Quand l'intégrité des données rencontre le droit à l'oubli : résoudre le conflit entre le 21 CFR Part 11 et le RGPD

Un guide complet pour les responsables des sciences de la vie sur la façon de gérer la tension structurelle de conformité entre les obligations de la FDA en matière d’enregistrements électroniques et les droits européens en matière de protection des données.

Intégrité des données ou vie privée des données ? Pourquoi l’industrie pharmaceutique ne peut pas choisir facilement

Imaginez ceci : un scientifique principal en validation démissionne de votre site de fabrication pharmaceutique basé dans l’UE. Trois mois plus tard, une demande formelle arrive de la part de son représentant légal. En vertu du Règlement général sur la protection des données (RGPD) , il invoque son droit à l’effacement en vertu de l’article 17. Il souhaite que tout enregistrement portant son nom, sa signature et son historique professionnel soit supprimé de vos systèmes.

Votre équipe juridique considère la demande comme légitime. Votre équipe assurance qualité signale un problème différent. En vertu de 21 CFR Part 11 , la FDA américaine exige que les enregistrements électroniques restent exacts, complets, récupérables et non altérés pendant toute la durée légale de conservation. Les dossiers de lot que ce scientifique a signés peuvent encore se trouver dans leur période de conservation. Les entrées de piste d’audit portant ses signatures électroniques ne peuvent pas simplement être supprimées sans compromettre l’intégrité des données.

Ce n’est pas un cas limite hypothétique. Il s’agit d’une tension structurelle de conformité sur laquelle chaque entreprise des sciences de la vie basée dans l’UE et exportant vers les États-Unis doit avoir une position documentée. Pourtant, moins d’un tiers des organisations disposent d’un plan formel de conservation des données qui l’aborde.

Le conflit se situe à l’intersection de deux objectifs réglementaires également légitimes. La conformité à la 21 CFR Part 11 existe pour protéger l’intégrité et la traçabilité des enregistrements qui sous-tendent la qualité des produits et la sécurité des patients. La protection des données au titre du RGPD existe pour protéger les individus contre la conservation de leurs informations personnelles au-delà de la finalité nécessaire. Les deux sont contraignants. Aucun n’est optionnel.

Qu’est-ce qui compte comme données personnelles dans un QMS pharmaceutique ?

Avant de résoudre le conflit, les responsables doivent en comprendre la portée. La définition des données personnelles au titre du RGPD est volontairement large. Toute donnée associée à une personne vivante identifiable est concernée. Dans un système de gestion de la qualité (QMS), cela englobe bien plus que les noms et coordonnées des employés.

Comprendre cette matrice est la première étape de la stratification des risques. Les conflits les plus aigus surgissent lorsque le même élément de données est simultanément requis pour traçabilité réglementaire et soumis à une demande légitime d'effacement en vertu de Article 17 du RGPD.

Les obligations d'intégrité des données ne s'arrêtent pas aux signatures électroniques et aux pistes d'audit.

Les systèmes EM numériques, les LIMS et les plateformes eQMS portent chacun leur propre empreinte de conformité à la 21 CFR Part 11.

→ Lire : EM numérique : transformation des salles blanches pharmaceutiques

Conservation des dossiers selon la 21 CFR Part 11 : ce que la réglementation exige réellement

Les obligations de conservation au titre de 21 CFR Part 11 ne sont pas autonomes. Elles tirent leur autorité de ce que la FDA appelle les « predicate rules » — les règlements sous-jacents qui exigent d’abord l’existence de l’enregistrement. La Part 11 ajoute ensuite des exigences sur la manière dont ces enregistrements doivent être conservés sous forme électronique.

La predicate rule la plus pertinente pour la fabrication est 21 CFR 211.180, qui établit que la conservation des dossiers de lot se poursuit jusqu’à un an après la date d’expiration du lot, ou trois ans après la distribution du dernier lot des produits OTC concernés. Pour les produits faisant l’objet de dossiers réglementaires actifs, la conservation des dossiers peut s’étendre beaucoup plus longtemps.

La position de la FDA est sans équivoque : partout où une predicate rule exige un enregistrement, cet enregistrement doit être conservé avec la même intégrité, que l’employé qui l’a créé soit encore en poste ou non. L’enregistrement n’appartient pas à l’individu. Il appartient à l’historique réglementaire du produit.

« Une intégrité des données forte est la base de la confiance réglementaire. Une surveillance continue et en temps réel de la conformité permet aux organisations de maintenir des enregistrements électroniques prêts pour un audit tout en réduisant le risque opérationnel. »

— Instem Compliance Research, 2026

Le droit à l’effacement du RGPD : plus limité qu’il n’y paraît

Le droit à l’oubli en vertu de l’article 17 du RGPD est l’une des dispositions les plus citées du règlement. C’est aussi l’une des plus mal comprises. Le droit est conditionnel et comporte des exceptions explicites qui sont directement pertinentes pour les obligations de tenue des dossiers pharmaceutiques.

Ceci est une reconnaissance structurelle que la protection des données doit coexister avec d’autres intérêts légitimes de la société, y compris la conformité réglementaire et la sécurité des patients. Le Comité européen de la protection des données (EDPB) a constamment soutenu que lorsque une obligation légale impose une conservation, les demandes d’effacement peuvent être refusées pendant la période de conservation active.

Il est important de noter que le RGPD exonère également les données d’essais cliniques de l’application pleine et entière du droit à l’effacement lorsque la suppression rendrait « impossible ou porterait gravement atteinte à la réalisation des objectifs de la recherche ». L’ICO (Information Commissioner’s Office du Royaume‑Uni) a confirmé que lorsque la suppression compromettrait l’intégrité d’un jeu de données d’essai, le refus est justifié.

Cependant, l’exemption est limitée dans le temps et liée au but. Une fois que l’obligation légale de conservation expire, l’exemption cesse de s’appliquer. Les organisations ne peuvent pas invoquer indéfiniment des exigences réglementaires pour conserver des données personnelles au‑delà de ce que ces exigences exigent réellement.

Trois scénarios de conflit et comment les gérer

Les experts du secteur identifient systématiquement trois types de scénarios distincts où la tension entre 21 CFR Part 11 et le RGPD devient opérationnelle. Chacun nécessite une approche différenciée.

Un cadre fondé sur le risque pour une double conformité

La voie vers une conformité double 21 CFR Part 11 et RGPD passe par l'architecture des politiques, et non par des actions ponctuelles. Les organisations ayant résolu ce conflit avec succès le considèrent comme un problème de gouvernance des données nécessitant des solutions systémiques.

Étape 1 : établir un inventaire des données et des enregistrements

Cartographiez chaque catégorie d'enregistrement électronique détenue dans votre eQMS, LIMS et systèmes connexes. Pour chaque catégorie, documentez la règle de référence qui l'exige, la période de conservation applicable et si elle contient des informations permettant d'identifier une personne. L'inventaire doit saisir : le but de la collecte, la méthode de collecte, la période de conservation applicable, les contrôles de sécurité et d'accès, si les données sont partagées avec des tiers, et la base juridique de la conservation.

Étape 2 : établir une politique de conservation à double finalité

Une politique de conservation unique couvrant à la fois les exigences de intégrité des données 21 CFR et les principes de minimisation des données RGPD est réalisable mais requiert une rédaction délibérée. La politique doit distinguer entre les dossiers conservés pour des raisons réglementaires (où l'exemption RGPD s'applique) et les données personnelles conservées pour commodité opérationnelle (où elle ne s'applique pas). La conservation réglementaire constitue le plancher, et non une permission généralisée de tout conserver indéfiniment.

Étape 3 : définir la réponse technique aux demandes d'effacement

Lorsqu'une demande d'effacement est reçue, l'organisation a besoin d'un flux de travail documenté : évaluation initiale par rapport à l'inventaire des données, détermination de l'application éventuelle d'une exemption de conservation, chemin d'escalade défini si un avis juridique est requis, réponse standardisée au titulaire des données, et entrée dans la piste d'audit documentant la décision et son fondement réglementaire, que la demande soit accordée ou refusée.

Étape 4 : mettre en œuvre la pseudonymisation lorsque techniquement réalisable

Dans certaines catégories d'enregistrements, il peut être techniquement possible de satisfaire à l'esprit d'une demande d'effacement RGPD sans supprimer l'enregistrement réglementaire. La pseudonymisation remplace les identifiants directs par un code qui ne peut être inversé sans une clé détenue séparément, réduisant le risque de traitement de données personnelles tout en préservant l'intégrité de l'enregistrement sous-jacent. Cette approche doit être évaluée au cas par cas par catégorie d'enregistrement et n'est pas universellement applicable à toutes les pistes d'audit ou contextes de signature électronique.

Construire un cadre de double conformité exige plus que des politiques : il réclame un système qualité où les capacités correspondent aux obligations.

Pourquoi les systèmes qualité pharmaceutiques échouent lorsque les personnes comprennent les procédures mais pas les principes qui les sous-tendent.

→ Lire : Pourquoi les systèmes qualité pharmaceutiques échouent sans renforcement des compétences

FAQ

Un ancien employé peut-il légalement exiger la suppression de ses signatures électroniques des dossiers de lots ?

Pas pendant la période active de conservation prévue par la réglementation. Les signatures électroniques intégrées aux dossiers de lots sont protégées par le 21 CFR Part 11 et la règle prédicat applicable (par ex., 21 CFR 211.180) pendant toute la durée de conservation de ce dossier. Le droit à l'effacement prévu par le RGPD n'annule pas une obligation légale de conservation. Une fois la période de conservation expirée, les données doivent être examinées afin de supprimer tout identifiant personnel qui ne remplit plus une finalité réglementaire.

L'exemption pour la recherche du RGPD couvre-t-elle toutes les données pharmaceutiques, y compris les dossiers de fabrication ?

Non. L'exemption pour la recherche du RGPD (Article 17(3)(d)) s'applique de manière plus évidente aux données d'essais cliniques lorsque la suppression porterait gravement atteinte aux objectifs de recherche. Les dossiers de fabrication, d'assurance qualité et les dossiers commerciaux de lots tirent leur protection de conservation de l'exemption d'obligation légale prévue à l'Article 17(3)(b). La distinction est importante car la base juridique doit être correctement documentée dans votre inventaire de données et dans toute réponse à une demande d'exercice des droits d'une personne concernée.

À quoi devrait ressembler une entrée de piste d'audit lorsque nous refusons une demande d'effacement au titre du RGPD ?

La meilleure pratique consiste à consigner le refus dans la piste d'audit en faisant référence explicite à la base juridique. Par exemple : « Demande d'effacement reçue de la personne concernée [date]. Conservation requise en vertu de la règle prédicat 21 CFR 211.180 ; période de conservation réglementaire expirant le [date]. Exemption appliquée : RGPD Article 17(3)(b). Demande refusée. Réponse fournie à la personne concernée [date]. » Cette entrée de piste d'audit crée un enregistrement de conformité vérifiable lors des inspections de la FDA et de l'autorité de contrôle RGPD.

La pseudonymisation est-elle une alternative acceptable à la suppression au titre du RGPD ?

La pseudonymisation réduit le risque associé aux données personnelles et peut, pour certaines catégories de dossiers, satisfaire l'intention pratique d'une demande d'effacement. Cependant, elle ne constitue pas une suppression au sens du RGPD. L'approche est la plus défendable lorsqu'elle est associée à une justification documentée de conservation et lorsque la ré-identification via des données clés conservées est techniquement contrôlée. Obtenez toujours un avis juridique avant de considérer la pseudonymisation comme un substitut à une décision formelle d'effacement.

Quel est le risque d'une erreur de traitement de ce sujet du point de vue de l'application réglementaire ?

Les risques d'application vont dans les deux sens. Supprimer des dossiers pour satisfaire une demande RGPD alors qu'une obligation de conservation au titre du Part 11 s'applique expose l'organisation à des lettres d'avertissement de la FDA. La FDA a émis plus de 47 lettres d'avertissement à des entreprises de dispositifs au cours de l'exercice 2024 seulement, beaucoup citant des lacunes d'intégrité des données cohérentes avec une altération inappropriée des dossiers. À l'inverse, refuser une demande légitime d'effacement au titre du RGPD sans justification juridique documentée expose l'organisation à l'application par l'autorité de contrôle du RGPD, pouvant entraîner des amendes pouvant atteindre EUR 20 million ou 4 % du chiffre d'affaires mondial annuel en vertu de l'Article 83 du RGPD.

Références et citations

1. U.S. Food and Drug Administration. 21 CFR Part 11 : Electronic Records; Electronic Signatures - Scope and Application. FDA Guidance. Updated January 2024. https://www.fda.gov

2. European Parliament and Council. Règlement général sur la protection des données (GDPR) - Règlement (UE) 2016/679. Articles 17, 83 ; Considérants 65, 66. https://gdpr-info.eu

3. U.S. Code of Federal Regulations. 21 CFR § 211.180 : Records and Reports - General Requirements. https://www.accessdata.fda.gov

4. U.S. Code of Federal Regulations. 21 CFR § 211.25 : Personnel Qualifications. Electronic Code of Federal Regulations.

5. IntuitionLabs AI. 21 CFR Part 11 Compliance : Requirements and Data Integrity. 2026. https://intuitionlabs.ai

6. Instem Life Science Software. How to Strengthen Data Integrity and Ensure 21 CFR Part 11 Compliance. January 2026. https://www.instem.com

7. Qualityze. What is FDA 21 CFR Part 11? A Complete Guide. April 2026. https://www.qualityze.com

8. SimplerQMS. FDA 21 CFR Part 11 Audit Trails: Definition, Requirements, and Compliance. March 2026. https://simplerqms.com

9. GDPR Info. Article 17 GDPR - Right to Erasure (Right to Be Forgotten). https://gdpr-info.eu/art-17-gdpr/

10. Information Commissioner's Office (ICO). Research Exemptions under UK GDPR - Right to Erasure. https://ico.org.uk

11. Vivenics. Les participants aux essais cliniques peuvent-ils demander la suppression de leurs données personnelles ? Décembre 2023. https://vivenics.com

12. Norton Rose Fulbright. L'impact du RGPD sur la recherche des essais cliniques. https://www.nortonrosefulbright.com

13. PharmaTimes. À connaître : le RGPD et les essais cliniques. Mars 2019. https://pharmatimes.com

14. NCBI Bookshelf. Le Règlement général sur la protection des données (RGPD) de l'UE dans un contexte de recherche. 2018. https://www.ncbi.nlm.nih.gov/books/NBK543521/

15. SOCRA. Aperçu du RGPD pour les organisations de recherche clinique. 2020. https://www.socra.org

16. Scilife. Comment gérer le conflit entre le 21 CFR Part 11 et le RGPD (Consultation d'experts : Yves Dene, Neeru Bakshi). Mis à jour en février 2026. https://www.scilife.io/blog/conflict-between-21-cfr-part-11-gdpr

17. GDPR Info EU. Article 17 du RGPD expliqué : comprendre le droit à l'effacement. Décembre 2025. https://gdprinfo.eu

AVERTISSEMENT : Cet article est fourni à des fins éducatives et d'information uniquement. Il ne constitue pas un conseil juridique. Les organisations devraient obtenir un conseil juridique qualifié avant de prendre des décisions de conformité.