Rapport explicatif

Rapport explicatif relatif à l’ordonnance sur les produits thérapeutiques (OMéd)

formation de Swissmedic jouant un rôle dans la pharmacovigilance, ce qui inclut donc aussi les systèmes de gestion de documents ou de dossiers physiques.

L’al. 1 établit clairement que Swissmedic assume la responsabilité de la sécurité de l’exploitation de ses systèmes d’information et de la licéité du traitement de ses données.

Les mesures à prévoir en vertu de la présente disposition sont par exemple des dispositions pour empêcher la destruction fortuite ou sans autorisation, la perte fortuite, la falsification, le vol ou l’utilisation illicite de données, mais aussi l’accès non autorisé (cf. commentaire ci-après de l’art. 79) ou encore la modification, la copie ou d’autres traitements non autorisés. Elles comprennent également des mesures visant à prévenir ou à éliminer des erreurs techniques. Ces mesures, qui sont prises en application de l’art. 20 de l’ordonnance du 14 juin 1993 relative à la loi fédérale sur la protection des données (OLPD ; RS 235.11) peuvent avoir un caractère technique, purement organisationnel ou mixte. Il s’agit par exemple de sécuriser les accès, les données personnelles, les transferts de données, la communication de données, les sauvegardes et enregistrements, les utilisateurs ou encore les saisies.

Dans le contexte de l’OMéd, le système informatique le plus important est la banque de données de vigilance (actuellement VigiFlow). C’est dans ce système que sont regroupées et traitées les déclarations de vigilance reçues. La banque de données est actuellement hébergée et administrée par le centre de monitorage de l’OMS en Suède (WHO Uppsala Monitoring Center, UMC), sur mandat de Swissmedic. Les données reçues par ce dernier alimentent la banque de données de vigilance mondiale administrée par l’UMC et sont ainsi utilisées pour établir des rapports et dispenser des conseils reposant sur l’analyse des rapports de cas individuels (Individual Case Safety Reports, ICSR) à l’attention de l’OMS et de ses Etats membres. Mais VigiFlow n’est pas à la hauteur de ce que Swissmedic attend d’un système de pharmacovigilance moderne. Swissmedic envisage donc de remplacer VigiFlow, au plus tard à la fin de 2017, par un système moderne de déclaration des effets indésirables (Adverse Event Reporting System, AERS) qui soit adapté à ses besoins effectifs. On voit là que les systèmes informatiques sont en constante évolution : leur durée de vie sous une forme donnée est courte ; ils sont rapidement remplacés par un autre produit, qui peut être une évolution ou une complète nouveauté. C’est pourquoi il n’y a pas lieu de faire référence à des systèmes d’information spécifiques dans l'OMéd. L’art. 78 est donc formulé de manière ouverte, sans mentionner d’application précise ou de nom de système.

La délégation de tâches dans le domaine de la vigilance prévue à l’al. 3 vise essentiellement la collaboration avec les six centres régionaux de pharmacovigilance. Ces centres participent déjà à l’évaluation des déclarations sur la base d’accords contractuels.

Art. 75 Droits d’accès

La présente disposition définit l'étendue du droit d’accès en précisant que seuls les collaborateurs de Swissmedic des domaines de la vigilance et de la surveillance du marché doivent avoir accès aux données. Elle restreint l'accès aux systèmes d'information au sein même de Swissmedic, les personnes travaillant d'une manière ou d'une autre dans les domaines précités ne pouvant y prétendre.

Ce principe s’étend toutefois aussi à tous les systèmes d'accès en ligne, actuels et futurs, exploités dans ce contexte, c’est-à-dire aux banques de données que Swissmedic met ou mettra à la disposition de tiers selon le principe du libre-service (accès en ligne). Actuellement, les tiers mentionnés sont uniquement les centres régionaux de pharmacovigilance déjà mentionnés. Pour l’heure, il n’existe aucun autre tiers autorisé. Il n’est pas exclu que cela change à l’avenir.

Cette disposition énonce également que l’accès aux systèmes d’information n’est autorisé que si cela est effectivement nécessaire à l’accomplissement des tâches prévues, satisfaisant ainsi au principe de proportionnalité découlant du droit de la protection des données. Pour les administrateurs (responsables d’application) de Swissmedic et des tiers mandatés, cela signifie qu’ils peuvent uniquement accéder aux données du système pertinentes pour leurs tâches d'entretien, de maintenance ou de programmation (en particulier aux données système et utilisateurs, par exemple à celles qui concernent l’octroi de droits d’accès).

Enfin, les accès sont enregistrés et les données correspondantes conservées pendant deux ans. Grâce à la tenue de procès-verbaux, on peut assurer la traçabilité des modifications et donc le respect de la