des produits de santé (ANSM) d’une demande d’autorisation relative à un traitement automatisé de données à caractère personnel ayant pour finalité la gestion de la base nationale de pharmacovigilance.
Créée par la loi du 29 décembre 2011 relative au renforcement de la sécurité sanitaire des médicaments et des produits de santé, l’ANSM est un établissement public à caractère administratif placé sous la tutelle du ministère chargé de la santé. Elle a notamment pour missions d’évaluer les bénéfices et les risques liés à l’utilisation des produits à finalité sanitaire destinés à l’homme.
Les articles L. 5121-23 et R. 5121-154 à R. 5121-158 du code de la santé publique précisent les missions confiées à l’ANSM et prévoient, notamment, que l’ANSM est chargée d’assurer la mise en œuvre, au niveau national, du système de pharmacovigilance. En outre, elle définit les orientations de la pharmacovigilance, anime et coordonne les actions des différents intervenants et veille au respect des procédures de surveillance au niveau national et européen.
Afin d’assurer ses missions de recueil des données de pharmacovigilance, l’ANSM dispose d’une base de données dite base nationale de pharmacovigilance (BNPV).
Sur la finalité du traitement :
La finalité du traitement est d’assurer la gestion de la BNPV qui permet la collecte, la conservation, l’analyse, le suivi, la documentation et la transmission des données relatives aux risques d’effet indésirable résultant de l’utilisation de médicaments et produits à usage humain mentionnés à l’article R. 5121-150 du code de la santé publique.
La Commission considère les finalités poursuivies comme déterminées, explicites et légitimes.
Elle estime qu’il y a lieu de faire application des dispositions combinées des articles 8-IV et 25-I-1° de la loi du 6 janvier 1978 modifiée, qui soumettent à autorisation les traitements comportant des données relatives à la santé lorsqu’elles sont justifiés par un ’intérêt public, en l’espèce un intérêt de santé publique.
Sur la nature des données traitées :
Les données traitées sont celles correspondant aux champs prévus par les  formulaires Cerfa dédiés au signalement des effets indésirables. Elles concernent les personnes victimes d’effets indésirables et les personnes qui procèdent à la notification de ces effets (désignés ci-après « notificateurs »).
S’agissant des personnes victimes d’un effet indésirable, sont traitées les catégories de données suivantes :
les données d’identification du patient : code alphabétique d’identification tel que prévu par les formulaires Cerfa de déclaration d’un effet indésirable, informations signalétiques (date de naissance ou âge, sexe, poids, taille) ;
les données de santé contenues dans la déclaration d’effet indésirable : traitements administrés, résultats d’examens, nature du ou des effets indésirables, antécédents personnels ou familiaux, maladies ou événements associés, facteurs de risque (alcoolisme, tabagisme, toxicomanie) ; informations relatives au mode de prescription et d’utilisation des médicaments et à la conduite thérapeutique du prescripteur ou des professionnels de santé intervenant dans la prise en charge de la maladie ou de l’effet indésirable ; informations relatives à l’ascendance et à la descendance de la personne, s’il s’agit d’un nouveau-né ou en cas de grossesse ou d’allaitement ;
les données de vie professionnelle.
S’agissant des notificateurs d’effets indésirables, sont traitées les données d’identification (nom, prénom), les coordonnées (adresse, numéros de téléphone et de télécopie, adresse de courriel) et, s’agissant des professionnels de santé, la spécialité professionnelle.
Des données relatives aux membres des centres régionaux de pharmacovigilance (CRPV), qui renseignent les données dans la BNPV, peuvent également faire l’objet d’un traitement.
La Commission considère que les données traitées sont adéquates, pertinentes et non excessives au regard de la finalité poursuivie, conformément aux dispositions de l’article 6-3° de la loi du 6 janvier 1978 modifiée.
Sur la durée de conservation des données :
La Commission prend acte de ce qu’à la suite d’échanges avec ses services, une durée de conservation de 70 ans a été substituée à la durée illimitée initialement prévue. Ce délai court à compter de l’enregistrement d’un cas de pharmacovigilance dans la base nationale de pharmacovigilance.
A l’expiration du délai précité, les données sont supprimées ou archivées sous une forme anonymisée. A cet égard, la Commission demande à l’ANSM de mener une analyse des risques de réidentification présentés par cette base, conformément à l’avis du G29 sur les techniques d’anonymisation du 14 avril 2014.
La Commission estime que cette durée de conservation est pertinente au regard de la finalité poursuivie par le traitement. Elle rappelle que la conservation et l’archivage des données doivent être réalisés dans des conditions de sécurité conformes aux dispositions de l’article 34 de la loi du 6 janvier 1978 modifiée.
Sur les destinataires des données :
Les destinataires des données sont les personnels dûment habilités de l’ANSM.
Peuvent également être destinataires des données, dans le cadre de l’exercice de leurs missions telles que définies par les textes :
l'Agence européenne du médicament (European Medicines Agency, EMA)
l’Organisation mondiale de la santé (OMS) ;
les entreprises et organismes exploitants de médicaments ;

La Commission prend acte de ce que toute personne travaillant dans une structure de pharmacovigilance est tenue au respect du secret médical, ainsi qu’au respect du secret professionnel pour toute information dont elle pourrait être amenée à avoir connaissance dans le cadre de ses missions.
Ces destinataires n’appellent pas d’observation de la part de la Commission.
Sur l'information et les droits d’accès et de rectification des personnes :
Conformément à l’article 32 de la loi du 6 janvier 1978 modifiée, les personnes concernées sont informées du traitement de leurs données  par une mention sur les formulaires de déclaration d’effets indésirables et par une mention sur le site Internet de l’ANSM. Les modalités d’exercice des droits d’accès et de rectification y sont également précisées.
Les droits d’accès et de rectification s’exercent auprès du pôle plateforme de réception et d’orientation des signalements de l’ANSM ainsi que du centre régional de pharmacovigilance dont dépend géographiquement la personne concernée.
La Commission estime que ces modalités d’information et d’exercice des droits des personnes sont suffisantes.
Sur la sécurité des données et la traçabilité des actions :
Seuls les personnels de l’ASNM et des CRPV disposent de comptes permettant l’accès et le renseignement de données dans la BNPV.
Les personnels des CRPV doivent, pour accéder à la BNPV et y renseigner les données relatives aux cas de pharmacovigilance, s’authentifier une première fois sur le réseau de l’ANSM, puis sur le logiciel de cette dernière permettant de renseigner la base. Ces deux authentifications sont opérées par le recours à un identifiant et un mot de passe.
Les comptes d’accès sont mutualisés entre les différentes personnes du CRPV. La Commission estime nécessaire que les comptes soient individuels.
Les mots de passe de ces comptes génériques sont modifiés dès le départ d’un personnel du CRPV et, à défaut, tous les six mois.
Au sein de l’ANSM, l’authentification du personnel habilité est réalisée par le recours à un identifiant et un mot de passe. Les comptes d’accès du personnel de l’ANSM sont des comptes individuels.
Les mots de passe utilisés pour l’authentification des personnels habilités des CRPV et de l’ANSM sont d’une longueur minimale de huit caractères et sont composés de trois types de caractères distincts. La Commission rappelle qu’ils ne doivent pas être conservés en clair dans un fichier ou une base de données.
L’accès aux données et leurs modifications sont tracés.
Les transferts de données sont sécurisés par le recours au protocole HTTPS.
Les accès à la BNPV par le personnel des CRPV peuvent être réalisés sur Internet depuis les locaux des CRPV, mais également en dehors de ces derniers.
Les comptes d’accès génériques ne permettant pas d’identifier les personnes les utilisant, et les mots de passe n’étant pas de nature à assurer une authentification forte, la Commission estime que le dispositif n’est pas de nature à assurer la sécurité de la base de données, notamment son intégrité.
Elle demande que les comptes génériques utilisés pour l’accès à la base de données et le renseignement des informations ne puissent être utilisés qu’à partir des locaux des CRPV, et qu’une analyse des risques soit menée préalablement à l’ouverture des accès à la BNPV sur Internet.
En outre, elle demande que, conformément à l’article L. 1110-4 du code de la santé publique, les professionnels de santé soient authentifiés pour la transmission des données de santé par une carte de professionnel de santé ou un dispositif équivalent.
Les données sont sauvegardées quotidiennement.
Sous réserve des précédentes observations, les mesures de sécurité décrites par le responsable de traitement sont conformes à l’exigence de sécurité prévue par l’article 34 de la loi du 6 janvier 1978 modifiée.
La Commission rappelle toutefois que cette obligation nécessite la mise à jour des mesures de sécurité au regard de la réévaluation régulière des risques.
Dans ces conditions, la Commission autorise l’Agence nationale de sécurité du médicament et des produits de santé à mettre en œuvre un traitement de données à caractère personnel ayant pour finalité la gestion de la base nationale de pharmacovigilance.
La Présidente
I. FALQUE-PIERROTIN