(Demande d’autorisation n° 1694263)
La Commission nationale de l'informatique et des libertés,
Saisie par la société ASTELLAS PHARMA S.A.S. d’une demande d’autorisation concernant un traitement automatisé de données à caractère personnel ayant pour finalité le suivi des questions médicales et des réclamations relatives à ses produits de santé ;
Vu la Convention n° 108 du Conseil de l’Europe pour la protection des personnes à l’égard du traitement automatisé des données à caractère personnel ;
Vu la directive 95/46/CE du Parlement européen et du Conseil du 24 octobre 1995 relative à la protection des personnes physiques à l’égard du traitement des données à caractère personnel et à la libre circulation de ces données ;
Vu le code de la santé publique, notamment ses articles L. 5121-22 à L. 5121-26 et R. 5121-150 à R. 5121-201 ;
Vu la loi n° 78-17 du 6 janvier 1978 modifiée relative à l’informatique, aux fichiers et aux libertés, notamment ses articles 8-IV et 25-I-1° ;
Vu le décret n° 2005-1309 du 20 octobre 2005 modifié pris pour l’application de la loi n° 78-17 du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés ;
Vu le dossier et ses compléments ;
Sur la proposition de M. Jean MASSOT, commissaire, et après avoir entendu les observations de M. Jean-Alexandre SILVY, commissaire du Gouvernement,
Formule les observations suivantes :
Responsable du traitement
La société ASTELLAS PHARMA est une société par actions simplifiée, spécialisée dans la fabrication de médicaments.
En qualité d’établissement pharmaceutique, la société ASTELLAS PHARMA doit être en mesure d’informer les patients et les professionnels de santé utilisant les produits de santé qu’elle commercialise et de répondre aux questions et réclamations présentées par les mêmes personnes.
Sur la finalité
La finalité du traitement est d’assurer :
le suivi des questions médicales, émanant tant des patients que des professionnels de santé utilisant les produits commercialisés par le responsable de traitement,
la gestion des réclamations présentées par les mêmes personnes (qui peuvent concerner, par exemple, un défaut de qualité d’un produit de santé) et le recueil des effets indésirables liés aux produits commercialisés par le responsable de traitement.
La Commission considère les finalités poursuivies comme déterminées, explicites et légitimes.
le suivi des questions médicales, émanant tant des patients que des professionnels de santé utilisant les produits commercialisés par le responsable de traitement,
la gestion des réclamations présentées par les mêmes personnes (qui peuvent concerner, par exemple, un défaut de qualité d’un produit de santé) et le recueil des effets indésirables liés aux produits commercialisés par le responsable de traitement.
La Commission estime qu’il y a lieu de faire application des dispositions combinées des articles 8-IV et 25-I-1° de la loi du 6 janvier 1978 modifiée, qui soumettent à autorisation les traitements comportant des données relatives à la santé et justifiés par l’intérêt public.
Sur les données traitées
Les données collectées concernent les auteurs des questions ou réclamations adressées à la société ASTELLAS PHARMA.
Il s’agit de  leurs données d’identification (nom, prénom, sexe), de leurs coordonnées (adresse, téléphone, fax, email) en cas de nécessité de recontacter les personnes, et de leur qualité ou nature (médecin généraliste, pharmacien hospitalier, patient).
En outre, des données de santé, correspondant au contenu  des questions posées (pathologies, antécédents, données relatives aux soins et conditions d’utilisation du produit de santé en question), peuvent également être collectées.
La Commission considère que les données traitées sont adéquates, pertinentes et non excessives au regard de la finalité poursuivie, conformément aux dispositions de l’article 6-3° de la loi du 6 janvier 1978 modifiée.
Sur les destinataires
Les destinataires des données sont les personnels dûment habilités de la société ASTELLAS PHARMA, à savoir des membres de la direction médicale, des services informatiques et du département des affaires pharmaceutiques (affaires règlementaires et assurance qualité).
L’habilitation à consulter des données de santé ne peut être attribuée qu’à des personnes soumises au secret médical et dans la stricte limite de leurs missions.
Ces destinataires n’appellent pas d’observation de la part de la Commission.
Sur l’information et le droit d’accès
Les personnes concernées, dès lors qu’elles transmettent leurs questions ou réclamations au responsable de traitement, sont informées, conformément à l’article 32 de la loi du 6 janvier 1978 modifiée, par un message téléphonique ou par courrier postal personnalisé du traitement de leurs données.
Les droits d’accès et de rectification s’exercent auprès des personnels d’ASTELLAS PHARMA.
La Commission estime que ces modalités d’information et d’exercice des droits sont suffisantes.
Sur les mesures de sécurité
Concernant les modalités d’accès aux données, les utilisateurs ayant accès à l’application sont authentifiés au moyen d’un mot de passe d’une longueur de huit caractères au moins, composé de trois types de caractères distincts et valable trois mois.
Des profils d’habilitation permettent de déterminer les données auxquelles peuvent accéder les utilisateurs.
Concernant les mesures de traçabilité, l’ensemble des accès en consultation, modification et création est tracé.
Concernant les réseaux au travers desquels sera accessible le traitement, ceux-ci seront reliés entre eux par un réseau VPN (Virtual Network Computer) présentant un niveau de sécurité suffisant.
Les mesures de sécurité décrites par le responsable de traitement sont conformes à l’exigence de sécurité prévue par l’article 34 de la loi du 6 janvier 1978 modifiée.
La Commission rappelle toutefois que cette obligation nécessite la mise à jour des mesures de sécurité au regard de la réévaluation régulière des risques
Sur les autres caractéristiques du traitement
Les données des patients sont conservées pendant cinq ans à compter de la réception de sa question ou de sa réclamation, et ce selon les modalités suivantes s’agissant de leurs données d’identification :
- ces dernières sont conservées pendant trois mois à compter de la réception de la question ou de la réclamation, cette durée correspondant au temps nécessaire pour apporter une réponse, puis elles sont supprimées ;
- dans l’hypothèse où une question ou une réclamation serait associée à un cas de pharmacovigilance (cas d’effet indésirable enregistré dans une base dédiée d’ASTELLAS PHARMA et relevant des formalités de l’autorisation unique n°13 de la Commission), seules les initiales des patients sont conservées au-delà du délai de trois mois susmentionné, notamment afin d’éliminer les doublons, d’évaluer la véracité des déclarations d’effets indésirables et d’assurer le suivi de ces déclarations, sans avoir besoin de lever l’anonymat des patients.
Les données d’identification des professionnels de santé et les réponses apportées par le responsable de traitement sont également conservées pendant cinq ans.
Passé ce délai, l’ensemble des données des patients et des professionnels de santé sont supprimées. Elles peuvent toutefois faire l’objet d’un archivage, dans un format anonymisé, à des fins de statistiques.
La Commission estime que ces durées de conservation sont pertinentes au regard de la finalité poursuivie par le traitement.
Autorise, conformément à la présente délibération, la société ASTELLAS PHARMA à mettre en œuvre le traitement susmentionné.
La Présidente
Isabelle FALQUE-PIERROTIN