Données de santé : ce que la sanction de la CNIL doit apprendre aux pharmaciens

• À l’officine, les données sensibles ne sont plus cantonnées au dossier papier ou au poste informatique du pharmacien.
• Dossier pharmaceutique, logiciels métiers, ordonnances dématérialisées, messageries sécurisées, outils de suivi des patients, téléservices de l’Assurance maladie : les points d'entrée dans le système d'information se multiplient.
• La décision rendue le 3 septembre par la CNIL fournit un rappel utile : un système peut être fonctionnel et rester insuffisamment sécurisé.

Un compte ne doit pas ouvrir la porte à toutes les données

Dans le dossier, la CNIL a notamment reproché à l’établissement une politique d’habilitation inadéquate. Un compte compromis a permis à l'attaquant d'accéder aux données de l'ensemble des patients.

Le principe concerne aussi l'officine : chaque membre de l'équipe n'a pas nécessairement besoin du même niveau d'accès au logiciel métier.

La gestion des habilitations doit tenir compte des fonctions exercées, des données accessibles et des opérations réalisées. Elle doit également être revue lorsque l'organisation change : arrivée d'un salarié, départ, changement de fonction, remplacement ou intervention d'un prestataire.

Cela demande une compétence rarement enseignée comme telle dans le parcours officinal : savoir gérer les droits d'accès à l'information.

Le pharmacien titulaire doit pouvoir comprendre les règles proposées par son éditeur de logiciel, vérifier qu'elles correspondent à l'organisation de l'équipe et s'assurer que les anciens comptes ou droits ne restent pas actifs.

Le pharmacien n'est pas informaticien, mais il doit connaître son risque numérique

La CNIL relève également l'absence d'authentification multifacteur et de VPN pour certains accès externes au DPI.

À l'officine, le sujet se pose dès lors qu'un professionnel accède au système d'information depuis un environnement extérieur ou qu'un prestataire intervient à distance.

Le titulaire n'a pas vocation à configurer lui-même un réseau informatique. En revanche, il doit disposer des compétences nécessaires pour questionner son prestataire, identifier les mesures de protection mises en place et comprendre les conséquences d'un choix technique.

C'est une distinction importante pour la formation : la compétence numérique du pharmacien ne consiste pas à devenir administrateur réseau. Elle consiste à être capable de piloter un environnement numérique qui traite des données de santé.

Les données de santé imposent une culture de la confidentialité

La sanction rappelle également l'importance de la limitation des accès.

Cette question rejoint directement le quotidien officinal. Une ordonnance, un historique de délivrance, une information relative à un traitement ou à une pathologie peuvent révéler des informations particulièrement sensibles. Leur accès doit rester lié aux nécessités de l'activité et aux règles qui encadrent le secret professionnel.

La compétence attendue des équipes ne se limite donc pas à « savoir utiliser le logiciel ».

Détecter une anomalie : une compétence d'équipe

Dans l'affaire sanctionnée, l'absence de détection d'une activité suspecte a permis à l'attaquant d'explorer le DPI pendant plusieurs jours.

À l'officine, la question peut prendre des formes beaucoup plus simples : compte utilisé par une personne qui n'est pas censée l'utiliser, accès inhabituel, demande suspecte d'un prestataire, comportement anormal d'un logiciel, perte d'un équipement contenant des données ou message destiné à récupérer des identifiants.

RGPD : le titulaire doit aussi savoir quoi faire après une violation

Autre enseignement de la décision : l'établissement a également été sanctionné pour ne pas avoir informé l'ensemble des personnes concernées par la violation.

Pour une officine, cela souligne l'importance de disposer d'une procédure claire en cas d'incident : qui prévenir ? quelles données sont concernées ? quelles personnes peuvent être touchées ? quels délais respecter ? quelles mesures prendre ?

Le titulaire doit pouvoir s'appuyer sur son DPO lorsqu'il en dispose, son éditeur, son prestataire informatique ou les ressources compétentes. Mais il doit surtout être capable d'identifier rapidement qu'un événement constitue potentiellement une violation de données.

Former les pharmaciens à la donnée, pas seulement au logiciel

C'est probablement le principal enseignement à retenir pour les métiers de la pharmacie.

Les logiciels évoluent rapidement. Les services numériques se multiplient. Les échanges de données entre professionnels deviennent plus nombreux. Dans ce paysage, maîtriser un outil ne suffit plus.

• Les futurs pharmaciens doivent comprendre les principes qui gouvernent la donnée qu'ils manipulent : confidentialité, habilitation, traçabilité, sécurité, partage, conservation et gestion des incidents.
• Pour les titulaires, cela implique également de faire monter les équipes en compétence. Pour les organismes de formation, le sujet dépasse désormais l'enseignement du seul usage des outils numériques.
• Le pharmacien de demain devra savoir exploiter la donnée sans perdre de vue sa responsabilité dans sa protection. La sanction de 500 000 euros prononcée contre cet hôpital donne une illustration très concrète du coût que peut représenter une sécurité insuffisamment maîtrisée.