(Demande d’autorisation n° 1562025)
La Commission nationale de l’informatique et des libertés ;
Saisie par la société AMGEN S.A.S. d’une demande d’autorisation concernant un traitement automatisé de données à caractère personnel ayant pour finalité le suivi des questions médicales relatives à ses produits de santé ;
Vu la Convention n° 108 du Conseil de l’Europe pour la protection des personnes à l’égard du traitement automatisé des données à caractère personnel ;
Vu la directive 95/46/CE du Parlement européen et du Conseil du 24 octobre 1995 relative à la protection des personnes physiques à l’égard du traitement de données à caractère personnel et à la libre circulation de ces données ;
Vu le code de la santé publique, notamment ses articles L. 5121-22 à L. 5121.26 et R. 5121-150 à R. 5121-201 ;
Vu la loi n° 78-17 du 6 janvier 1978 modifiée relative à l’informatique, aux fichiers et aux libertés, notamment ses articles 8-IV, 25-I-1° et 69 ;
Vu le décret n° 2005-1309 du 20 octobre 2005 modifié pris pour l’application de la loi n° 78-17 du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés ;
Vu la délibération n° 2009-711 du 17 décembre 2009 autorisant la mise en œuvre par la société AMGEN S.A.S. d’un traitement de données à caractère personnel ayant pour finalité le suivi des questions médicales relatives à ses produits de santé ;
Vu le dossier et ses compléments ;
Sur la proposition de M. Jean MASSOT, commissaire, et après avoir entendu les observations de Jean-Alexandre SILVY, commissaire du Gouvernement ;
Formule les observations suivantes :
Sur le responsable du traitement
La société AMGEN est une société par action simplifiée spécialisée dans la fabrication de médicaments.
Sur la finalité
La finalité du traitement est d’assurer :
En qualité d’établissement pharmaceutique, le responsable de traitement doit être en mesure de répondre aux questions et réclamations relatives à ses produits de santé.
le suivi des questions médicales, émanant tant des patients que des professionnels de santé utilisant les produits commercialisés par le responsable de traitement,
la gestion des réclamations présentées par les mêmes personnes (ex : un défaut de qualité d’un produit de santé) et le recueil des effets indésirables liés aux produits commercialisés par le responsable de traitement.
La Commission considère les finalités poursuivies comme déterminées, explicites et légitimes.
Sur les données traitées
S’agissant de l’auteur des questions ou réclamations : les données d’identification (nom, prénom, sexe), les coordonnées (adresse, téléphone, fax, email) en cas de nécessité que la personne soit rappelée), la qualité (médecin généraliste, pharmacien hospitalier, patient).
Les données de santé contenues dans les questions posées (pathologies, antécédents, données relatives aux soins et conditions d’utilisation du produit de santé en question).
Les données traitées sont adéquates, pertinentes et non excessives au regard de la finalité poursuivie, conformément aux dispositions de l’article 6-3° de la loi du 6 janvier 1978 modifiée.
Sur les destinataires
Les destinataires des données sont les personnels dûment habilités de la société AMGEN, à savoir les membres de la direction médicale, des services informatiques et de la direction des affaires réglementaires, assurance qualité.
L’habilitation à consulter des données de santé ne peut être attribuée qu’à des personnes soumises au secret médical, et dans la stricte limite de leurs missions.
Ces destinataires n’appellent pas d’observation de la part de la Commission.
Sur l’information et le droit d’accès
Les personnes concernées, dès lors qu’elles transmettront leurs questions ou réclamations au responsable de traitement, sont informées, conformément à l’article 32 de la loi du 6 janvier 1978 modifiée, par un message téléphonique ou par courrier postal personnalisé du traitement de leurs données.
Les droits d’accès et de rectification s’exercent auprès du département d’information médicale de la société AMGEN.
Ces modalités d’information et d’exercice des droits sont suffisantes.
Sur les mesures de sécurité
Concernant les modalités d’accès aux données, les utilisateurs ayant accès à l’application sont authentifiés au moyen d’un mot de passe d’une taille de huit caractères, composés de quatre types de caractères distincts (majuscules, minuscules, chiffres et caractères spéciaux), valides 180 jours, avec un blocage d’accès après trois tentatives.
Des profils d’habilitation permettent de déterminer les données auxquelles peuvent accéder les utilisateurs.
Concernant les mesures de traçabilité, l’ensemble des accès en consultation, modification et création sont tracés et conservés dans le dossier du patient.
Concernant les réseaux au travers desquels sera accessible le traitement, ceux-ci seront reliés entre eux par un réseau MultiProtocol Label Switching (MPLS) présentant un niveau de sécurité suffisant (utilisation du protocole HTTPS).
Les mesures de sécurité mises en place n’appellent pas d’observation.
Sur les autres caractéristiques du traitement
Sur les transferts de données hors de l’Union européenne
Les données collectées seront transférées vers les Etats-Unis, afin d’alimenter la base IRPC (Intake, Response and Product Complaints) détenue par AMGEN Inc. Les garanties mises en œuvre pour le transfert de données sont, s’agissant des données des patients, un contrat établi sur le modèle des clauses contractuelles types de responsable de traitement à responsable de traitement, approuvées par la Commission européenne, et, s’agissant des données des professionnels de santé, la certification Safe Harbor.
En présence d’un cas d’effet indésirable, les données recueillies dans la base IRPC relatives à ce cas seront intégrées à la base ARGUS, base détenue par la société AMGEN à des fins exclusives de pharmacovigilance. La base ARGUS a été déclarée à la Commission par un engagement de conformité à l’autorisation unique n° AU-013.
L’intégration des données susmentionnées dans la base ARGUS est confiée par AMGEN à un sous-traitant, la société TATA CONSULTANCY SERVICES LIMITED, basée en Inde. Le transfert de données en résultant sera encadré par contrat établi sur le modèle des clauses contractuelles types de responsable de traitement à sous-traitant, approuvées par la Commission européenne.
Sur la durée de conservation des données
Les données d’identification des patients sont conservées pendant trois mois à compter de la réception de la question et/ou de la réclamation, cette durée correspondant au temps nécessaire pour apporter une réponse, puis elles seront supprimées. Seule sera conservée l’initiale du nom des patients.
Les données d’identification des professionnels de santé et les réponses apportées par le responsable de traitement seront conservées pendant dix ans. Passé ce délai, les données seront archivées et pourront être conservées de façon anonymisée à des fins statistiques.
La Commission estime que ces durées de conservation sont pertinentes au regard de la finalité poursuivie par le traitement.
Autorise, conformément à la présente délibération, la société AMGEN S.A.S. à mettre en œuvre le traitement susmentionné.
La présente délibération abroge et remplace la délibération n° 2009-711.
La Présidente
Isabelle FALQUE-PIERROTIN