Gestion des données de santé en officine : ce qu'il faut savoir

Qu’entend-on par « données de santé » ?

Aux termes du Règlement général sur la protection des données (RGPD), une donnée personnelle est toute information se rapportant à une personne physique identifiée ou identifiable, directement ou indirectement (nom, numéro d’identification, date de naissance, adresse, etc.).

Une donnée de santé est une donnée personnelle qui révèle des informations sur l’état de santé physique ou mentale d’une personne, son historique médical, ses traitements en cours, des résultats de bilans ou encore des données génomiques. Ces informations peuvent provenir de professionnels de santé, de dispositifs médicaux ou de tout autre support.

Du fait de leur nature sensible, ces données bénéficient d’un niveau de protection renforcé. Leur traitement nécessite la mise en œuvre de garanties spécifiques, tant sur le plan juridique que technique.

Le cadre juridique : RGPD, loi et codes

Entré en application le 25 mai 2018 dans l’ensemble des États membres de l’Union européenne, le RGPD constitue la pierre angulaire de la protection des données personnelles. Il renforce les obligations des responsables de traitement et leur responsabilité en matière de protection et de sécurité des données qu’ils manipulent.

En France, ce règlement s’articule avec la loi « Informatique et Libertés » ainsi qu’avec des dispositions du Code de la santé publique et du Code de déontologie des pharmaciens. Ces textes précisent les obligations des acteurs du secteur, notamment en ce qui concerne les données sensibles liées à la santé.

Depuis 2022, la Commission nationale de l’informatique et des libertés (CNIL) a également adopté un référentiel spécifique relatif aux traitements de données personnelles dans les officines de pharmacie. Ce référentiel vise à faciliter la conformité des traitements mis en œuvre par les pharmacies, tant dans la prise en charge sanitaire que dans la gestion administrative de la patientèle.

Qui est responsable de ces traitements ?

Le RGPD distingue deux acteurs essentiels :

• Le responsable de traitement, qui détermine les finalités et les moyens du traitement de données.
• Le sous-traitant, qui traite des données pour le compte du responsable, sous ses instructions.

Au sein d’une officine, le titulaire de l’officine ou la structure juridique par laquelle il exerce est considéré comme le responsable du traitement de toutes les données personnelles traitées dans le cadre de l’activité, qu’il s’agisse de patients, de collaborateurs ou de fournisseurs. Cette responsabilité ne peut être déléguée à un salarié.

Les sous-traitants habituels sont les prestataires informatiques, les hébergeurs de logiciels ou encore les sociétés assurant la maintenance ou la gestion des systèmes informatiques. Lorsqu’un prestataire accède à des données de santé, il doit être agréé ou certifié pour l’hébergement de données de santé (HDS) afin de garantir un niveau de sécurité conforme aux exigences légales.

Obligations pratiques des officines

Tenue d’un registre des traitements

Le titulaire de l’officine doit documenter l’ensemble des traitements de données personnelles mis en œuvre. Ce registre doit préciser, pour chaque traitement :

• la finalité poursuivie ;
• les données collectées ;
• les destinataires des données ;
• la durée de conservation ;
• les mesures de sécurité mises en place.

Ce registre constitue un outil de transparence et de responsabilité permettant au pharmacien de démontrer sa conformité en cas de contrôle.

Analyse d’impact relative à la protection des données (AIPD)

Lorsque le traitement de données est susceptible d’engendrer un risque élevé pour les droits et libertés des personnes (par exemple, des traitements automatisés complexes ou des données sensibles à grande échelle), une analyse d’impact doit être réalisée afin d’anticiper et de réduire ces risques.

Sécurisation des données

Le responsable de traitement doit mettre en œuvre des mesures techniques et organisationnelles adéquates pour garantir :

• la confidentialité ;
• l’intégrité ;
• la disponibilité ;
• la traçabilité des données.

Ces mesures peuvent inclure des dispositifs de chiffrement, des contrôles d’accès, des politiques de sauvegarde et de gestion des incidents, ainsi que des protocoles de cybersécurité adaptés au contexte de l’officine.

Le droit des personnes concernées

Le RGPD consacre plusieurs droits fondamentaux pour les personnes dont les données sont collectées :

• droit d’accès à leurs données ;
• droit de rectification en cas d’erreur ;
• droit à l’effacement (« droit à l’oubli ») dans certaines conditions ;
• droit à la limitation du traitement ;
• droit à la portabilité des données.

L’officine doit informer les patients de ces droits et des modalités d’exercice, généralement par affichage ou documents remis lors de la collecte des données.

Le rôle du Délégué à la Protection des Données (DPO)

Le Délégué à la protection des données (DPO) est une personne chargée de conseiller et d’accompagner l’entité responsable du traitement dans ses obligations. Il joue un rôle clé dans la sensibilisation, le suivi des pratiques et la coopération avec l’autorité de contrôle (la CNIL).

Dans le cadre des officines, la désignation d’un DPO n’est pas systématiquement obligatoire, mais la CNIL recommande cette démarche pour les officines de taille importante. Par exemple, lorsqu’une officine dépasse un certain seuil d’activité, la nomination de ce délégué peut être appropriée pour assurer la conformité et renforcer la gouvernance des données.

Sanctions et risques en cas de non-conformité

La non-conformité au RGPD expose l’officine à des sanctions administratives de la CNIL, à des obligations de réparation en cas de préjudice et à des risques disciplinaires pour le pharmacien titulaire en tant que professionnel de santé.

Une violation de données de santé peut également entraîner une obligation d’informer les personnes concernées ainsi que l’autorité de contrôle, ce qui peut avoir des conséquences réputationnelles et financières importantes.

Gestion des données de santé : un enjeu aussi pour les salariés

La protection des données de santé ne concerne pas uniquement les titulaires, dirigeants ou responsables d’établissement. Dans la pratique, les salariés sont en première ligne, car ce sont eux qui manipulent quotidiennement les informations des patients : création de dossiers, mise à jour des traitements, transmission d’informations, utilisation des logiciels métiers.

Une erreur, même involontaire, peut avoir des conséquences importantes. Accès non autorisé à un dossier patient, envoi d’une information à un mauvais destinataire, écran laissé ouvert dans un espace accessible au public… Ces situations, fréquentes sur le terrain, peuvent constituer des violations de données au sens du RGPD.

Pour les professionnels de santé salariés, la gestion des données devient donc une responsabilité professionnelle à part entière, au même titre que le respect du secret médical ou des règles déontologiques.

Données de santé et responsabilité : ce que risque réellement un salarié

Sur le plan juridique, le responsable de traitement reste l’employeur. Toutefois, le salarié n’est pas totalement dénué de responsabilité. En cas de manquement grave ou répété aux consignes internes, des sanctions disciplinaires peuvent être envisagées.

Dans certains cas, notamment en cas de violation volontaire ou de négligence manifeste, la responsabilité pénale du salarié peut également être engagée. C’est pourquoi les employeurs sont de plus en plus attentifs à la sensibilisation et à la formation des équipes sur ces sujets.

Pour les candidats à un poste dans le secteur de la santé, comprendre ces enjeux permet de mieux mesurer :

• les attentes des recruteurs,
• les responsabilités liées au poste,
• l’importance des procédures internes mises en place.