Données de santé : le référentiel à suivre

La Commission nationale de l'informatique et des libertés (Cnil) a publié le 12 juillet au Journal officiel le référentiel technique et juridique relatif aux traitements dans les officines de pharmacie de données à caractère personnel des patients ou professionnels de santé. Ce texte, qui cible les titulaires et leurs prestataires, rappelle que ces traitements sont soumis aux dispositions et aux règles de sécurité du Règlement général sur la protection des données (RGPD), de la loi « informatique et libertés » et du Code de la santé publique (CSP). Et que le responsable de ces traitements, qui doivent être inscrits dans le registre des activités de traitement, est soit le pharmacien titulaire, lorsqu’il a opté pour un statut d'entrepreneur individuel, soit la société personne morale à travers laquelle il exerce son activité.

Ce référentiel vise l'ensemble des traitements concourant à la prise en charge sanitaire et à la gestion administrative de la patientèle/clientèle. Que ce soit à partir d'outils internes ou externalisés auprès d'un prestataire. Sont concernés les traitements relatifs à la dispensation des médicaments, à la coopération entre professionnels de santé, à la contribution aux actions de veille et de protection sanitaire pilotées par les autorités, à la participation à l'éducation thérapeutique ou aux actions d'accompagnement des patients… De par leurs spécificités, certains traitements ne sont pas concernés par le référentiel. C'est le cas de l'alimentation du Dossier pharmaceutique (DP), du déploiement du télésoin, de la vente en ligne de médicaments, et de la lutte contre l'épidémie de covid-19.

Le référentiel fixe également les données personnelles pertinentes susceptibles d’être traitées : l’identité et les coordonnées du patient/client et des professionnels de santé participant à sa prise en charge, le numéro de sécurité sociale (NIR), les données relatives à la santé telles que le poids, la taille, les antécédents médicaux, les traitements délivrés…, ou les informations relatives aux habitudes de vie dès lors qu'elles sont collectées avec l'accord du patient et quelles sont indispensables à sa prise en charge sanitaire. Toutes ces données doivent être conservées pour une durée limitée fixée en fonction de chaque finalité.

Pour assurer la transparence des traitements vis-à-vis des personnes concernées, le référentiel rappelle que dès le stade de la collecte des données, celles-ci doivent être informées des modalités de traitement et de la manière d'exercer leurs droits. Cette information peut se faire par voie d'affichage dans l'officine ou par la remise d'un document spécifique. Elles disposent en effet du droit de s'opposer au traitement de leurs données, et ont un droit d'accès, de rectification, d'effacement ou de limitation des données les concernant.

Si ce référentiel n'a pas de valeur contraignante, la Cnil rappelle aux pharmaciens titulaires que le respect des préconisations contenues dans ce référentiel constitue un gage de conformité des traitements de données mises en œuvre au sein des officines.