GxP, 21 CFR Part 11 et RGPD : quand trois référentiels se percutent dans vos données cliniques

La tension n'est pas théorique. En 2025, une major pharmaceutique européenne a reçu dans le même trimestre un avertissement de la FDA pour des lacunes en matière d'intégrité des données GxP et une mise en demeure d'une autorité de protection des données pour conservation excessive de données patients. Ce n'est pas un cas isolé : c'est la conséquence structurelle du fait que trois référentiels réglementaires distincts s'appliquent simultanément aux mêmes jeux de données, avec des logiques parfois opposées.

Pourquoi cette collision concerne le CDO en premier lieu

Dans la plupart des industries, la gouvernance des données répond à un seul régulateur principal. En pharma, le CDO gère une superposition : le cadre GxP (Good Manufacturing Practice, Good Clinical Practice, Good Laboratory Practice), le 21 CFR Part 11 de la FDA pour les systèmes électroniques, et le RGPD pour toute donnée à caractère personnel impliquant des résidents européens. Ces trois ensembles de règles ne se parlent pas : ils ont été rédigés par des institutions différentes, à des époques différentes, avec des objectifs qui divergent sur plusieurs points précis.

Le risque pour le CDO n'est pas uniquement réglementaire. Une observation FDA de type "data integrity failure" bloque la libération de lots, retarde une soumission NDA ou BLA, et peut mener à un consentement decree. Une sanction RGPD sur des données d'essais cliniques atteint jusqu'à 4 % du chiffre d'affaires mondial. Ces deux expositions peuvent se déclencher sur le même système, au même moment, à partir du même incident de gouvernance.

Comment les trois référentiels fonctionnent, et où ils s'affrontent

Le socle GxP et le 21 CFR part 11

Les exigences GxP posent un principe simple : toute donnée utilisée pour prendre une décision réglementaire (libération d'un lot, résultat d'un essai, dossier de stabilité) doit être attribuable, lisible, contemporaine, originale et exacte. C'est l'acronyme ALCOA, que tout auditeur FDA connaît par coeur. Le 21 CFR Part 11, publié en 1997 et toujours en vigueur, transpose ce principe aux systèmes électroniques : il exige des pistes d'audit immuables, des signatures électroniques authentifiées, et un contrôle d'accès documenté.

Concrètement, si un technicien modifie un enregistrement dans un LIMS (Laboratory Information Management System) comme LabVantage ou STARLIMS, le système doit conserver la valeur originale, l'identité de l'auteur de la modification, et l'horodatage. Effacer ou écraser cette trace est une violation de Part 11, même si la modification était légitime.

L'exigence RGPD de minimisation et de durée limitée

Le RGPD impose la minimisation des données et une durée de conservation proportionnée à la finalité. L'article 17 ouvre un droit à l'effacement. Pour des données de santé issues d'essais cliniques, ce droit est en partie limité par l'article 17(3)(b) qui protège "les intérêts publics dans le domaine de la santé publique", mais cette exception est interprétée de manière variable selon les autorités nationales. La CNIL, le BfDI allemand et l'ICO britannique post-Brexit n'ont pas les mêmes positions opérationnelles sur l'étendue de cette dérogation.

Le point de friction réel

Voici l'exemple concret qui cristallise le problème. Un participant à un essai clinique de phase III, dont les données ont été collectées en France, exerce son droit d'opposition au traitement de ses données personnelles. Sous le RGPD, le sponsor doit évaluer la demande et, si elle est recevable, cesser tout traitement. Sous les obligations GxP et les guidelines ICH E6(R3) en vigueur depuis 2023, le sponsor ne peut pas modifier ou supprimer des données d'un dossier d'essai sans documenter une déviation et sans risquer de compromettre l'intégrité de l'ensemble du dataset, qui sera soumis à la FDA ou à l'EMA pour approbation.

La résolution n'est pas automatique. Elle suppose une analyse juridique au cas par cas, une décision documentée par le DPO et l'équipe d'affaires réglementaires, et une réponse au participant qui soit conforme au RGPD sans déstabiliser le dossier clinique. Cette procédure doit exister avant que la demande arrive, pas après.

Pour aller plus loin sur la mécanique opérationnelle des pistes d'audit et la préparation aux inspections,les protocoles d'accès aux logs et les critères d'inspection readiness méritent une lecture attentive.

Quand les compromis deviennent des choix difficiles

La tentation du CDO est de trouver un "design système" qui satisfait les trois référentiels d'un coup. Cette approche fonctionne pour les cas standards : pseudonymisation des données patients dans les systèmes analytiques, séparation des environnements GxP et non-GxP, contrôle d'accès par rôle documenté. Des éditeurs comme Veeva Vault ou OpenText propose des architectures certifiées Part 11 qui intègrent des modules de gestion des droits des personnes concernées. Ce n'est pas une solution complète, c'est un point de départ.

Les cas difficiles sont ceux où le compromis technique ne suffit pas. Trois situations le montrent :

• La conservation longue durée : les données GxP d'un médicament approuvé doivent être conservées pendant toute la durée de vie du produit plus une marge réglementaire (souvent 15 à 25 ans). Le RGPD demande une justification proportionnée pour chaque année supplémentaire. Cette justification doit être documentée dans un registre de traitement tenu à jour, et pas seulement dans une politique générale.
• Les transferts internationaux : les données d'un essai multisite entre l'UE et les États-Unis traversent des frontières sous le Clauses Contractuelles Types depuis l'invalidation du Privacy Shield. Le même flux de données est contrôlé par la FDA pour la conformité Part 11. Les deux sets d'exigences s'appliquent au même fichier, au même moment.
• L'intelligence artificielle appliquée aux données cliniques : les modèles entraînés sur des données patients pseudonymisées pour détecter des signaux d'innocuité post-commercialisation soulèvent une question non résolue en 2026 : la pseudonymisation est-elle suffisante pour sortir du champ du RGPD quand le modèle peut potentiellement réidentifier ? Les positions des autorités européennes divergent encore sur ce point.

La question du consentement et des limites réelles de l'anonymisation est traitée en détail dansl'analyse des conditions de licéité et des techniques de de-identification.

Le CDO qui

Le parcours complet sur ce secteur :Data dans Industrie pharmaceutique.