Règlement (UE) 2016/679, article 9
DPO externalisé pour les pharmacies d'officine
Une officine est un commerce de détail dont l'activité principale porte sur des données de santé. Cette double nature est toute sa difficulté en matière de protection des données : le comptoir relève du droit commun de la relation client, l'ordonnance relève de l'article 9 du règlement (UE) 2016/679, et les deux se déroulent au même endroit, souvent sur le même poste de travail.
Par Younès Lahrach, juriste RGPD et DPO externe, directeur de Sila International Advisory. Première parution le , dernière revue au regard des textes le .
Deux régimes derrière un même comptoir
La dispensation d'un médicament sur ordonnance suppose le traitement d'une donnée concernant la santé : la prescription révèle une pathologie. Ce traitement relève de l'exception de l'article 9.2 h) du règlement (UE) 2016/679, exercée sous la responsabilité d'un professionnel soumis au secret. La vente libre, la carte de fidélité, la newsletter et l'ordre de préparation relèvent, eux, du droit commun de l'article 6.
La séparation de ces deux régimes est la première question à traiter en officine, et elle se traite dans le paramétrage du logiciel autant que dans les procédures. Rattacher l'historique des délivrances sur ordonnance à la fiche client commerciale, ou alimenter un ciblage promotionnel à partir de ce que l'ordonnance révèle, fait basculer un traitement de santé dans une finalité commerciale pour laquelle aucune exception de l'article 9.2 n'est mobilisable.
Le logiciel de gestion d'officine est un sous-traitant
L'éditeur du logiciel métier traite des données pour le compte du pharmacien : il est sous-traitant au sens de l'article 4.8 du règlement, et le contrat qui le lie à l'officine doit comporter les clauses que l'article 28.3 rend obligatoires. En pratique, les contrats de licence signés avant 2018 et jamais renégociés ne les comportent pas, et l'obligation pèse sur les deux parties.
Le même raisonnement vaut pour les prestataires de télémaintenance, de sauvegarde et de robot de délivrance. Chacun accède à des données de santé, chacun doit figurer au registre, et l'accès distant doit être tracé et limité aux interventions réelles plutôt qu'ouvert en permanence.
Fidélité, promotion et sollicitation
Le programme de fidélité d'une officine est un traitement commercial comme un autre : il suppose une base légale propre, une information claire au moment de l'adhésion, et une durée de conservation qui ne se confond pas avec celle des données de dispensation. La prospection par voie électronique obéit en outre aux règles propres à la sollicitation, qui reposent sur le consentement préalable du particulier.
Le point sensible n'est pas la collecte, il est le croisement. Une segmentation qui distingue les clients selon les produits achetés est licite tant qu'elle porte sur la parapharmacie ; elle ne l'est plus dès qu'elle repose, même indirectement, sur ce qu'une délivrance révèle de l'état de santé d'une personne.
Vidéoprotection et espace de confidentialité
La vidéoprotection d'une officine répond à une finalité de sécurité des biens et des personnes, qui est légitime. Elle ne doit pas permettre de capter le contenu des échanges au comptoir ni filmer en continu un poste de travail déterminé, et l'information des clients comme des salariés doit être effective à l'entrée du champ des caméras.
L'espace de confidentialité, imposé par ailleurs à l'officine pour l'entretien pharmaceutique, a un corollaire en protection des données : ce qui s'y dit ne doit pas être consigné dans un support accessible au-delà de ceux qui en ont besoin. La confidentialité de l'entretien ne vaut rien si le compte rendu est ensuite visible de toute l'équipe.
Questions fréquentes
Une pharmacie doit-elle désigner un délégué à la protection des données ?
L'obligation de l'article 37.1 c) du règlement (UE) 2016/679 suppose un traitement à grande échelle de données de l'article 9 au titre des activités de base. Une officine traite bien des données de santé à titre principal ; l'appréciation de la grande échelle dépend du volume de dispensations et de l'organisation du groupement auquel elle appartient. L'analyse doit être conduite et consignée par écrit, y compris lorsqu'elle conclut à l'absence d'obligation.
Peut-on utiliser l'historique des ordonnances pour proposer des produits ?
Non. L'historique des délivrances sur ordonnance est traité au titre de l'exception de soin de l'article 9.2 h). Le réutiliser pour une finalité promotionnelle est un traitement ultérieur incompatible avec cette finalité initiale, et aucune autre exception de l'article 9.2 ne le couvre. Le consentement du client ne suffit pas à régulariser une telle réutilisation lorsqu'elle est la condition d'un avantage commercial.
Combien de temps conserver les données de dispensation ?
La durée se détermine par finalité et non par commodité : les données nécessaires au suivi pharmaceutique, celles nécessaires à la facturation et celles nécessaires à la preuve en cas de litige n'ont pas la même durée. La règle du règlement est celle de l'article 5.1 e), qui impose une conservation limitée à ce qui est nécessaire. La durée retenue est inscrite au registre et appliquée par une purge effective, pas seulement annoncée.
Le titulaire peut-il être son propre délégué à la protection des données ?
L'article 38.6 du règlement admet que le délégué exerce d'autres missions, à condition qu'il n'en résulte pas de conflit d'intérêts. Le titulaire décide des finalités et des moyens des traitements de l'officine : il serait alors appelé à contrôler ses propres décisions. C'est la configuration que les lignes directrices européennes sur le délégué signalent comme problématique.
Ce que ce régime déclenche ailleurs
Le mandat décrit ici est celui de l'article 37.6 du règlement (UE) 2016/679, exercé sur la base d'un contrat de service : la page pilier en détaille le contenu et les garanties d'indépendance.
Le mandat de délégué, en abonnementBase légale de la recherche, garanties de l'article 89, répartition des rôles entre promoteur et investigateur, et information des personnes se prêtant à la recherche.
Recherche cliniqueQuestionnaires de santé, tarification et profilage, distinction entre assureur et intermédiaire, sollicitation et durées : la conformité d'un porteur de risque et de son réseau.
AssuranceTextes de référence
- Règlement (UE) 2016/679 (RGPD), texte consolidé sur EUR-Lex
- CNIL, santé
- CNIL, la prospection commerciale par courrier électronique
- CNIL, la vidéosurveillance au travail
Les informations publiées sur cette page sont d'ordre général et ne constituent pas une consultation juridique portant sur une situation déterminée. Sila n'est pas un cabinet d'avocats et n'exerce pas la représentation en justice.