Vu la convention n° 108 du Conseil de l'Europe pour la protection des personnes à l'égard du traitement automatisé des données à caractère personnel ;
Vu la directive 95/46/CE du Parlement européen et du Conseil du 24 octobre 1995 relative à la protection des personnes physiques à l'égard du traitement de données à caractère personnel et à la libre circulation de ces données ;
Vu la directive 2001/83/CE du Parlement européen et du Conseil du 6 novembre 2001 instituant un code communautaire relatif aux médicaments à usage humain ;
Vu la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés, modifiée par la loi n° 2004-801 du 6 août 2004, notamment ses articles 8-I, 8-IV et 25-II ;
Vu le décret n° 2005-1309 du 20 octobre 2005 pris pour l'application de la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés, modifié le 25 mars 2007 ;
Vu le code de la santé publique, et notamment ses articles R. 5121-150 à R. 5121-201 ;
Vu l'arrêté du 28 avril 2005 relatif aux bonnes pratiques de pharmacovigilance ;
Après avoir entendu M. Jean-Pierre de Longevialle, commissaire, en son rapport, et Mme Pascale Compagnie, commissaire du Gouvernement, en ses observations,
La pharmacovigilance, dont les règles sont harmonisées au plan communautaire par les dispositions du titre IX de la directive 2001/83/CE du 6 novembre 2001 instituant un code communautaire relatif aux médicaments à usage humain, a pour objet, aux termes de l'article R. 5121-150 du code de la santé publique, la surveillance du risque d'effet indésirable résultant de l'utilisation des médicaments et produits à usage humain mentionnés aux articles L. 5111-2 et L. 5121-1 et des contraceptifs mentionnés à l'article L. 5134-1.
A ce titre, les exploitants de médicaments sont tenus d'enregistrer tout effet indésirable grave survenu en France et susceptible d'être dû à ce médicament ou produit ayant été porté à leur connaissance par un professionnel de santé ou par les autorités sanitaires. Les exploitants de médicament sont également tenus de signaler tous les autres effets indésirables graves survenus en France et susceptibles d'être dus à ce médicament ou produit, dont ils peuvent prendre connaissance, compte tenu notamment de l'existence de publications en faisant état ou de leur enregistrement dans des bases de données accessibles, ou qui ont fait l'objet d'une déclaration répondant aux critères fixés par les bonnes pratiques de pharmacovigilance définies en application de l'article R. 5121-179, et tout effet indésirable grave et inattendu survenu dans un pays tiers et susceptible d'être dû à ce médicament ou produit ayant été porté à leur connaissance (art. R. 5121-171 du code de la santé publique).
Les exploitants de médicaments sont tenus également de conserver des informations détaillées relatives à tous les effets indésirables survenus à l'intérieur ou à l'extérieur de la Communauté européenne, et susceptibles d'être dus à ce médicament ou produit (art. R. 5121-172 du code de la santé publique).
Les bonnes pratiques de pharmacovigilance approuvées par arrêté du ministre chargé de la santé du 28 avril 2005 recommandent « vivement » de mettre en œuvre un traitement informatisé. En outre, les dispositions communautaires imposent une transmission électronique des informations relatives aux effets indésirables par les laboratoires à l'Agence européenne du médicament (European Medicines Agency Home-EMEA).
L'exploitant est ainsi amené à traiter des données personnelles de santé et ces traitements répondent tous à une même exigence réglementaire, ont la même finalité et traitent les mêmes données pour les mêmes destinataires.
La pharmacovigilance et les traitements de données personnelles associées, ainsi que l'échange international de ces données, au-delà de leur caractère obligatoire, présentent un intérêt majeur pour la santé publique et la prise en charge thérapeutique des patients par des médicaments en ce qu'ils permettent de partager toute nouvelle information relative à un potentiel effet indésirable d'un médicament quel que soit le lieu de sa survenue.
Les signalements d'effets indésirables par les professionnels de santé au laboratoire exploitant ne nécessitent pas la communication de l'identité du patient. L'exploitant d'un médicament à qui un effet indésirable est signalé doit pouvoir demander des précisions au(x) professionnel(s) de santé ayant suivi le patient. Par ailleurs, le laboratoire peut être directement contacté par le patient ; dans ce cas le laboratoire connaît l'identité complète de la personne mais l'identité « en clair » du patient n'est pas enregistrée dans la base de données informatisée.
Les traitements de pharmacovigilance ainsi mis en œuvre poursuivent un intérêt de santé public et relèvent des dispositions des articles 8-IV et 25-I et II de la loi du 6 janvier 1978. En effet, dans la mesure où ils répondent à une même finalité, portent sur des catégories de données identiques et ont les mêmes catégories de destinataires, la commission peut adopter une décision unique d'autorisation.
Dans ces conditions, la commission décide que les responsables de traitement exploitants de médicaments qui lui adressent une déclaration comportant un engagement de conformité pour leurs traitements de données à caractère personnel répondant aux conditions fixées par la présente décision unique sont autorisés à mettre en œuvre ces traitements.
Seuls peuvent faire l'objet d'un engagement de conformité en référence à la présente décision unique les traitements mis en œuvre par ou pour le compte des laboratoires exploitants et ayant pour finalité :
1° Les données systématiquement collectées :
2° Les données collectées lorsqu'elles sont nécessaires à l'appréciation de l'effet indésirable :
(1) Le code alphanumérique peut correspondre exceptionnellement et à titre transitoire aux trois premières lettres du nom. Il est toutefois recommandé de se limiter aux seules initiales, c'est-à-dire à la première lettre du nom et à la première lettre du prénom dès lors qu'un numéro est également attribué lors de la saisie dans la base de pharmacovigilance.
Les différents services du laboratoire exploitant :
Le service chargé des audits peut, de façon ponctuelle et motivée, avoir accès à ces données pour vérifier le respect des exigences réglementaires et des procédures internes.
Peuvent également être destinataires des informations :
Le responsable du traitement prend toutes précautions utiles pour préserver la sécurité et la confidentialité des données traitées et notamment pour empêcher qu'elles soient déformées, endommagées ou que des tiers non autorisés puissent en prendre connaissance.
Le responsable du traitement définit une politique de sécurité qui devra notamment décrire :
Un audit pourra être effectué pour tout projet commencé avec un nouveau prestataire. Le plan de l'audit couvre notamment la vérification du plan qualité de l'entreprise, de la validation des systèmes informatiques avec l'existence d'un système de sauvegarde et de récupération des données.
S'agissant des patients, l'information s'effectue et les droits d'accès et de rectification s'exercent ainsi :
Dans ces deux cas, le patient peut exercer ses droits d'accès et de rectification auprès du ou des services que le responsable du traitement exploitant de médicaments a désignés dans la mention d'information ou le message oral ;
S'agissant des professionnels de santé, l'information s'effectue ainsi :
Dès lors que les données relatives aux patients ne comprennent comme données d'identité qu'un code alphanumérique, elles peuvent être transférées hors de l'Union européenne, en particulier vers les organismes publics étrangers en charge de la pharmacovigilance, les autorités et agences sanitaires internationales et les prestataires de service liés par contrat à l'exploitant.
Les données relatives aux professionnels de santé peuvent être transférées, en tant que de besoin, hors de l'Union européenne à l'exclusion de l'identité complète du professionnel de santé. Tout transfert de l'identité complète d'un professionnel de santé vers une personne morale établie dans un pays non membre de l'Union européenne n'accordant pas une protection suffisante au sens de l'article 68 de la loi du 6 janvier 1978 modifiée doit faire l'objet d'une autorisation particulière de la CNIL, conformément à l'article 69, alinéa 8, de la loi précitée.
Fait à Paris, le 10 janvier 2008.
