Publication des référentiels relatifs aux traitements de données mis en œuvre dans le cadre des autorisations d’accès précoce et compassionnel

La CNIL a publié deux référentiels, l’un portant sur les traitements de données à caractère personnel mis en œuvre dans le cadre des « autorisations d’accès précoce » (AAP¹)  et l’autre des « autorisations d’accès compassionnel » (AAC²) . Ces référentiels ont été adoptés après consultation publique, par deux délibérations du 22 septembre 2022 et ont été publiées dans le Journal Officiel du 10 novembre 2022.

Pour rappel, les dispositifs d’accès précoce et compassionnel permettent aux patients souffrant de maladies rares, graves ou invalidantes d'accéder à un médicament qui ne dispose pas d’autorisation de mise sur le marché ("AMM") en France dans une indication thérapeutique donnée.

Dans le cadre de ces accès dérogatoires, la loi impose aux laboratoires pharmaceutiques, avec la collaboration des professionnels de santé prenant en charge le patient, d’assurer le suivi des patients bénéficiant d’un médicament concerné par ces dispositifs (AAP et AAC). Ce suivi nécessite la collecte de données personnelles et la constitution d’un fichier. L’encadrement des traitements des données à caractère personnel mis en œuvre par l’entreprise qui assure l’exploitation du médicament disposant d’une AAC ou AAP était donc essentiel.

Désormais, les nouveaux référentiels permettront la mise en œuvre des traitements de données personnelles impliquées par ces actes thérapeutiques sans avoir besoin d’une autorisation de la CNIL sous réserve d’avoir réalisé une déclaration de conformité. En effet, l’analyse de la conformité des traitements au RGPD et à la loi Informatique et Libertés sera facilitée, et les laboratoires exploitant le médicament en leur qualité de responsable de traitement auront simplement à réaliser une déclaration de conformité à ces référentiels auprès de la CNIL. 

En cas de divergences avec le référentiel, une demande d’autorisation à la CNIL sera nécessaire.

Enfin, il faut préciser que les référentiels ne concernent pas les traitements de données mis en œuvre dans le cadre des « cadres de prescription compassionnelle » (CPC) qui restent donc soumis à autorisation de la CNIL.