Conformité à la partie 11 du titre 21 du CFR : ce qu’elle exige réellement

Points clés à retenir

• La conformité à la norme 21 CFR Part 11 repose sur les contrôles mis en place autour d'un système (validation, contrôle d'accès et pistes d'audit), et non sur la technologie elle-même. Aucun produit n'est intrinsèquement conforme.
• La règle se résume à une idée : chaque action enregistrée comporte un nom, un horodatage et une raison, même en l'absence de support papier.
• La partie 11 n'est pas la loi HIPAA. La loi HIPAA régit la confidentialité et la sécurité des données de santé, tandis que la partie 11 régit l'intégrité et la traçabilité des dossiers et signatures réglementés par la FDA. Une entreprise peut se conformer à l'une sans satisfaire à l'autre.
• La partie 11 est en vigueur depuis 1997 et reste une exigence fondamentale pour les organisations pharmaceutiques, biotechnologiques, de dispositifs médicaux et cliniques.

‍

La conformité à la norme 21 CFR Part 11 n'est pas une caractéristique propre à une seule technologie. Elle repose sur un ensemble de contrôles garantissant la fiabilité d'un enregistrement électronique : un système validé, des contrôles d'accès et une piste d'audit reliant chaque action à une personne identifiée, à un horodatage et à un motif. La FDA (Food and Drug Administration) ne certifie pas la conformité des produits à la norme Part 11. L'organisation utilisant un système est responsable des mesures de sécurité qui l'entourent ; c'est pourquoi deux entreprises peuvent utiliser le même logiciel sans qu'une seule soit conforme.

‍

Qu'est-ce que le titre 21 CFR, partie 11 ?

Le titre 21 du CFR, partie 11, est la réglementation de la FDA qui définit la gestion des enregistrements et signatures électroniques dans les secteurs réglementés par la FDA, tels que l'industrie pharmaceutique, les biotechnologies, les dispositifs médicaux et la recherche clinique. Un enregistrement électronique désigne toute donnée créée, modifiée, conservée, archivée, extraite ou transmise sous forme électronique, et une signature électronique est l'équivalent électronique d'une signature manuscrite. L'objectif est simple : garantir la fiabilité et la traçabilité des enregistrements et signatures électroniques au même titre que le papier et l'encre. Publiée le 20 mars 1997 et entrée en vigueur le 20 août 1997, cette réglementation est toujours en vigueur près de trente ans plus tard. Le texte intégral du titre 21 du CFR, partie 11, est disponible dans l'eCFR.

‍

Que requiert concrètement la conformité à la norme 21 CFR Part 11 ?

La règle comporte trois sous-parties, mais les exigences pratiques de la partie 11 du titre 21 du CFR se résument à une courte liste de contrôle. Pour s'en souvenir facilement : chaque action doit être nommée, horodatée et justifiée, même sans document papier. L' historique d'audit est l'enregistrement horodaté et attribué à l'utilisateur de chaque création, modification ou suppression, qui rend cela possible.

‍

‍

À qui s'applique le titre 21 du CFR, partie 11 ?

La partie 11 s'applique aux organismes réglementés par la FDA qui conservent les documents requis sous forme électronique ou utilisent des signatures électroniques au lieu de signatures manuscrites. Le champ d'application est lié au document, et non au service : dès qu'un organisme réglementé crée, stocke ou transmet un document électronique réglementé par la FDA, le système qui le traite entre dans son champ d'application. Cela inclut les systèmes de transmission, comme par exemple un service de télécopie en ligne sécurisé. Fax.Plus Il faudrait mettre en place des pistes d'audit et des contrôles d'accès pour le transport de documents réglementés. La FDA précise l'étendue de la portée de cette réglementation dans ses directives d'application .

‍

21 CFR Partie 11 vs HIPAA : quelle est la différence ?

Ces deux réglementations sont souvent confondues, et la distinction est importante. La loi HIPAA (Health Insurance Portability and Accountability Act) protège la confidentialité et la sécurité des informations de santé protégées (ISP) , c'est-à-dire les données de santé nominatives traitées par une entité couverte. Le titre 21 du CFR, partie 11, protège l'intégrité et la traçabilité des dossiers et signatures électroniques réglementés par la FDA. Un instrument HIPAA courant est l' accord de Business (BAA) , le contrat qui autorise un fournisseur à traiter des ISP pour votre compte. Ces deux réglementations répondent à des problématiques différentes, et un système peut satisfaire à l'une sans l'autre.

‍

‍

Comment aborder la conformité à la partie 11 du titre 21 du CFR

Considérez la conformité comme un ensemble de contrôles que vous pouvez démontrer, et non comme un label que vous achetez. Concrètement, cela implique un système validé avec documentation du fournisseur, des contrôles d'accès et des comptes utilisateurs uniques, des pistes d'audit complètes, des signatures électroniques uniques et vérifiées, ainsi qu'une durée de conservation des enregistrements définie. Lorsqu'une affirmation ne peut être prouvée, mieux vaut la nuancer que l'exagérer , car les organismes de réglementation évaluent ce que vous pouvez démontrer, et non ce que vous affirmez.

‍

FAQ

‍

Quand la partie 11 du titre 21 du CFR est-elle entrée en vigueur ?

La version finale du règlement a été publiée en 1997 et est entrée en vigueur le 20 août 1997. Elle reste en vigueur aujourd'hui et continue de s'appliquer aux enregistrements et signatures électroniques réglementés par la FDA.

‍

À qui s'applique le titre 21 du CFR, partie 11 ?

Elle s'applique aux organisations réglementées par la FDA (telles que les entreprises pharmaceutiques, biotechnologiques, de dispositifs médicaux et d'opérations cliniques) qui créent, modifient, conservent, archivent, récupèrent ou transmettent électroniquement les documents requis, ou qui utilisent des signatures électroniques au lieu de signatures manuscrites.

‍

Quel est l’objectif de la partie 11 du titre 21 du CFR ?

Son objectif est de rendre les documents et signatures électroniques aussi fiables que le papier, afin qu'un document réglementé par la FDA puisse être considéré comme exact, attribuable et inviolable.

‍

Existe-t-il un produit conforme à la norme « 21 CFR Part 11 » dès sa sortie d'emballage ?

Non. La conformité découle des contrôles et de la manière dont un système est validé et exploité, et non du produit seul. Un fournisseur peut apporter son soutien en matière de conformité à la partie 11, mais il incombe à l'organisme utilisateur d'en démontrer la conformité.

‍

Une signature électronique peut-elle être conforme à la norme 21 CFR Part 11 ?

Une signature électronique peut être conforme à la partie 11 lorsque chaque signature est unique, que l'identité est vérifiée (souvent par une authentification à deux facteurs) et que la signature mentionne le nom du signataire, la date et l'heure, ainsi que le motif de la signature. La conformité d'un outil donné dépend de sa configuration et de sa validation.

‍

Peut-on utiliser un logiciel cloud conformément à la partie 11 du titre 21 du CFR ?

Oui. Les logiciels en nuage peuvent être utilisés dans le cadre de la partie 11 lorsque le système est validé, l'accès est contrôlé, les pistes d'audit sont complètes et que le fournisseur fournit une documentation qui appuie votre propre effort de validation.