Conformité à la 21 CFR Part 11 : ce qu'elle exige réellement

Points clés

• La conformité à la norme 21 CFR Part 11 découle des contrôles mis en place autour d'un système (validation, contrôles d'accès et pistes d'audit), et non de la technologie elle-même. Aucun produit n'est « intrinsèquement » conforme.
• La règle se résume à une idée : chaque action effectuée sur un enregistrement porte un nom, un horodatage et un motif, même en l'absence de papier.
• La Part 11 n'est pas HIPAA. HIPAA encadre la confidentialité et la sécurité des données de santé, tandis que la Part 11 encadre l'intégrité et la traçabilité des enregistrements et des signatures soumis à la réglementation de la FDA. Une entreprise peut satisfaire à l'une sans satisfaire à l'autre.
• La Part 11 est en vigueur depuis 1997 et reste une exigence essentielle pour les entreprises pharmaceutiques, les sociétés de biotechnologie, les fabricants de dispositifs médicaux et les organisations de recherche clinique.

‍

La conformité à la norme 21 CFR Part 11 n'est pas une propriété propre à une technologie donnée. Elle repose sur un ensemble de contrôles qui permettent de prouver qu'un enregistrement électronique est fiable : un système validé, des contrôles d'accès et une piste d'audit qui relie chaque action à une personne identifiée, à un horodatage et à un motif. La FDA (la Food and Drug Administration américaine) ne certifie pas les produits comme conformes à la Part 11. L'organisation qui utilise un système est responsable des garanties mises en place autour de celui-ci, ce qui explique que deux entreprises puissent utiliser le même logiciel et que seule l'une d'elles soit conforme.

‍

Qu'est-ce que la norme 21 CFR Part 11 ?

La norme 21 CFR Part 11 est la réglementation de la FDA qui définit comment les enregistrements et les signatures électroniques doivent être gérés dans les secteurs réglementés par la FDA, tels que l'industrie pharmaceutique, la biotechnologie, les dispositifs médicaux et la recherche clinique. Un enregistrement électronique désigne toute donnée créée, modifiée, conservée, archivée, récupérée ou transmise sous forme électronique, et une signature électronique est l'équivalent électronique d'une signature manuscrite. L'objectif est simple à énoncer : rendre les enregistrements et les signatures électroniques aussi fiables et traçables que le papier et l'encre. La règle a été publiée le 20 mars 1997 et est entrée en vigueur le 20 août 1997. Près de trois décennies plus tard, elle reste pleinement applicable. Vous pouvez consulter le texte de la norme 21 CFR Part 11 dans l'eCFR.

‍

Qu'exige concrètement la conformité à la norme 21 CFR Part 11 ?

La règle comporte trois sous-parties, mais, en pratique, les exigences de la norme 21 CFR Part 11 se résument à une courte liste de points de contrôle. Le plus simple pour s'en souvenir : chaque action porte un nom, un horodatage et un motif, même en l'absence de papier. Une piste d'audit est le journal horodaté et attribué à un utilisateur de chaque création, modification ou suppression, ce qui rend cette traçabilité possible.

‍

‍

À qui s'applique la norme 21 CFR Part 11 ?

La Part 11 s'applique aux organisations réglementées par la FDA qui conservent des enregistrements requis sous forme électronique ou qui utilisent des signatures électroniques à la place des signatures manuscrites. Le champ d'application suit l'enregistrement, et non le service : dès qu'une organisation réglementée crée, stocke ou transmet un document électronique relevant de la FDA, le système qui le traite entre dans le périmètre. Cela inclut les systèmes de transmission : un service de fax en ligne sécurisé comme Fax.Plus devrait donc être exploité avec des pistes d'audit et des contrôles d'accès lorsqu'il transporte des documents réglementés. La FDA détaille l'étendue de la règle dans son guide sur le champ et l'application de la règle.

‍

21 CFR Part 11 et HIPAA : quelle est la différence ?

On confond souvent ces deux réglementations, alors que la distinction est importante. HIPAA (Health Insurance Portability and Accountability Act) protège la confidentialité et la sécurité des informations de santé protégées (PHI), c'est-à-dire les données de santé identifiables d'une personne traitées par une entité couverte. La norme 21 CFR Part 11 protège l'intégrité et la traçabilité des enregistrements et signatures électroniques réglementés par la FDA. Un instrument courant de HIPAA est le Business Associate Agreement (BAA), le contrat qui autorise un prestataire à traiter des PHI pour votre compte. Ces deux textes répondent à des problématiques différentes, et un système peut satisfaire l'un sans l'autre.

‍

‍

Comment aborder la conformité à la norme 21 CFR Part 11

Considérez la conformité comme un ensemble de contrôles que vous pouvez démontrer, et non comme un label que l'on achète. Concrètement, cela suppose un système validé accompagné de la documentation du fournisseur, des contrôles d'accès et des comptes utilisateur uniques, des pistes d'audit complètes, des signatures électroniques uniques et vérifiées, ainsi qu'une durée de conservation des enregistrements définie. Lorsqu'une affirmation ne peut pas être étayée, mieux vaut la nuancer que l'exagérer, car les autorités évaluent ce que vous pouvez prouver, et non ce que vous déclarez.

‍

FAQ

‍

Quand la norme 21 CFR Part 11 est-elle entrée en vigueur ?

La règle définitive a été publiée en 1997 et est entrée en vigueur le 20 août 1997. Elle est toujours en vigueur et continue de s'appliquer aux enregistrements et signatures électroniques réglementés par la FDA.

‍

À qui s'applique la norme 21 CFR Part 11 ?

Elle s'applique aux organisations réglementées par la FDA (notamment dans les secteurs pharmaceutique, biotechnologique, des dispositifs médicaux et des opérations cliniques) qui créent, modifient, conservent, archivent, récupèrent ou transmettent des enregistrements requis sous forme électronique, ou qui utilisent des signatures électroniques à la place des signatures manuscrites.

‍

Quel est l'objectif de la norme 21 CFR Part 11 ?

Son objectif est de rendre les enregistrements et signatures électroniques aussi fiables que le papier, afin qu'un enregistrement réglementé par la FDA puisse être considéré comme exact, attribuable et protégé contre toute altération non détectée.

‍

Un produit peut-il être « conforme à la norme 21 CFR Part 11 » dès son installation ?

Non. La conformité découle des contrôles en place ainsi que de la manière dont un système est validé et exploité, et non du produit seul. Un fournisseur peut faciliter la conformité à la Part 11, mais c'est à l'organisation utilisatrice de démontrer qu'elle est conforme.

‍

Une signature électronique peut-elle être conforme à la norme 21 CFR Part 11 ?

Une signature électronique peut répondre aux exigences de la Part 11 lorsque chaque signature est propre à une seule personne, que l'identité est vérifiée (souvent avec deux facteurs) et que la signature enregistre le nom du signataire, la date et l'heure, ainsi que le motif de la signature. La conformité d'un outil donné dépend de sa configuration et de sa validation.

‍

Peut-on utiliser un logiciel cloud dans le cadre de la norme 21 CFR Part 11 ?

Oui. Un logiciel cloud peut être utilisé dans le cadre de la Part 11 lorsque le système est validé, que l'accès est contrôlé, que les pistes d'audit sont complètes et que le fournisseur remet une documentation qui appuie votre propre démarche de validation.