(Demande d’autorisation n° 2060205)
La Commission nationale de l'informatique et des libertés,
Saisie par la société AMGEN d’une demande d’autorisation concernant un traitement automatisé de données à caractère personnel ayant pour finalité la cession gratuite de médicaments à des patients sans alternative thérapeutique ou indigents ;
Vu la convention n° 108 du Conseil de l’Europe pour la protection des personnes à l’égard du traitement automatisé des données à caractère personnel ;
Vu la directive 95/46/CE du Parlement européen et du Conseil du 24 octobre 1995 relative à la protection des personnes physiques à l’égard du traitement des données à caractère personnel et à la libre circulation de ces données ;
Vu le code de la santé publique, notamment son article L 5121-12, L 5121-12-1 et R 5124-2 alinéa 3 ;
Vu la loi n° 78-17 du 6 janvier 1978 modifiée relative à l’informatique, aux fichiers et aux libertés, notamment ses articles 8-IV et 25-I-1 ;
Vu le décret n° 2005-1309 du 20 octobre 2005 modifié pris pour l’application de la loi n° 78-17 du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés ;
Vu le dossier et ses compléments ;
Sur la proposition de M. Alexandre LINDEN, commissaire, et après avoir entendu les observations de Mme Nacima BELKACEM, commissaire du Gouvernement,
Formule les observations suivantes :
Responsable du traitement
La société AMGEN SAS est une entreprise spécialisée dans le commerce de produits pharmaceutiques.
Dans le cadre de la délivrance gratuite de produits à des patients sans alternative thérapeutique ou indigents, le professionnel de santé adresse sa prescription à AMGEN, qui évalue au cas par cas les demandes qui lui sont soumises. Quatre hypothèses de cession d’un médicament sont possibles :
sur demande directe d'un médecin auprès d’AMGEM, pour un patient atteint d'une maladie grave et en impasse thérapeutique, d'un médicament dans une indication de l'autorisation de mise sur le marché (AMM) non encore prise en charge par l'assurance maladie (évaluation de  la demande de remboursement/prix par les autorités de santé en cours) ;
sur demande directe d'un médecin auprès d’AMGEM, pour un patient atteint d'une maladie grave et en impasse thérapeutique, d'un médicament dans une indication hors AMM non prise en charge par l'assurance maladie, et dont l'efficacité et la tolérance sont présumées ;
sur demande directe d'un médecin auprès d’AMGEN, d'un médicament disposant d'une AMM et remboursé, pour un patient ne disposant pas d'assurance maladie ;
sur demande directe d'un médecin auprès d’AMGEM, de produits non remboursés,  pour un patient à ressources limitées, afin d'aider dans la prévention et la  gestion des réactions cutanées associées  aux médicaments anti-EGFR.
Sur la finalité
Dans le cadre de cette cession, le traitement a pour finalités :
la collecte, l’enregistrement, l’analyse, le suivi, la documentation, la transmission, la conservation des données relatives à l’accès, l’initiation, le suivi et l’arrêt des prescriptions des médicaments cédés à titre gratuit ;
la gestion des contacts avec les médecins prescripteurs et les pharmaciens dispensateurs dans le cadre de cession à titre gratuit ;
la vérification de la pertinence de la prescription, l’intérêt en termes de bénéfice/risque pour le patient et du respect de la réglementation.
La Commission estime que la finalité du traitement est déterminée, explicite et légitime, conformément à l’article 6 de la loi du 6 janvier 1978 modifiée.
Sur les données traitées
Le traitement comporte deux catégories de données à caractère personnel.
Les données concernant les professionnels de santé (médecin prescripteur, pharmacien dispensateur) sont transmises directement par le professionnel de santé lui-même : nom, prénom, coordonnées professionnelles (adresse postale, email et/ou téléphone), n° de Répertoire Partagé des Professionnels de Santé  (médecin).
Les données concernant les patients concernés sont transmises par le professionnel de santé (médecin prescripteur) : données d’identification (initiales, sexe, date de naissance sous la forme mois/année pour les adultes et jour/mois/année pour les enfants), données de santé (antécédents familiaux et personnels, pathologie, affection, données relatives aux soins  (histoire de la maladie, traitements reçus et en cours, tolérance, effets indésirable, résultats d’examen liés à la pathologie) et les données sur les ressources limitées (évaluation faite par le médecin prescripteur selon les critères de pauvreté de l’Institut national de la statistique et des études économiques. La Commission estime que les données traitées sont adéquates, pertinentes et non excessives au regard de la finalité poursuivie, conformément aux dispositions de l’article 6-3° de la loi du 6 janvier 1978 modifiée.
Sur les destinataires
Les personnes habilitées d’AMGEN France et d’AMGEN INC pour accéder aux données sont :
le pharmacien responsable dans la limite de ses attributions et pour ce qui le concerne ;
les membres du service en charge des affaires réglementaires, des affaires médicales, de la pharmacovigilance, personnel en charge de la gestion des commandes, approvisionnement et distribution dans la limite de leurs attributions et pour ce qui les concerne ;
les prestataires de services et auditeurs, dans la limite de leurs attributions et dans les conditions définies par le contrat les liant au responsable de traitement.
Cette liste de destinataires n’appelle pas d’observation de la part de la Commission.
Sur l’information et les droits des personnes
Les personnes concernées sont informées de la manière suivante :
les professionnels de santé (médecin prescripteur, pharmacien dispensateur) sont informés par une notice adressée par AMGEN avec le courrier en réponse à la demande de produit ;
les patients sont informés par les professionnels de santé par une notice d’information fournie par AMGEN.
La Commission rappelle sur ces points que les notices d’information doivent-être conformes aux dispositions de l’article 32 de la loi informatique et libertés.
Sous réserve du respect des exigences évoquées précédemment, la Commission estime que les modalités d’informations et d’exercice des droits des personnes sont respectées.
Sur les mesures de sécurité
Chaque utilisateur dispose d'un identifiant qui lui est propre.
Le responsable de traitement met en place des profils d’habilitation définissant les fonctions ou les types d’informations accessibles à un utilisateur.
Le responsable de traitement a mis en place une politique de mots de passe conforme aux recommandations de la Commission.
Ainsi, les professionnels de santé seront authentifiés par l’utilisation d’un mot de passe d’une longueur minimale de huit caractères et composé de trois types de caractères distincts avec mesures de blocage en cas d’essais infructueux.
La Commission rappelle que les mots de passe ne doivent pas être stockés en clair dans les fichiers ou bases de données.
La confidentialité des données lors des transferts est assurée par la mise en œuvre d’un dispositif de chiffrement.
La Commission recommande de chiffrer également les sauvegardes.
Les accès à l’application sont tracés.
La mise au point des logiciels est effectuée sur des données anonymisées.
Les mesures de sécurité décrites par le responsable de traitement sont conformes à l’exigence de sécurité prévue par l’article 34 de la loi du 6 janvier 1978 modifiée.
La Commission rappelle toutefois que cette obligation nécessite la mise à jour des mesures de sécurité au regard de la réévaluation régulière des risques.
Sur les autres caractéristiques du traitement
Les données collectées seront conservées pendant une durée de dix ans à compter de la collecte.
Cette durée apparaît justifiée au regard des finalités du traitement.
Sur les transferts de données hors Union européenne :
Le traitement fait l’objet :
- d’un transfert de données à la maison mère de la société AMGEN, située aux Etats-Unis. La finalité du traitement est la participation à l’évaluation de la demande. La nature du traitement envisagé consiste en l’évaluation des dossiers par lecture seule. Ce transfert est encadré par des Binding Corporate Rules (responsable de traitement du groupe AMGEN) ;
- d’un transfert de données  aux prestataires, situés en Inde. La finalité du traitement est relative au contrôle des données. La nature du traitement envisagé est la lecture des données. Ce transfert est encadré par un contrat de responsable de traitement à sous-traitant (clauses contractuelles types de la Commission européenne) ;
- d’un transfert de données aux  prestataires, situés aux Philippines. La finalité du traitement est relative au contrôle des données. La nature du traitement envisagé est la lecture des données. Ce transfert est encadré par un contrat de responsable de traitement à sous-traitant (clauses contractuelles types de la Commission européenne).
Autorise, conformément à la présente délibération, la société AMGEN à mettre en œuvre le traitement décrit ci-dessus.
Pour la Présidente Le Vice-Président délégué
Marie-France MAZARS