RGPD : attention aux pseudo « mises en conformité »

La Commission nationale informatique et libertés (CNIL) a mis en garde mardi 11 août sur Twitter les pharmaciens contre les démarches frauduleuses de pseudo « mises en conformité » au  Règlement général sur la protection des données ou RGPD.

La tromperie ne laisse rien au hasard puisque les démarcheurs se font parfois passer au téléphone pour des agents de la CNIL en affichant le numéro de son standard (01 53 73 22 22). L’interlocuteur propose une prétendue conformité au RGPD payante et menace de lourdes conséquences financières si cela n’est pas suivi.

De manière plus classique, de telles arnaques transitent aussi par fax, courrier ou par mail. Par ses intitulés et/ou ses symboles (drapeau tricolore ou logo européen), le message frauduleux peut laisser penser qu’il émane d’un service public. En cas de doute, il est recommandé de s’adresser à la CNIL et de porter plainte si une somme d’argent a été versée.

« La mise en application du RGPD dans les pharmacies, ce n’est pas payer 600 euros et remplir un formulaire en ligne ! A l’automne dernier, la CNIL avait mis en garde l’ensemble des professionnels de santé. Il est possible que les pharmaciens soient actuellement davantage visés par les cyberpirates puisqu’ils sont concernés par la protection des données de leurs patients mais peu formés aux bonnes pratiques en matière de sécurité informatique », indique Fabrice Jaffré, dirigeant de Kena Conseil, une société spécialisée dans la mise en conformité RGPD de l’officine.

Selon cet expert, « la plus connue des mesures est celle qui consiste à remplir un registre des traitements effectués dans l’officine : LGO, vidéosurveillance, scan d’ordonnance, agenda en ligne, gestion du personnel… C’est un travail de fond qui consiste aussi à vérifier et améliorer la sécurité technique et opérationnelle de l’officine, à consolider les contrats avec les sous-traitants en insérant des clauses RGPD, à créer un registre des violations des données et à être capable de répondre aux demandes d’exercice de droit des patients ».

A chaque fois, il s’agit de décrire dans un document quelles sont les données utilisées, dans quel but, combien de temps elles seront conservées et où, qui peut les consulter et quelles mesures de sécurité sont prises pour les préserver.