3.3 Intégrité des données au poste : identifiants, audit trail et données brutes

Le chapitre 4 du guide des BPF range les données brutes parmi les enregistrements : ce sont les données utilisées pour créer d'autres enregistrements. Pour les enregistrements électroniques, il revient à l'entreprise de définir ce qui constitue une donnée brute, en considérant au minimum toutes les informations liées à des décisions qualité.

Le guide de la MHRA, l'agence britannique du médicament, précise la notion : la donnée brute est la première saisie de l'information, sur papier ou sur écran, et elle doit permettre de reconstituer complètement l'activité. Une donnée née électronique garde cette forme : son impression papier ne la remplace pas. À l'inverse, pour un appareil simple qui ne stocke rien et ne fournit qu'un ticket, comme certaines balances ou certains pH-mètres, le ticket imprimé est la donnée brute.

Une valeur isolée ne suffit pas. Les métadonnées sont les données qui décrivent une donnée et lui donnent son sens : qui l'a saisie, quand, sur quel instrument, avec quels paramètres, et l'historique de ses modifications. Selon la MHRA, elles font partie intégrante de l'enregistrement original ; sans elles, la donnée n'a pas de signification.

L'acronyme ALCOA résume les qualités qu'une donnée doit avoir pour servir de preuve : attribuable, lisible, contemporaine, originale, exacte. Le « + » ajoute complète, cohérente, durable et disponible. Il n'apparaît pas dans le texte du guide BPF de l'ANSM ; il est défini dans les guides des autorités consacrés à l'intégrité des données, dont celui de la MHRA.

La MHRA précise qu'il n'y a aucune différence d'attentes selon que l'on parle d'ALCOA ou d'ALCOA+ : dans les deux cas, les données doivent rester complètes, cohérentes, durables et disponibles pendant tout leur cycle de vie.

Les enjeux réglementaires plus larges (comparaison avec la réglementation américaine, validation des systèmes, gouvernance des données) sont développés dans l'article normes BPF et intégrité des données informatisées. Ce chapitre se limite à ce qui se joue devant l'écran de l'atelier.

L'Annexe 11 demande que l'accès aux systèmes informatisés soit restreint au personnel autorisé, par des moyens physiques ou logiques : clés, badges, codes personnels associés à des mots de passe, biométrie (point 12.1). La création, la modification et l'annulation des autorisations d'accès sont enregistrées (point 12.3).

Le point 12.4 donne la raison d'être de ces accès personnels : les systèmes doivent enregistrer l'identité des utilisateurs qui saisissent, modifient, confirment ou suppriment une donnée, avec la date et l'heure. Si deux personnes utilisent le même identifiant, cette traçabilité est fausse.

« For systems generating, amending or storing GXP data shared logins or generic user access should not be used. »

— MHRA, GXP Data Integrity Guidance and Definitions, mars 2018, point 6.16 (les identifiants partagés ou génériques ne doivent pas être utilisés)

Pour l'opérateur, trois réflexes en découlent : ne jamais communiquer son mot de passe, verrouiller ou fermer sa session avant de quitter le poste, et ne jamais saisir une donnée dans la session ouverte par un collègue, même pour « dépanner ». Chaque utilisateur dispose aussi d'un niveau d'accès adapté à sa fonction (Annexe 11, point 2) : un opérateur n'a normalement pas les droits de modifier une recette ou de supprimer un enregistrement.

Sur papier, une correction laisse lire l'original. À l'écran, c'est le rôle de la piste d'audit, l'audit trail. L'Annexe 11 (point 9) prévoit, sur la base d'une analyse de risques, un journal qui conserve la trace de toute modification ou suppression de données ayant un impact BPF.

Pour les données nécessaires à la libération des lots, les impressions doivent en outre pouvoir indiquer si une ou plusieurs valeurs ont été modifiées depuis leur saisie initiale (point 8.2). Une modification n'est donc jamais invisible : elle apparaîtra à la revue.

Pour l'opérateur, cela change la nature d'une correction à l'écran. Quand le système demande un motif, on en saisit un vrai (« erreur de saisie : 12,05 au lieu de 12,50 ») plutôt qu'un point ou une lettre pour passer l'écran. Et une donnée n'est jamais supprimée ou ressaisie pour faire disparaître un résultat gênant : c'est exactement ce que la revue de l'audit trail est conçue pour détecter.

Les enregistrements électroniques peuvent être signés électroniquement. L'Annexe 11 (point 14) fixe trois conditions : la signature électronique a, dans l'entreprise, la même valeur qu'une signature manuscrite ; elle est définitivement liée au document auquel elle se rapporte ; elle comprend la date et l'heure de son application.

La conséquence est directe : valider un écran avec ses identifiants, c'est signer. Les règles vues au chapitre précédent s'appliquent sans changement. On ne valide que ce que l'on a fait ou vérifié, et on ne prête pas ses identifiants pour qu'un collègue « signe » à sa place.

Au bout de la chaîne, lorsque la certification et la libération des lots sont enregistrées dans un système informatisé, celui-ci doit être conçu pour que seules les personnes qualifiées puissent certifier la libération, et la personne qui certifie est clairement identifiée, par signature électronique (point 15). Les droits d'accès reflètent ainsi la répartition des responsabilités vue au module 1.

Beaucoup de postes combinent papier et électronique : une valeur lue à l'écran recopiée dans un dossier papier, une impression signée à la main. Le guide demande de définir les interactions et les contrôles entre ces supports (point 4.1). À chaque transcription, le risque d'erreur réapparaît, d'où l'exigence d'un contrôle d'exactitude des données critiques saisies manuellement, par un deuxième opérateur ou par un moyen électronique validé (Annexe 11, point 6).

Les incidents se signalent tous, pas seulement les pannes. L'Annexe 11 (point 13) demande que tous les incidents soient rapportés et évalués, et que l'origine d'un incident critique serve de base à des actions correctives et préventives. Un écran qui affiche une heure fausse, une balance qui ne transmet plus sa valeur, un message d'erreur inhabituel : l'opérateur le signale, même si la production peut continuer.

En cas de panne d'un système qui porte un procédé critique, le site dispose d'un mode dégradé (souvent manuel), documenté et testé (point 16). L'opérateur applique ce mode prévu, avec ses formulaires, plutôt que d'improviser des notes sur papier libre qui n'auraient aucun statut dans le système documentaire.