Délibération n° 2018-023 du 25 janvier 2018 autorisant la société Gilead Sciences à mettre en œuvre un traitement automatisé de données à caractère personnel ayant pour finalité le recueil des signalements d’effets indésirables liés aux produits commercialisés
Nature: Autre autorisation

(Demande d’autorisation n° 1468174)
La Commission nationale de l'informatique et des libertés,
Saisie par la société Gilead Sciences Ltd d’une demande d’autorisation concernant un traitement automatisé de données à caractère personnel ayant pour finalité le recueil des signalements d’effets indésirables liés aux produits commercialisés ;
Vu la convention n° 108 du Conseil de l’Europe pour la protection des personnes à l’égard du traitement automatisé des données à caractère personnel ;
Vu la directive 95/46/CE du Parlement européen et du Conseil du 24 octobre 1995 relative à la protection des personnes physiques à l’égard du traitement des données à caractère personnel et à la libre circulation de ces données ;
Vu le code de la santé publique, notamment ses articles L. 5121-22 à L. 5121-26, R. 5121-150 et suivants ;
Vu la loi n° 78-17 du 6 janvier 1978 modifiée relative à l’informatique, aux fichiers et aux libertés, notamment ses articles 8-IV et 25-I-1° ;
Vu le décret n° 2005-1309 du 20 octobre 2005 modifié pris pour l’application de la loi n° 78-17 du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés ;
Vu le dossier et ses compléments ;
Sur la proposition de M Alexandre LINDEN, commissaire, et après avoir entendu les observations de Mme Nacima BELKACEM, commissaire du Gouvernement,
Formule les observations suivantes :
Responsable du traitement
Gilead Sciences est un laboratoire de biotechnologie, spécialisé dans la découverte, le développement et la commercialisation de médicaments. Basé à Foster City en Californie, Gilead est présent en Amérique du Nord, en Europe et en Australie. 
Sur la finalité
La finalité du traitement est la saisie, dans une base de données, la gestion, l'évaluation et la soumission aux autorités de santé par Gilead sciences international Ltd. (Cambridge) des effets indésirables des produits commercialisés ainsi que des informations relatives à un message, un surdosage, un manque
d'efficacité, un abus, une erreur médicamenteuse, un risque d'erreur médicamenteuse ou une utilisation d'un médicament Gilead pendant l'allaitement ou la grossesse et la gestion des contacts avec les professionnels de santé et les patients ayant signalé un effet indésirable.
La Commission considère les finalités poursuivies comme déterminées, explicites et légitimes.
La Commission estime qu’il y a  lieu de faire application des dispositions combinées des articles 8-IV et 25-I-1° de la loi du 6 janvier 1978 modifiée, qui soumettent à autorisation les traitements comportant des données relatives à la santé et justifiés par l’intérêt public.
Sur les données traitées
Les données traitées seront celles correspondant aux champs des formulaires de Gilead Sciences pour le signalement des effets indésirables.
S’agissant de l’auteur d’un signalement d’effet indésirable : les données d’identification (nom et, s’agissant de professionnels de santé, le numéro d’inscription au répertoire partagé des professionnels de santé, RPPS), et s’il est nécessaire que l’auteur du signalement soit recontacté, ses coordonnées (adresse, téléphone, fax, courriel, qu’il s’agisse d’un professionnel de santé, d’un patient, d’un proche ou d’une association de patients). 
S’agissant de la personne victime d’un effet indésirable : les trois premières lettres du nom et la première lettre du prénom, le sexe, la date de naissance ou l’âge, le poids, la taille et les données de santé contenues dans la déclaration d’effet indésirable (pathologies, antécédents, données relatives aux soins et conditions d’utilisation du produit de santé en question).
Le traitement comporte la collecte de données ethniques qui permettent d’évaluer comment les populations d’origine ethnique distincte métabolisent les médicaments ou réagissent à ceux-ci.
Les données traitées sont adéquates, pertinentes et non excessives au regard de la finalité poursuivie, conformément aux dispositions de l’article 6-3° de la loi du 6 janvier 1978 modifiée.
Sur les destinataires
Les destinataires des données sont les personnels dûment habilités du département de pharmacovigilance France, de Gilead Sciences International Ltd (Cambridge) et Gilead Sciences Inc. (US).
La Commission prend acte de ce que l’habilitation à consulter des données de santé n’est attribuée qu’à des personnes soumises au secret médical, et dans la stricte limite de leurs missions.
Cette liste de destinataires n’appelle pas d’observation de la part de la Commission.
Sur l’information et les droits des personnes 
Les personnes concernées, dès lors qu’elles transmettront leurs déclarations ou leurs questions au responsable de traitement, sont informées du traitement de leurs données, conformément à l’article 32 de la loi du 6 janvier 1978 modifiée, par une mention sur le site Internet et par l’envoi d’un courriel de confirmation aux utilisateurs qui valideront le formulaire de déclaration. Des consignes sont données aux professionnels de santé ou associations afin qu’ils puissent délivrer l’information aux patients.
Les droits d’accès et de rectification s’exercent auprès du service pharmacovigilance de  Gilead Sciences.
Ces modalités d’information et d’exercice des droits sont suffisantes.
Sur les mesures de sécurité
Des profils d’habilitation définissent les fonctions ou les types d’informations accessibles à un utilisateur.
Le responsable de traitement a mis en œuvre une politique de mot de passe conforme à la  délibération n° 2017-012 du 19 janvier 2017 portant adoption d'une recommandation relative aux mots de passe. Il utilise pour ce faire un token cryptographique permettant de procéder à une authentification forte des utilisateurs. 
La Commission rappelle que les équipements mobiles doivent faire l'objet de mesures de chiffrement afin de garantir la confidentialité des données qu'ils contiennent en cas de perte ou de vol de l'équipement.
En outre, la Commission considère que la nature des données exige que celles-ci fassent l'objet de mesures de chiffrement conformes à l'annexe B1 du référentiel général de sécurité tant au niveau des bases de données que des sauvegardes.
La Commission relève que les échanges se font via le protocole http, elle recommande que les accès au traitement se fassent via le protocole HTTPS, qui permet de garantir la confidentialité des données échangées ainsi que l'authentification du responsable de traitement. Concernant le recours à ce protocole, la Commission recommande d’utiliser la version de TLS la plus à jour possible.
Le responsable de traitement déclare effectuer la mise au point des logiciels sur des données anonymisées.
La Commission rappelle que l'anonymisation doit être effective. Le responsable de traitement doit donc réaliser une analyse permettant de démontrer que ses processus d'anonymisation respectent les trois critères définis par l'avis du groupe de l'article 29 n°05/2014. À défaut, si ces trois critères ne peuvent être réunis, une étude des risques de ré-identification doit être menée.
Le traitement dispose d’une journalisation des accès. La commission recommande une durée de conservation des journaux de six mois. 
Sous réserve des précédentes observations, les autres mesures de sécurité décrites par le responsable de traitement sont conformes à l’exigence de sécurité prévue par l’article 34 de la loi du 6 janvier 1978 modifiée.
La Commission rappelle toutefois que cette obligation nécessite la mise à jour des mesures de sécurité au regard de la réévaluation régulière des risques.
Sur les autres caractéristiques du traitement
Les données d’identification des personnes sont conservées pendant deux ans à compter de la réception du signalement ou de la demande d’information, afin de pouvoir les recontacter si nécessaire. Passé ce délai, ces données seront supprimées ou conservées sous un format anonymisé. 
La Commission estime que ces durées de conservation sont pertinentes au regard de la finalité poursuivie par le traitement.
S’agissant des transferts de données en dehors de l’Union européenne, Gilead Sciences met en œuvre des clauses contractuelles types pour encadrer ces transferts.
Autorise, conformément à la présente délibération, Gilead Sciences à mettre en œuvre le traitement décrit ci-dessus.
Pour la Présidente Le Vice-Président délégué
Marie-France MAZARS