AgentPublic/cnil huggingface dataset:
Ainsi, conformément  à l'article R. 5132-35 du CSP, les copies d'ordonnance de médicaments classés comme stupéfiants ou relevant de la réglementation des stupéfiants doivent être conservées pendant une durée de trois ans.
Par ailleurs, conformément aux articles R. 5125-45, R. 5132-10 et R. 5132-59 du CSP, les données issues des registres des préparations magistrales ou officinales, des médicaments relevant des listes I, II et des stupéfiants et les enregistrements des substances ou préparations destinées à un usage non thérapeutique de produits classés très toxiques, toxiques, cancérogènes, tératogènes ou mutagènes doivent être conservées pendant une durée de dix ans.
Enfin, les registres ou enregistrements liés aux médicaments dérivés du sang doivent être conservés pendant une durée de quarante ans, conformément àà  l'article R. 5121-195 du CSP.
Les doubles des feuilles de soins électroniques doivent être conservés au moins trois mois, conformément à l'article R. 161-47 du CSS.
Pour les données dont la durée de conservation n’est pas fixée par les textes, il revient au responsable de traitement de déterminer et justifier la durée appropriée (voir rubrique Pour en savoir plus ci-dessous).
À l’expiration de ces délais, les données sont supprimées ou archivées sous une forme anonymisée.
Il revient aux prestataires fournissant des solutions logicielles d’intégrer des fonctionnalités d’archivage automatique à date d’échéance. À défaut, le responsable de traitement devrait y procéder manuellement.
De même, les traces (techniques et fonctionnelles) des solutions logicielles devraient être conservées pendant une durée de six mois minimum ; cette durée peut être étendue si cela s’avère nécessaire pour traiter certains risques pesant sur les personnes.
La conservation et l’archivage des données doivent être réalisés dans des conditions de sécurité conformes aux dispositions de l’article 32 du RGPD.
 
Pour en savoir plus, vous pouvez vous référer aux guides de la CNIL : 
> 
 Sécurité : Archiver de manière sécurisée 
> 
 Limiter la conservation des données 
> 
Guide pratique sur les durées de conservation
> 
Référentiel sur les durées de conservation en santé
 (hors recherche)
 
7.2. La conservation des données anonymisées
La réglementation relative à la protection des données à caractère personnel ne s’applique pas, notamment en ce qui concerne les durées de conservation, aux données anonymisées. Il s’agit des données qui ne peuvent plus, par l’utilisation des moyens raisonnablement à disposition des personnes, être mises en relation avec la personne physique identifiée à laquelle elles se rapportaient initialement (ex : statistiques).
L’anonymisation doit être distinguée de la pseudonymisation
, pour laquelle il est techniquement possible de retrouver l’identité de la personne concernée grâce à des données tierces. En effet, l’opération de pseudonymisation est réversible, contrairement à l’anonymisation.
Ainsi, le responsable du traitement peut conserver sans limitation de durée les données anonymisées. Dans ce cas, le responsable de traitement doit garantir le caractère anonymisé des données de façon pérenne.
 
Pour en savoir plus : 
voir les
Lignes directrices du G29 sur l’anonymisation
 
8. Information des personnes
Un traitement de données personnelles doit être mis en œuvre en toute transparence vis-à-vis des personnes concernées.
Ainsi, dès le stade de la collecte des données personnelles, les personnes doivent être informées des modalités de traitement de leurs données dans les conditions prévues par les articles 12, 13 et 14 du RGPD
.
Les personnes concernées doivent par ailleurs être informées de la manière d’exercer leurs 
droits
.
Les personnes dont les données sont enregistrées et conservées dans les traitements de données à caractère personnel du responsable de traitement sont informées par voie d’affichage dans l’officine de pharmacie
ou par la remise d’un document spécifique, notamment dans le cadre des visites à domicile (tel qu’un dépliant remis au patient/client ou mis à sa disposition au comptoir).
 
9. Droits des personnes
Les personnes concernées disposent des droits suivants, qu’elles exercent dans les conditions prévues par le RGPD (voir la rubrique dédiée aux 
droits
) :
droit de s’opposer au traitement de leurs données, sous réserve des conditions d’exercice de ce droit en application des dispositions de l’article 21 du RGPD : ainsi par exemple, le droit d’opposition ne trouvera pas à s’appliquer aux registres obligatoires de dispensation ou à la transmission de leur ordonnance pour la délivrance de médicaments soumis à prescription ;
droit d’accès à toutes les données les concernant de manière générale ; 
droit de rectification des données les concernant, si elles sont inexactes ;
droit d’effacement des données qui les concernent sous réserve des conditions d’exercice de ce droit en application des dispositions de l’article 17 du RGPD ; 
droit à la limitation du traitement. Par exemple, lorsque la personne conteste l’exactitude de ses données, elle peut demander au professionnel de santé, le gel temporaire du traitement de ses données, le temps que celui-ci procède aux vérifications nécessaires concernant sa demande.
Il est à noter que le choix d’une base légale du traitement conditionne l’existence de certains droits (3). Ainsi, la tenue d’un registre de dispensation répond à une obligation légale. Le patient/client ne peut dès lors s’opposer par principe au traitement de ses données personnelles, conformément aux dispositions de l’article 21 du RGPD.
 
10. Sécurité
Le responsable de traitement doit prendre toutes les précautions utiles au regard des risques présentés par son traitement 
pour préserver la sécurité des données à caractère personnel et, notamment au moment de leur collecte, durant leur transmission et leur conservation, empêcher qu’elles soient déformées, endommagées ou que des tiers non autorisés y aient accès.
 
10.1. Les obligations de sécurité imposées par le RGPD
Afin de satisfaire ses obligations en matière de sécurité, le responsable de traitement pourra utilement se référer au 
Guide de la sécurité des données personnelles
.
En particulier, dans le contexte spécifique du présent référentiel, le pharmacien est invité à adopter les mesures suivantes, à justifier de leur équivalence ou du fait que leur mise en œuvre n’est pas nécessaire
 :
Catégories
Mesures 
Sensibiliser les utilisateurs
Informer et sensibiliser le personnel de l’officine accédant aux données
Pour une officine mutualisant des ressources informatiques, rédiger une charte informatique et lui donner force contraignante
Authentifier les utilisateurs
Définir un identifiant ( login ) propre à chaque utilisateur
Adopter une politique de mots de passe utilisateur conforme aux recommandations de la CNIL 
(4)
Pour les utilisateurs accédant aux données de santé, utiliser une authentification forte basée sur :
les cartes CPx, notamment :
une carte de professionnel de santé (CPS), qui doit rester
strictement personnelle, sans communication du code secret aux autres membres du personnel 
de l’officine ;
une carte de professionnel en formation (CPF pour les étudiants en pharmacie)
 
ou tout moyen alternatif à deux facteurs (par exemple, un mot de
 passe complété par l’envoi d’un code unique à chaque connexion).
Gérer les habilitations, tracer les accès et gérer les incidents
Attribuer un profil d’habilitation adapté à chaque utilisateur (distinguant notamment les données administratives et les données médicales)
Supprimer les permissions d’accès obsolètes
Mettre en place un système de journalisation des accès aux données de santé
Informer les utilisateurs de la mise en place du système de journalisation
Prévoir les procédures pour les notifications de violation de données à caractère personnel
Sécuriser les postes de travail et l'informatique mobile
Prévoir une procédure de verrouillage automatique de la session informatique, avec un déclenchement au bout d’un délai d’inactivité de cinq minutes pour les postes situés dans les zones ouvertes au public
Protéger les postes susceptibles d'être facilement emportés, notamment les ordinateurs portables, à l'aide d'un câble physique de sécurité
Chiffrer les supports de stockage des équipements informatiques utilisés dans des lieux accessibles au public
Permettre la mise à jour régulière des antivirus
Recueillir l’accord de l’utilisateur avant toute intervention sur un poste individuel
Limiter le stockage de données de santé sur les tablettes et les ordiphones (en raison des conséquences pour les patients/clients en cas de vol ou de perte du matériel). Si ces équipements sont utilisés, leur niveau de sécurisation des données doit être équivalent à celui des autres équipements (chiffrement, codes d’accès, etc.)
Exiger un secret pour le déverrouillage des ordiphones ou des tablettes
Protéger les écrans des regards indiscrets (orientation, filtre optique)
Prévoir une zone de confidentialité autour des postes de dispensation, avec un marquage et une information incitant à la respecter
Limiter l’utilisation de supports de stockage amovibles (clés USB, disques dur externe) et chiffrer systématiquement les données sensibles qui y sont conservées
Ne pas prêter ou utiliser pour des usages personnels les ordiphones et tablettes à usage professionnel
Protéger le réseau informatique interne
Interdire les connexions d’appareils non professionnels sur le réseau
En cas de fourniture d’un accès Wifi public aux clients de l’officine, celui-ci ne doit pas permettre d’accéder au réseau interne de l’officine (cloisonnement)
Sécuriser les serveurs
Limiter l’accès aux outils et interfaces d’administration aux seules personnes habilitées
Permettre l’installation sans délai des mises à jour critiques
Sauvegarder et prévoir la continuité d'activité
Effectuer ou permettre l’exécution des sauvegardes régulières
Stocker les supports de sauvegarde dans un endroit sûr
Archiver de manière sécurisée
Mettre en œuvre des modalités d’accès spécifiques aux données archivées
Détruire les archives obsolètes de manière sécurisée
Encadrer la maintenance et la destruction des données
Enregistrer les interventions de maintenance dans une main courante
Encadrer par un responsable 
de l’officine 
les interventions par des tiers
Effacer les données de tout matériel avant sa mise au rebut
Gérer la sous-traitance
Prévoir des clauses spécifiques
 (5)
 dans les contrats des sous-traitants
Prévoir des conditions de restitution et de destruction des données
S’assurer de l'effectivité des garanties prévues (audits de sécurité, visites, etc.)
Sécuriser les échanges avec d'autres professionnels de santé et avec les patients/clients 
Authentifier les destinataires avant tout envoi de données de santé
Utiliser une messagerie électronique sécurisée de santé pour les échanges entre professionnels de santé
Pour les échanges avec d’autres professionnels intervenant dans la prise en charge du patient/client ou avec les patients/clients eux-mêmes :
procéder au chiffrement des documents avant leur envoi sur une messagerie électronique standard (6) et transmettre le secret par un envoi distinct et via un canal différent ;
utiliser un protocole de transfert garantissant la confidentialité des messages et l’authentification du serveur de messagerie ;
choisir une messagerie hébergeant les données dans un pays ou auprès d’un prestataire garantissant la protection des données conformément aux règles européennes.
Protéger les locaux
Restreindre les accès aux locaux au moyen de portes verrouillées
Installer des alarmes anti-intrusion et les vérifier périodiquement
Sécuriser le stockage des dossiers au format papier (locaux sécurisés, armoire fermant à clé)
Récupérer les documents imprimés contenant des données immédiatement après leur impression ou effectuer, lorsque c'est possible, une impression sécurisée
Détruire les documents papier contenant des données et qui ne sont plus utiles à l’aide d’un broyeur approprié (certifié au minimum classe 3 de la norme DIN 32757105)
 
Les prestataires de service chargés de développer, d’assurer la maintenance du logiciel et des postes de travail gérant les dossiers patients/clients ou proposant une plateforme de rendez-vous sont invités à mettre en œuvre les mesures suivantes, ou être en mesure de justifier de la mise en place de mesures équivalentes ou de leur absence de nécessité ou de possibilité, sous le contrôle du responsable de traitement :
Catégories
Mesures 
Sensibiliser les utilisateurs
Informer et sensibiliser leur personnel ayant accès à des données de santé ou bien participant au développement ou à la maintenance des outils informatiques manipulant des données de santé
Authentifier les utilisateurs
Définir un identifiant ( login ) propre à chaque utilisateur
Intégrer une politique de mots de passe utilisateur conforme aux recommandations de la CNIL 
(7)
Obliger l’utilisateur à changer son mot de passe après réinitialisation
Limiter le nombre de tentatives d’accès à un compte
Pour les utilisateurs accédant aux données de santé, exiger une authentification forte via leur carte de professionnel de santé (CPS) ou d’établissement (CPE) ou tout moyen alternatif à deux facteurs (par ex. envoi d’un code à usage unique)
Gérer les habilitations
Intégrer des profils d’habilitation distinguant notamment les données administratives et les données médicales
Supprimer les permissions d’accès obsolètes
Réaliser une revue annuelle des habilitations
Limiter la diffusion des documents papier contenant des données de santé aux personnes ayant besoin d’en disposer dans le cadre de leur activité
Tracer les accès et gérer les incidents
Prévoir un système de journalisation
Informer les utilisateurs de la mise en place du système de journalisation
Protéger les équipements de journalisation et les informations journalisées
Prévoir les procédures pour les notifications de violation de données à caractère personnel
Sécuriser les postes de travail
Prévoir une procédure de verrouillage automatique de la session informatique, avec un déclenchement au bout d’un délai d’inactivité de cinq minutes pour les postes situés dans les zones ouvertes au public
Protéger les postes susceptibles d'être facilement emportés, notamment les ordinateurs portables, à l'aide d'un câble physique de sécurité
Mettre en œuvre des antivirus régulièrement mis à jour
Installer un pare-feu ( firewall ) logiciel
Chiffrer les données stockées
Recueillir l’accord de l’utilisateur avant toute intervention sur son poste
Sécuriser l'informatique mobile
Pour l’accès à distance aux dossiers patients/clients, respecter les référentiels d'interopérabilité et de sécurité prévus  à l'article L. 1110-4-1 du CSP
Protéger les écrans des regards indiscrets
Limiter l’utilisation de supports de stockage amovibles (clés USB, disques dur externe) et chiffrer systématiquement les données sensibles qui y sont conservées
Prévoir des mesures de sauvegarde et de synchronisation régulière des données
Protéger le réseau informatique interne
Limiter les flux réseau au strict nécessaire (bloquer les protocoles et ports qui ne sont pas utilisés)
Limiter les connexions d’appareils non professionnels sur le réseau
Sécuriser les accès distants des appareils informatiques nomades par un VPN
Mettre en œuvre le protocole WPA2 ou WPA2-PSK pour les réseaux Wi-Fi
Sécuriser les serveurs
Limiter l’accès aux outils et interfaces d’administration aux seules personnes habilitées
Chiffrer les données stockées
Installer sans délai les mises à jour critiques
Assurer une disponibilité des données
Sécuriser les sites web
Utiliser le protocole TLS conformément aux recommandations de l’ANSSI et vérifier sa mise en œuvre
Vérifier qu’aucun mot de passe ou identifiant de ressources contenant des données personnelles n’est incorporé aux URL
Sauvegarder et prévoir la continuité d'activité
Prévoir des sauvegardes régulières stockées dans un site distinct
Prévoir le stockage des supports de sauvegarde dans un endroit sûr et suffisamment distant du système principal
Prévoir des moyens de sécurité pour le convoyage des sauvegardes le cas échéant
Prévoir et tester régulièrement la continuité d'activité
Archiver de manière sécurisée
Mettre en œuvre des modalités d’accès spécifiques aux données archivées
Détruire les archives obsolètes de manière sécurisée
Encadrer la maintenance et la destruction des données
Enregistrer les interventions de maintenance dans une main courante
Effacer physiquement les données de tout matériel avant sa mise au rebut
Gérer la sous-traitance
Prévoir des clauses spécifiques 
(8)
 dans le contrat avec le responsable de traitement
Prévoir des conditions de restitution et de destruction des données
Permettre au responsable de traitement de s’assurer de l'effectivité des garanties prévues (audits de sécurité, visites, etc.)
Sécuriser les échanges avec d'autres organismes
Faciliter l’utilisation exclusive d’une messagerie électronique sécurisée de santé pour les échanges entre professionnels de santé
Pour les échanges avec d’autres professionnels intervenant dans la prise en charge du patient/client ou avec les patients/clients eux-mêmes :
intégrer le chiffrement des documents avant leur envoi sur une messagerie électronique standard et prévoir la transmission du code secret par un envoi distinct et via un canal différent ;
utiliser un protocole de transfert garantissant la confidentialité des messages et l’authentification du serveur de messagerie ;
permettre et faciliter l’utilisation d’une messagerie hébergeant les données dans un pays ou auprès d’un prestataire garantissant la protection des données conformément aux règles européennes
Encadrer les développements informatiques
Proposer par défaut des paramètres respectueux de la vie privée aux utilisateurs finaux 
Éviter les zones de commentaires libres ou les encadrer strictement 
Tester sur des données fictives ou anonymisées (et non pas seulement pseudonymisées)
Utiliser des fonctions cryptographiques
Utiliser des algorithmes, des logiciels et des bibliothèques à l’état de l’art et conformes aux préconisations du référentiel général de sécurité de l’Agence nationale de sécurité des systèmes d’information (ANSSI)
Conserver les secrets et les clés cryptographiques de manière sécurisée
10.2. Les obligations de sécurité imposées par le CSP
Outre les obligations générales issues du RGPD (article 32) et de la loi informatique et libertés, les traitements des données de santé dans le cadre de la prise en charge sanitaire sont soumis à des obligations de sécurité spécifiques. Les articles L. 1470-1 et suivants du CSP prévoient que le responsable de traitement doit s'assurer que les systèmes d'information, services ou outils numériques qu'il utilise sont conformes aux référentiels de sécurité (9) et d'interopérabilité (10) élaborés par l'Agence du numérique en santé (ANS) (11). Il devra également respecter les consignes de sécurité le concernant prévues par ces derniers qui correspondent à l'état de l'art.
En cas d'externalisation de l'hébergement des données de santé, les prestataires informatiques doivent être agréés ou certifiés pour l'hébergement, le stockage, la conservation de données de santé conformément aux dispositions de l'article L. 1111-8 du CSP (certification dite " HDS ", hébergement de données de santé).
 
Pour en savoir plus : 
> 
Liste de l’ANS des hébergeurs certifiés
> 
Liste de l’ANS des hébergeurs agréés
 
Exemple d’externalisation de l’hébergement des données :
Lorsque le logiciel de gestion de l’officine (LGO) est accessible à distance et est hébergé par un prestataire (en général l’éditeur de logiciel, une plateforme de prise de rendez-vous en ligne) ou si le stockage des données de santé de patients/clients est confié à un prestataire chargé d’en assurer la conservation dans des serveurs à distance (par exemple, un prestataire de sauvegarde), ce prestataire doit être HDS.
 
11. Mesures complémentaires : Analyse d
’
impact et
délégué à la protection des données
 
La CNIL estime que la réalisation d'une AIPD et la désignation d'un délégué à la protection des données (DPD/DPO) devraient en principe être nécessaires pour les officines de pharmacie déclarant une activité globale annuelle de plus de 2 600 000 euros hors taxes. L'évaluation du montant de l'activité s'effectue en application de l'article L. 5125-15 du CSP et selon les modalités de l'article R. 5125-37-1 du même code. 
Pour réaliser une étude d’impact, le responsable de traitement pourra se reporter :
aux principes contenus dans ce référentiel ;
aux outils méthodologiques proposés par la CNIL sur son site web.(12)
Conformément à l’article 28 du RGPD, le sous-traitant doit fournir au responsable de traitement toute information nécessaire à la réalisation de cette analyse.
 
_________________________________________________________________
(1) Sous réserve de choix différents justifiés par un contexte spécifique.
(2) Obligations légales et réglementaires sont assimilées.
(3) https://www.cnil.fr/fr/la-liceite-du-traitement-lessentiel-sur-les-bases-legales-prevues-par-le-rgpd
(4) https://www.cnil.fr/fr/authentification-par-mot-de-passe-les-mesures-de-securite-elementaires
(5) Description précise du traitement (données, localisation, opérations, accès, durée, restitution…), objectifs de sécurité adaptés aux risques, gestion des incidents et notification des violations de données.
(6) Les messageries instantanées ( chat ) doivent être utilisées avec la plus grande précaution, et de manière sécurisée.
(7) https://www.cnil.fr/fr/authentification-par-mot-de-passe-les-mesures-de-securite-elementaires
(8) Description précise du traitement (données, localisation, opérations, accès, durée, restitution…), objectifs de sécurité adaptés aux risques, gestion des incidents et notification des violations de données.
(9) https://esante.gouv.fr/securite
(10) https://esante.gouv.fr/interoperabilite
(11) Voir les référentiels PGSSI-S : https://esante.gouv.fr/securite/pgssi-s/espace-de-publication
(12) https://www.cnil.fr/fr/RGPD-analyse-impact-protection-des-donnees-aipd
La Commission nationale de l’informatique et des libertés, réunie en sa formation restreinte composée de Monsieur Alexandre LINDEN, président, Monsieur Philippe-Pierre CABOURDIN, vice-président, Madame Anne DEBET, Monsieur Alain DRU, Monsieur Bertrand du MARAIS et Madame Christine MAUGÜÉ, membres ;
Vu le règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016 relatif à la protection des données à caractère personnel et à la libre circulation de ces données, notamment ses articles 56 et 60 ;
Vu la loi no 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés, notamment ses articles 20 et suivants ;
Vu le décret no 2019-536 du 29 mai 2019 pris pour l’application de la loi no 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés ;
Vu la délibération no 2013-175 du 4 juillet 2013 portant adoption du règlement intérieur de la Commission nationale de l'informatique et des libertés ;
Vu la décision n° 2020-090C du 12 mai 2020 de la présidente de la Commission nationale de l’informatique et des libertés de charger le secrétaire général de procéder ou de faire procéder à une mission de vérification de tout traitement accessible à partir du domaine […]et de l’application " X " ou portant sur des données à caractère personnel collectées à partir de ces derniers ;