(Demande d’autorisation n° 2185121)
La Commission nationale de l'informatique et des libertés,
Saisie par la société NOVARTIS Pharma SAS d’une demande d’autorisation concernant un traitement automatisé de données à caractère personnel ayant pour finalité de garantir la traçabilité du médicament personnalisé KYMRIAH, intitulé CELLCHAIN LINK ;
Vu la convention n° 108 du Conseil de l’Europe pour la protection des personnes à l’égard du traitement automatisé des données à caractère personnel ;
Vu le règlement (UE) 2016/679 du parlement européen et du Conseil du 27 avril 2016 relatif à la protection des personnes physiques à l’égard du traitement des données à caractère personnel et à la libre circulation de ces données, et abrogeant la directive 95/46/CE » (règlement général sur la protection des données) ;
Vu la loi n° 78-17 du 6 janvier 1978 modifiée relative à l’informatique, aux fichiers et aux libertés, notamment  l’article 8-II 8° et 54;
Vu le décret n° 2005-1309 du 20 octobre 2005 modifié pris pour l’application de la loi n° 78-17 du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés ;
Vu le dossier et ses compléments ;
Sur la proposition de Mme Valérie PEUGEOT, commissaire, et après avoir entendu les observations de Mme Nacima BELKACEM, commissaire du Gouvernement,
Formule les observations suivantes :
Responsable du traitement
Novartis Pharma SAS (ci-après, NOVARTIS).
Sur la base légale et la finalité
Le laboratoire Novartis Pharma SAS souhaite mettre en œuvre un traitement automatisé de données à caractère personnel dans le cadre  de la mise à disposition pour les patients du médicament dénommé Kymriah.
Ce médicament vise à traiter des enfants et des adultes souffrant de certaines formes de leucémie et de lymphome.
Le médicament Kymriah est un médicament autologue, fabriqué à partir de cellules prélevées sur le patient auquel est destiné le traitement. Il est dispensé dans le cadre d’une autorisation temporaire d’utilisation (ATU).
Le traitement des données vise ainsi à :
garantir une chaine d’identification rigoureuse tout au long du processus de fabrication du médicament personnalisé ;
assurer l’absence de toute possibilité d’interchangeabilité des cellules prélevées ou d’administration du médicament à un autre patient.
Par ailleurs, le médicament ne bénéficiant pas d’une autorisation de mise sur le marché (AMM) en France, son utilisation est soumise à une procédure de surveillance étroite de la part de l’ANSM, notamment en matière de pharmacovigilance.
L’ATU est accompagnée d’un protocole d’utilisation thérapeutique et de recueil d’informations pour permettre :
le suivi et la surveillance des patients traités ;
l’information pertinente sur l’utilisation de ce médicament afin d’en assurer un bon usage, avec notamment le résumé des caractéristiques du produit (RCP) qui fixe les critères d’utilisation du médicament, les modalités d’information des patients sur le médicament et sur l’ATU ;
la définition des critères d’utilisation et de dispensation du médicament ainsi que les modalités de surveillance des patients traités ;
la définition du rôle de tous les acteurs du dispositif.
Le traitement a pour base légale le respect d'obligations légales et réglementaires,  qui vise à assurer la traçabilité du processus et de mieux suivre les effets indésirables.
Ainsi cette base est  la garantie de normes élevées de qualité et de sécurité des soins de santé et des médicaments, au sens de l’article 6-1- c du RGPD.
La Commission considère cette finalité comme déterminée, légitime et explicite 5-1-b du RGPD.
Elle estime qu’il y a lieu de faire application des dispositions de l’article 8-II 8° et 54 de la loi du 6 janvier 1978 modifiée, qui soumettent à autorisation les traitements comportant des données relatives à la santé et justifiés, comme en l’espèce, par l’intérêt public.
Sur les données traitées
Les données traitées concernent les patients en impasse thérapeutique auxquels le médicament a été prescrit.
Les données collectées des patients sont :

le prénom ;
la date et lieu de naissance ;
la situation professionnelle ;
le poids ;
les pathologies et affections ;
des données relatives aux soins ;
des données biologiques se rapportant aux cellules prélevées.
Des identifiants spécifiques sont utilisés pendant le transport :
document de transport (« Waybill ») ;
numéro de lot (« Batch ID ») ;
numéro de série du récipient Dewar.
Ces données sont indispensables à la mise en œuvre des traitements automatisés pour garantir que les cellules prélevées sur le patient, transportées à nouveau afin de lui être réinjectées, soient liées de manière indissociable à un seul et unique patient.
Les informations recueillies dans le cadre de la pharmacovigilance sont :

le prénom ;
les adresses postale et électronique ;

le poids ;
la taille ;
la date de naissance ou l’âge au moment de l’effet ;
les informations relatives à l’administration du médicament ;
l’effet indésirable et son évolution.
Par ailleurs, l’identité du médecin ou professionnel de santé ayant constaté l’évènement sera recueillie dans la mesure du possible, de même que son adresse électronique, son numéro de téléphone et son numéro de fax au regard du formulaire fourni par l’ANSM.
Concernant la demande de protocole d’utilisation thérapeutique et de recueil d’information sont collectés : nom, prénom, spécialité, établissement, adresse, code postale, ville téléphone, fax, email du médecin prescripteur et du pharmacien hospitalier.
La Commission considère que les données dont le traitement est envisagé sont adéquates, pertinentes et limitées à ce qui est nécessaire au regard des finalités du traitement, conformément à l’article 5-1-c du RGPD.
Sur les destinataires
Novartis Pharma SAS n’a pas d’accès par défaut aux données personnelles. Novartis Pharma SAS peut avoir accès aux données afin de gérer les réclamations potentielles liées au produit ou en cas d’exercice des droits sur lesdites données personnelles.
Au sein de Novartis auront accès aux données, les personnes habilitées et dans la mesure où leurs missions l’exigent des entités suivantes :
Novartis Pharmaceuticals Corporation : qui accèdera aux données et cellules T afin de gérer le processus de fabrication de Kymriah / CTL019 ;
Novartis Pharma AG: aura accès aux données le service client, les services de commande/planification ainsi que le service informatique (pour des raisons de support informatique) ;
Novartis Pharma Gmbh : aura accès aux données pour gérer le service client et les processus de commande et qui sera responsable de la mise sur le marché du produit pour les pays de l'UE ;
Novartis Pharma SAS : pourra avoir accès aux données afin de gérer les réclamations potentielles liées au Produit ou en cas d’exercice des droits sur lesdites données personnelles.
Au sein de chaque entité filiale de Novartis SAS, les accès sont définis en fonction du rôle des salariés. Il n’y a pas d’accès par défaut ; il faut justifier de la nécessité de ces accès, suivre la formation requise et remplir un formulaire d’accès. Le périmètre des accès dépendra ensuite des besoins opérationnels.
Les tiers qui pourront avoir accès aux données :
les établissements où le patient est traité et qui entrent les données dans le système informatique de Novartis afin d'assurer le maintien de la chaîne d'identification ;
l’hébergeur agréé/certifié des données de santé ;
Fraunhofer-Gesellschaft zur Förderung der angewandten Forschung e. V., en tant que personne morale pour le Fraunhofer Institute for Cell Therapy and Immunology ("IZI"), qui fabrique Kymriah / CTL019 pour le compte de Novartis, aura accès aux données du patient pour la fabrication du produit et le stockage des Cellules T et des échantillons ;
Accenture AG Fraumünsterstrasse 16, 8001 Zürich, Suisse et Accenture HDC 4 - Mantri Cosmos SEZ, Nanakramguda Village, Gachibowli, Serilingampally Mandal, Randa Reddy District, Telangana 500008 :   accéderont aux données pour assurer le support informatique en leur qualité d'administrateur du système. Ils ne pourront accéder aux données que sur demande de changement justifiée, documentée et approuvée par Novartis. En cas d'accès d'un administrateur, il devra entrer dans le VPN, utiliser l'outil des accès privilégiés (PAM) enregistrant les opérations et s'authentifier. L'administrateur ne verra pas les données personnelles des patients, qui restent dans la solution Cell Chain.
Concernant les habilitations d’accès aux données :
des profils d’habilitation définissent les fonctions ou les types d’informations accessibles à un utilisateur ;
seules les personnes justifiant de leur besoin d’accéder aux données bénéficient d’une habilitation ;
s’agissant des tiers, le département « Cell & Gene Therapy» de Novartis identifie, approuve et certifie les utilisateurs externes. Les utilisateurs certifiés sont ensuite provisionnés et dé-provisionnés dans le système à la demande des responsables opérationnels de Novartis, en utilisant l’architecture de sécurité intégrée entre Novartis et Salesforce.
La Commission considère que les catégories de destinataire n’appellent pas d’observation.
Sur l’information et les modalités d’exercice des droits
S’agissant des patients :
le patient se verra remettre un formulaire d’information et de consentement par le médecin prescripteur avec les explications nécessaires à sa bonne compréhension. Le formulaire après une lecture attentive du patient (son représentant légal ou la personne de confiance qu’il a désignée) devra pour consentir dater et signer en bas du formulaire ;
le formulaire contient les informations suivantes :
l’identité du responsable de traitement ;
les données collectées ;
les finalités du traitement ;
les personnes ayant accès aux données ;
des informations relatives aux transferts de données national ou international ;
les mesures de sécurité mises en place ;
la conservation des données et du médicament ;
le formulaire contient concernant ces droits les indications suivantes :
le droit d'accéder à ses données personnelles et, s’il estime qu'une information le concernant/concernant son enfant est incorrecte, obsolète ou incomplète, d'en demander la rectification ou la mise à jour ;
le droit de demander l'effacement de ses données personnelles ou la limitation de leur usage à des fins spécifiques de traitement ;
le droit de retirer son consentement à l'utilisation de ses données personnelles et de ses cellules à tout moment, sans affecter la validité du processus avant ce retrait ;
le droit de s'opposer, en tout ou en partie, au traitement de ses données personnelles.
Le patient accèdera pour exercer ses droits à une adresse électronique, une adresse postale et pourra si nécessaire adresser une demande au délégué à la protection des données.
Le patient pourra enfin exercer ses droits par l'intermédiaire du médecin prescripteur.
S’agissant des professionnels de santé (médecins prescripteurs et pharmaciens dispensateurs) ils sont informés du traitement de leurs données à caractère personnel dans le courriel qui leur est adressé au moment des formations de mise en place dans le centre auquel ces professionnels de santé sont rattachés.
L’information qui leur est délivrée reprend les mentions prévues  par le règlement 2016/679 du 27 avril 2016 relatif à la protection des personnes physiques à l’égard du traitement des données à caractère personnel et à la libre circulation de ces données et par la loi informatique et libertés, notamment les modalités d’exercice des droits d’accès et de rectification.
Sous réserve de l’ajout dans les notes d’information de l’ensemble des mentions prévues par l’article 13 du RGPD, la Commission estime que ces mesures d’information et d’exercice des droits sont satisfaisantes.
Sur les mesures de sécurité
La Commission prend acte que le responsable de traitement s’engage à héberger l'ensemble des données de santé auprès d’un hébergeur agréé ou certifié conformément aux dispositions du code de la santé publique.
La Commission considère que la nature des données exige que celles-ci fassent l'objet de mesures de chiffrement conformes à l'annexe B1 du référentiel général de sécurité tant au niveau des bases de données que des sauvegardes.
La Commission demande que les permissions d'accès soient attribuées pour une durée déterminée et limitée, après validation hiérarchique, qu’elles soient supprimées dès qu'un utilisateur n'est plus habilité et qu’une revue globale des habilitations attribuées soit opérée régulièrement.
La Commission demande en outre que des habilitations spécifiques soient prévues pour le personnel non professionnel de santé, afin qu'il ne puisse avoir accès qu'à des données non identifiantes sur les patients.
La Commission relève que le nouvel article L. 1110-4 du code de la santé publique issu de la loi du 26 janvier 2016 de modernisation de notre système de santé ne prévoit plus l’authentification par CPS ou dispositif équivalent agréé par l’ASIP santé et que le nouvel article L. 1110-4-1 du même code renvoie ces modalités d’authentification à la conformité à des référentiels d'interopérabilité et de sécurité approuvés par le ministre en charge de la santé après avis de la CNIL.
Dans l’attente de la publication des textes réglementaires permettant l’entrée en vigueur de ces nouvelles dispositions, la Commission demande que l’authentification des professionnels de santé intervienne au moyen d’une CPS ou d’un dispositif équivalent agréé par l’ASIP santé.
La Commission rappelle au responsable de traitement la nécessité de mettre en place un système de journalisation permettant de conserver, une trace des opérations de consultation des données à caractère personnel.
La commission rappelle la nécessité de mettre en œuvre des conditions de sécurité effective, de haut niveau et de nature à garantir la confidentialité des données pour la mise à disposition de fichiers vers des destinataires extérieurs. Ces conditions doivent reposer sur des moyens permettant d'assurer l’authentification des destinataires, la confidentialité et l’intégrité des transmissions ainsi qu’une gestion des habilitations permettant d’attribuer aux destinataires le droit d'accéder aux seules données qui leur sont nécessaires.
Sur les autres caractéristiques du traitement
Novartis souhaite conserver les données de santé pour une durée de 30 ans. Cette durée s’appuie sur la réglementation européenne applicable à ce type de thérapie.
Dans un premier temps, l’accès aux données sera restreint aux services Audit et Pharmacovigilance, en cas de besoin, ainsi que toute autre personne capable d’en justifier la nécessité au-delà d’une durée de 3 ans qui correspond à la durée de vie d’une cellule durant lesquels les actes médicaux peuvent être effectués.
Dans un second temps, les données personnelles, notamment  tous les identifiants utilisés dans le processus, sont conservées pour assurer la traçabilité requise par la réglementation.
Cette traçabilité permettra de gérer les évènements indésirables survenant chez des patients et des éventuels audits, internes ou externes.
Novartis souhaite également conserver les données des professionnels de santé pour une durée de 15 ans.
La Commission considère que ces durées de conservation des données n’excèdent pas celles nécessaires aux finalités pour lesquelles elles sont collectées et traitées, conformément aux dispositions de l’article 5-1-e du RGPD.
Autorise, conformément à la présente délibération, la société NOVARTIS Pharma SAS à mettre en œuvre le traitement susmentionné.
Pour la Présidente Le Vice-Président délégué
Marie-France MAZARS