Officine pratique

Assurer la sécurité et la confidentialité des données

Par

Publié le 13/03/2025

Article réservé aux abonnés

Dématérialisation croissante des documents, recrudescence des cyberattaques, impératifs du RGPD, l’officine doit tout mettre en œuvre afin que soient assurées la sécurité et la confidentialité des données personnelles qu’elle traite.

Des supports préservant l’intégrité des données (disque dur, mémoire flash…) permettent des sauvegardes déconnectées afin de les protéger de tout risque de cyberattaque.
Crédit photo : PHANIE

Quelles obligations ?

Le règlement européen sur la protection des données personnelles du 27 avril 2016 ou RGPD (en continuité de la loi Informatique et Libertés du 6 janvier 1978) a renforcé la responsabilité des acteurs amenés à les traiter. À l’officine, c’est le titulaire qui en est responsable. Par traitement, on entend toute opération portant sur des données personnelles, quel que soit le procédé (collecte, enregistrement, conservation, modification, consultation, diffusion, suppression…) et le support (papier, informatique) utilisé, que le traitement concerne les patients de l’officine, les salariés, les fournisseurs ou les professionnels de santé.

Conformément au RGPD, le titulaire doit mettre en place toutes les mesures pour garantir la confidentialité et préserver la sécurité des données personnelles qu’il traite au sein de l’officine. Il doit prendre toutes les précautions pour éviter qu’elles ne soient modifiées, endommagées ou accessibles à des tiers non autorisés. S’il est prouvé que ces mesures ont fait défaut, le titulaire peut faire l’objet de poursuites disciplinaires. Par ailleurs, le patient a des droits vis-à-vis des données personnelles qui sont collectées (information, droit d’accès, rectification, opposition, effacement).

Quelles données sont concernées ?

Toute information se rapportant à une personne physique identifiée ou identifiable (nom, prénom, date de naissance, numéro d’identification, numéro de téléphone, image…) est considérée comme une donnée personnelle. Toute information se rapportant à l’état de santé physique ou mentale présent, passé ou futur d’une personne est considérée comme une donnée personnelle de santé quelle que soit sa source de production : information liée à l’identification du patient, résultat d’examen, information médicale (maladie, handicap, donnée clinique, thérapeutique, physiologique, biologique).

Numérique et papier

La tendance à la dématérialisation des données, accentuée par le Ségur du numérique en santé, a démultiplié l’importance des documents numériques et des flux de transmission à l’officine, augmentant ainsi les besoins en sécurisation des systèmes : télétransmission des feuilles de soins, ordonnances numériques à consulter sur le serveur de l’assurance-maladie, alimentation - à l’occasion d’un entretien, d’une vaccination… - du DMP, vérification des dernières dispensations sur le DP, utilisation des messageries de santé pour communiquer avec un prescripteur mais aussi gestion des documents liés à la comptabilité, aux salariés, aux fournisseurs (fiches de paie, contrats, factures, paiements…). Le fonctionnement de l’officine, dans sa plus grande part, repose aujourd’hui sur l’utilisation d’une information dématérialisée dont la sécurité et la confidentialité doivent être assurées. Des données sur un support papier (ordonnances, factures…) peuvent aussi subsister et nécessitent d’être protégées.

Les points faibles

Si les systèmes de gestion informatique et de communication numérique sont généralement bien sécurisés à l’officine, des accidents peuvent se produire (disque dur en panne, incendie), rendant inaccessibles les dossiers des patients, et des failles peuvent demeurer menaçant l’intégrité des données. La messagerie électronique et les outils informatiques non sécurisés sont, par exemple, les principales portes d’entrée des hackers. Un virus informatique peut s’activer dès que l’on ouvre un document (ordonnance, coordonnées de l’organisme de prise en charge complémentaire…) envoyé à l’officine par un patient sur une messagerie non sécurisée (Gmail, Yahoo…) ou toute pièce jointe corrompue. Si l’officine n’a pas sauvegardé ses données, elle peut perdre des contenus essentiels à son fonctionnement sous l’emprise d’un logiciel malveillant (« rançongiciel » ou « ransomware » qui capture les données en échange d’une rançon, « spyware » qui collecte les informations ou virus qui les supprime) à l’occasion d’une cyberattaque. « Il faut éduquer les patients et l’équipe aux bonnes pratiques numériques comme l’utilisation d’une messagerie sécurisée (via Mon Espace Santé pour les patients) ou la création d’un accès Internet par un réseau Wifi indépendant de celui de la pharmacie pour les collaborateurs », précise Valérian Ponsinet, chargé de la pharmacie numérique à la Fédération des syndicats pharmaceutiques de France (FSPF)*.

Protéger les données personnelles

Différents réflexes doivent être adoptés et les bonnes pratiques appliquées : sécuriser l’accès aux données dématérialisées (carte CPS, authentification par mot de passe robuste, codes d’accès individuels, contrôle des accès via un historique…), sécuriser le réseau (pare-feu, antivirus), recourir à un hébergeur agréé ( https://esante.gouv.fr/offres-services/hds/liste-des-herbergeurs-certif… ) en cas d’externalisation des données, informer et former les collaborateurs aux règles de protection des données, conserver les données sur support papier dans un lieu fermé à clef, sauvegarder les données dématérialisées afin de restaurer le système en cas d’incident (tester la restauration) et les archiver pour les conserver à long terme (détruire les archives après la période obligatoire de conservation), les sauvegardes doivent être déconnectées afin de les protéger de tout risque de cyberattaque, utiliser des supports préservant l’intégrité des données (disque dur, mémoire flash…) et dupliquer les sauvegardes sur un disque dur chiffré, réaliser la transmission des données de santé sur messagerie sécurisée (identification de l’émetteur et du destinataire, système d’authentification forte, chiffrement des messages et pièces jointes et conservation sous forme sécurisée), mettre à jour son système d’exploitation (OS) et son système Wifi… L’officine peut également agir en amont pour prévenir les risques : recenser les fichiers à protéger, identifier les supports de stockage, identifier les risques, déterminer les mesures de sécurité.
Les éditeurs de solutions numériques qui équipent l’officine prodiguent les conseils utiles et orientent vers des outils numériques récents, dépourvus de failles (sauvegarde des données en temps réel et externalisée sur des serveurs agréés, protection contre les sinistres, cryptage des données, surveillance et détection proactive des menaces, solutions antivirus…).

Décrire la procédure de sécurisation

L’officine doit documenter* toutes les démarches de sécurisation des données pour démontrer sa conformité au RGPD et à la loi Informatique et Libertés : identifier les données à caractère personnel utilisées dans le cadre de son activité et établir une liste de leurs traitements (cartographie), recenser et décrire les traitements de ces données dans un registre, établir une procédure permettant aux personnes d’accéder à leurs données, définir des durées de conservation et d’archivage des données, encadrer la mission des sous-traitants qui traitent les données personnelles au nom de l’officine...
Le titulaire est libre de désigner ou non un délégué à la protection des données (DPO) mais doit justifier son choix.

* Modèles de fiches disponibles dans le guide pratique « Le pharmacien d’officine et la protection des données personnelles » édité par l’Ordre national des pharmaciens et la CNIL.

Réagir en cas d’incident

Face à une cyberattaque ou tout incident de sécurité informatique, il est recommandé de déconnecter le câble réseau ou de désactiver le Wifi, ne pas éteindre le poste de travail (afin de pouvoir analyser l’attaque) et l’isoler du réseau de la pharmacie et de prévenir le fournisseur informatique. Dans certains cas, il faudra également notifier l’incident à la CNIL et informer les personnes concernées par la perte des données.

Documents et sites à consulter

De nombreux documents permettant d’encadrer l’officine dans ses démarches de sécurisation des données sont consultables comme le guide pratique « Le pharmacien d’officine et la protection des données personnelles », édité par l’Ordre national des pharmaciens et la CNIL (Commission nationale informatique et libertés), les fiches M20 « Protection des données de santé » et M33 « Sécurité numérique et cybersécurité » (à télécharger sur le site www.demarchequaliteofficine.fr ), les fiches pratiques « Cybersécurité, les réflexes à adopter » sur le site www.fspf.fr ou encore le site www.cybermalveillance.gouv.fr qui dispense des conseils essentiels afin d’éviter les risques en cas de cyberattaque et de bien réagir si elle se produit. Par ailleurs, la CNIL propose un référentiel relatif aux traitements des données à caractère personnel destinés à la gestion des officines de pharmacie (www.cnil.fr).

Repères

- Le RGPD a renforcé la responsabilité des acteurs qui traitent les données personnelles.
- Toute information se rapportant à une personne physique est considérée comme une donnée personnelle. Toute information se rapportant à l’état de santé physique ou mentale d’une personne est considérée comme une donnée personnelle de santé.
- Le fonctionnement de l’officine, dans sa plus grande part, repose aujourd’hui sur l’utilisation d’une information dématérialisée.
- Si l’officine n’a pas sauvegardé ses données, elle peut perdre des contenus essentiels à son fonctionnement sous l’emprise d’un logiciel malveillant ou d’un incident informatique.
- La messagerie électronique et les outils informatiques non sécurisés sont les principales portes d’entrée des hackers.
- À l’officine, c’est le titulaire qui est responsable du traitement des données. Il doit mettre en place toutes les mesures pour garantir leur confidentialité et préserver leur sécurité.
- L’officine doit documenter toutes les démarches de sécurisation des données pour démontrer sa conformité au RGPD.
- Commencer par déconnecter le câble réseau ou désactiver le Wifi quand un incident informatique survient.