« Les pharmacies doivent faire établir un diagnostic de conformité au RGPD »

Concernant le respect du règlement général sur la protection des données (RGPD), les pharmaciens sont-ils protégés par leurs logiciels métiers ?

Les pharmaciens sont responsables de la conformité au RGPD de leurs outils. C’est pourquoi ils doivent s’assurer que l’ensemble de leurs sous-traitants respectent le RGPD et leur demander un certificat de conformité. C’est souvent un excellent moyen de faire apparaître, par exemple, qu’une partie d’un logiciel n’est pas conforme.Le refus d’un prestataire de fournir un tel certificat doit alerter le pharmacien.

Quels types de comportements peuvent poser problème ?

Les risques les plus importants concernent les mots de passe : parfois ils ne sont pas conformes aux règles de sécurité élémentaires de la Commission nationale de l’informatique et des libertés (Cnil), par exemple pas suffisamment longs, ou n’ont pas été modifiés récemment par l’officine… Autre problème : il existe des boîtes aux lettres électroniques de service destinées à plusieurs membres et comportant des zones commentaires qui peuvent s’avérer contraires à la dignité ou contenant des données de santé visibles par tous. On constate aussi des détournements de dossiers patients qui se retrouvent sur Internet par manque de sécurité.

Faut-il protéger toutes les données, l’ordonnance, le fichier client… à la même hauteur ?

Tout ce qui pourrait porter atteinte à l’intimité de la vie privée est sanctionnable. Les pharmacies doivent faire établir un diagnostic de conformité au RGPD. Il peut être réalisé en une heure environ, au téléphone, au moyen de questions concernant par exemple la fréquence du changement des mots de passe ou encore l’existence d’un registre des traitements… Cela permet de vérifier si l’entreprise est « dans les clous » ou non. Un tel diagnostic peut être établi pour un coût d’environ 500 €.

Deux médecins ont récemment été condamnés à 3 000 € et 6 000 € d’amende. Pourquoi ?

Il s’agissait d’images médicales présentes sur l’ordinateur des médecins, qui ont été détournées à cause d’une mauvaise configuration de leur box internet et d’un mauvais paramétrage de leur logiciel d’imagerie médicale. De plus, ils n’avaient pas déclaré la violation de données à la Cnil. Celle-ci a retenu un manquement aux obligations de sécurité des données et de notification.

BIO Alain Bensoussan

1978 Fondateur du cabinet Alain Bensoussan Avocats

2012 Cofondateur de Lexing, premier réseau international d’avocats technologues

2021 Publication en mars de l’ouvrage Jurisprudence données personnelles 2018-2020 (Lexing Editions)