Santé : la CNIL adopte deux référentiels concernant les accès précoces et les accès compassionnels

Le code de la santé publique permet, sous certaines conditions, à des laboratoires pharmaceutiques de mettre à disposition des patients certains médicaments en dehors du cadre prévu par leur autorisation de mise sur le marché (AMM). Ces dispositifs s’adressent généralement à des patients atteints de maladies particulièrement graves, pour lesquels il n’y a pas de médicament efficace bénéficiant d’une AMM, et qui vont pouvoir accéder à des traitements médicaux présumés innovants en raison de ce contexte particulier.

La loi de financement de la sécurité sociale pour 2021 a procédé à la refonte des dispositifs d’accès dérogatoires au marché, anciennement connus sous les termes d’autorisation temporaire d’utilisation (ATU) nominative ou de cohorte, et de recommandation temporaire d’utilisation (RTU) :

• les ATU de cohorte sont devenues les « autorisations d’accès précoce » (AAP) délivrées par la Haute autorité de santé (HAS) sur demande d’un laboratoire pharmaceutique. Les médicaments concernés par ces autorisations sont destinés à un groupe ou sous-groupe de patients et sont présumés innovants dans une ou plusieurs indications thérapeutiques ;
• les ATU nominatives sont devenues les « autorisations d’accès compassionnel » (AAC) délivrées sur demande d’un professionnel de santé par l’Agence nationale de sécurité des médicaments et des produits de santé (ANSM). Elles sont destinées à un patient unique et portent sur des médicaments présumés innovants ou des médicaments autorisés à l’étranger ;
• les RTU sont devenues les « cadres de prescription compassionnelle » (CPC). Ces CPC sont décidées par l’ANSM à son initiative afin de permettre l’utilisation d’un médicament dans une autre indication thérapeutique que celle(s) prévue(s) dans son AMM. Attention : les référentiels publiés aujourd’hui par la CNIL ne concernent pas ce cas.

La loi impose aux laboratoires pharmaceutiques, avec la collaboration des professionnels de santé prenant en charge le patient, d’assurer le suivi des patients bénéficiant d’un médicament concerné par un de ces dispositifs. Ce suivi nécessite la constitution d’un fichier de données personnelles.

À quoi servent ces référentiels ?

Les référentiels, adoptés à la suite des retours reçus par la CNIL dans le cadre des consultations publiques lancées le 15 février 2022, répondent à trois objectifs principaux :

• guider les professionnels dans leurs démarches de mise en conformité ;

• permettre aux professionnels de mettre en œuvre les traitements de données personnelles impliquées par ces actes thérapeutiques sans avoir besoin d’une autorisation de la CNIL sous réserve d’avoir réalisé une déclaration de conformité. Les référentiels permettent aux laboratoires pharmaceutiques, après vérification de la conformité de leur projet par rapport aux règles et principes prévus par ces référentiels, de réaliser une déclaration de conformité (accès précoce, accès compassionnel) ;
• constituer une aide à la réalisation d’une analyse d’impact relative à la protection des données (AIPD) dans le cas où celle-ci est nécessaire.

Quels sont les traitements de données concernés par le référentiel « accès précoce » ?

Le référentiel « accès précoce » s’adresse à tous les laboratoires pharmaceutiques exploitant un médicament qui a obtenu une autorisation d’accès précoce. Les traitements de données personnelles mis en œuvre par les laboratoires permettront le suivi des patients, la mise à disposition du médicament et la gestion des relations avec les prescripteurs et les dispensateurs.

Quels sont les traitements de données concernés par le référentiel « accès compassionnel » ?

Contrairement à ce qui était prévu par le projet soumis pour consultation, le référentiel « accès compassionnel » s’adresse aux laboratoires pharmaceutiques exploitant un médicament qui a obtenu une autorisation d’accès compassionnel dès lors qu’un suivi du patient est requis par l’ANSM dans sa décision.

Quelles sont les principales modifications intervenues par rapport aux projets soumis à consultation ?

La plupart des modifications consistent en des précisions demandées par les contributeurs, notamment :

• l’ajout des définitions employées ;
• la distinction entre les personnes accédants aux données (professionnel qui collecte la données et personnel du laboratoire) et les catégories de destinataires ;
• les conditions dans lesquelles une réutilisation des données collectées peut être envisagée. Sur ce point, la CNIL rappelle que toute utilisation des données pour une finalité (objectif) autre que celle pour laquelle elles ont été collectées constitue un traitement ultérieur éventuellement soumis à des formalités distinctes.

Les référentiels ne sont, par ailleurs, pas applicables aux traitements mis en œuvre à des fins de gestion de la pharmacovigilance, qui disposent d’un référentiel dédié, ou de l’exécution de la convention de dédommagement prévue par le code de la santé publique.

Les différents textes adoptés depuis le début de la consultation et ayant un impact sur les traitements de données liés à un « accès précoce » et un « accès compassionnel » ont été pris en compte. Concrètement :

• les services numériques mis à disposition par les laboratoires devront être conformes à la Politique générale de sécurité des systèmes d’information en santé ; et
• l’authentification des professionnels de santé prenant en charge la personne pour le recueil électronique des données devra faire intervenir les services PASREL et PLAGE de l’Agence technique de l’information sur l’hospitalisation (ATIH) ;
• les référentiels prennent en compte la nouvelle recommandation de la CNIL sur les mots de passe.

Enfin, certaines catégories de données (initiales du prénom et du nom) ainsi que les conditions dans lesquelles, dans le cadre d’un accès précoce, un questionnaire de qualité de vie peut être envoyé par courrier postal ont été détaillées.

Que faire si le traitement de données envisagé n’est pas conforme au référentiel ?

Si un traitement n’est pas entièrement conforme à l’un de ces référentiels (par ex. : sur la responsabilité de traitement, les catégories de données, les durée de conservation des données, etc.), il est nécessaire d’adresser une demande d’autorisation à la CNIL.

Dans cette hypothèse, il est conseillé à l’organisme qui sollicite une autorisation d’inclure, dans son dossier, un document au sein duquel il met en avant et justifie les écarts par rapport au référentiel.

Les référentiels couvrent-ils la réalisation d’un contrôle de la qualité des données par une personne ne relevant pas de l’équipe de soins ?

Non.

Les dispositions du code de la santé publique précisent que les données collectées dans le cadre d’un « accès précoce » ou d’un « accès compassionnel » sont transmises par les professionnels de santé dans le respect du secret médical.

La CNIL n’a identifié aucune dérogation au secret médical similaire à celle qui est prévue en matière de recherche impliquant la personne humaine.

Par conséquent, dans le cadre des référentiels, seuls les membres de l’équipe de soins sont autorisés à consulter les données directement identifiantes des patients concernés collectés dans le cadre de leur suivi sanitaire.

Les référentiels couvrent-ils les cadres de prescription compassionnelle (CPC) ?

Les référentiels « accès précoce » et « accès compassionnel » ne sont pas applicables à ces traitements de données. 

La mise en œuvre des traitements de données liés aux CPC est donc soumise à autorisation de la CNIL. Des travaux de simplification ultérieurs pourront intervenir si les demandes envoyées à la CNIL présentent suffisamment de similitudes pour permettre l’élaboration d’un référentiel.