CNIL, Décision du 5 août 2025, n° DT-2025-011

CNIL 5 août 2025

Arguments

Le contenu a été généré à l’aide de l’intelligence artificielle. Pensez à vérifier son exactitude.

Signaler une erreur.

Accepté
Conformité à l'intérêt public
La Commission a reconnu que le traitement répond à un intérêt public, bien qu'il présente des points de non-conformité qui doivent être corrigés.
Accepté
Plan d'action pour la mise en conformité
La Commission a jugé que le plan d'action proposé est adéquat pour assurer la conformité avec le référentiel RS-004 dans un délai raisonnable.

Résumé de la juridiction

Décision DT-2025-011 du 5 aout 2025 autorisant la société THERAVIA à mettre en œuvre un traitement automatisé de données ayant pour finalité la gestion d’un cadre de prescription compassionnelle concernant la spécialité Orphacol 50 mg, gélules et Orphacol 250 mg, gélules. (Demande d’autorisation n° 2238767)

Commentaire • 0

Augmentez la visibilité de votre blog juridique : vos commentaires d’arrêts peuvent très simplement apparaitre sur toutes les décisions concernées.

Sur la décision

Référence :	CNIL, déc. n° DT-2025-011, 5 août 2025
Numéro :	DT-2025-011
Nature de la délibération :	Autre autorisation
État :	VIGUEUR
Identifiant Légifrance :	CNILTEXT000053480189

Texte intégral

La Commission nationale de l’informatique et des libertés,

Vu le règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016, relatif à la protection des personnes physiques à l’égard du traitement des données à caractère personnel et à la libre circulation de ces données (RGPD) ;

Vu la loi n° 78-17 du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés ;

Vu le décret n° 2019-536 du 29 mai 2019 pris pour l’application de la loi n° 78-17 du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés ;

Vu la décision du 2 juin 2025 portant délégation de signature du secrétaire général de la Commission nationale de l’informatique et des libertés ;

Saisie d’une demande d’autorisation relative à un traitement de données à caractère personnel dans le domaine de la santé ;

Considérant que ce traitement, dont la finalité présente un caractère d’intérêt public, relève des dispositions de la section 3 du chapitre III du titre II de la loi du 6 janvier 1978 modifiée ;

Considérant que le traitement présente les caractéristiques et répond aux conditions suivantes :

Remarques liminaires	La présente demande concerne la mise en œuvre d’un traitement de données à caractère personnel dans un cadre de prescription compassionnelle. Elle a fait l’objet d’une décision de l’Agence nationale de sécurité du médicament et des produits de santé (ANSM) du 1er août 2025 établissant un cadre de prescription compassionnelle des médicaments Orphacol 50 mg, gélules et Orphacol 250 mg, gélules dans l’indication "Traitement de la xanthomatose cérébrotendineuse chez les nourrissons, les enfants et les adolescents âgés de 1 mois à 18 ans, ainsi que chez les adultes".
Points de non-conformité au référentiel concerné	Le dossier de demande mentionne que le traitement envisagé est conforme aux dispositions du référentiel RS-004 (accès compassionnel), à l’exception : du champ d’application et de la finalité poursuivie, le traitement de données à caractère personne intervenant dans un cadre de prescription compassionnelle, de plusieurs mesures de sécurité. En dehors de ces exceptions, qui font l’objet d’un examen spécifique dans la présente autorisation, ce traitement devra respecter le cadre prévu par le référentiel RS-004.
Finalité du traitement	Le traitement est mis en œuvre à des fins de : collecte, enregistrement, analyse, suivi, documentation, transmission et de conservation des données relatives à l’accès, à l’initiation, au suivi et à l’arrêt des prescriptions d’un médicament dans le cadre défini par l’article L. 5121-12-1. III du code de la santé publique ; gestion des contacts avec les professionnels de santé intervenant dans le cadre du suivi des patients bénéficiant d’un médicament sous cadre de prescription compassionnelle et les personnels agissant sous leur responsabilité ou autorité.
Information des personnes concernées	Toutes les personnes concernées (patients et professionnels de santé) recevront une note d’information individuelle, au plus tard lors de la consultation d’initiation de la thérapie. Cette note d’information devra être mise à jour afin de comporter l’ensemble des mentions prévues par le RGPD. Les personnes concernées pourront exercer leurs droits auprès : du délégué à la protection des données de la société THERAVIA, du professionnel de santé ayant prescrit la spécialité.
Mesures de sécurité	Le responsable de traitement a réalisé et transmis une analyse d’impact relative à la protection des données qui identifie des points de non-conformité techniques et organisationnelles au référentiel RS-004, en particulier : l’absence d’authentification multifacteur (SEC-AUT-2) , l’absence de transmission de données de manière chiffrée via une plateforme dédiée (SEC-ECH-1). A cet égard, le responsable de traitement a présenté un plan d’action pour la mise en œuvre d’une plateforme conforme au référentiel dans un délai de dix-huit jours ouvrés à compter de la publication de la décision de l’ANSM. Une solution transitoire devra être déployée afin de sécuriser les échanges de données intervenant avant la mise en œuvre effective de ce plan d’action. A l’expiration de cette période transitoire, le traitement devra être conforme au référentiel RS-004 s’agissant des mesures techniques et organisationnelles. En outre, au regard de la sensibilité du traitement, la CNIL rappelle l’importance de tenir compte de ses recommandations relatives à l’authentification multifacteur . Les mesures de sécurité devront répondre aux exigences prévues par le f) du 1 de l’article 5 et de l’article 32 du RGPD compte tenu des risques identifiés par le responsable de traitement. Il appartiendra au responsable de traitement de procéder à une réévaluation régulière des risques pour les personnes concernées et une mise à jour, le cas échéant, de ces mesures de sécurité.