AgentPublic/cnil huggingface dataset:
65. Dès lors, au vu de ces éléments, la formation restreinte considère que le prononcé d’une amende administrative d’un million d’euros apparaît justifié.
 
66. En troisième lieu, une injonction de mettre en conformité le traitement avec les dispositions de l’article L. 34-5 du CPCE et des articles 12, 14, 15 et 21 du RGPD a été proposée par le rapporteur lors de la notification du rapport.
 
67. La société soutient que les actions qu’elle a mises en œuvre s’agissant de l’ensemble des manquements relevés doivent conduire à ne pas donner suite à la proposition d’injonction du rapporteur.
 
68. Comme indiqué précédemment, la formation restreinte relève que la société a pris des mesures de mise en conformité de ses traitements avec les dispositions de l’article L. 34-5 du CPCE et des articles 12, 14, 15 et 21 du RGPD. Elle considère dès lors qu’il n’y a pas lieu de prononcer d’injonction.
 
69. En dernier lieu, s’agissant de la publicité de la décision de sanction, la société soutient qu’une telle mesure serait disproportionnée au regard du caractère limité des manquements allégués et de sa mise en conformité. Elle considère également que la publication de la sanction aurait un impact significatif en termes d’image pour la société et qu’elle serait favorable à ses principaux concurrents, sur un marché très concurrentiel.
La formation restreinte considère que la publicité de la sanction se justifie au regard de la nature des manquements qui portent essentiellement sur les traitements de millions de données, réalisés dans le cadre de campagnes de prospection commerciale et notamment sur l’information délivrée aux personnes concernées, ainsi que sur les modalités d’exercice des droits. Elle estime par ailleurs que cette mesure permettra d’informer les personnes concernées de l’existence passée des manquements sanctionnés, dans la mesure notamment où ces faits ont fait l’objet de plusieurs plaintes.
 
 
PAR CES MOTIFS
La formation restreinte de la CNIL, après en avoir délibéré, décide de :
• prononcer à l’encontre de la société X une amende administrative d’un montant de 1 000 000 (un million) d’euros pour les manquements à l’article L. 34-5 du CPCE et aux articles 12, 14, 15 et 21 du RGPD ;
 
• rendre publique, sur le site de la CNIL et sur le site de Légifrance, sa délibération, qui n’identifiera plus nommément la société à l’expiration d’un délai de deux ans à compter de sa publication.
 
 
Le président
 
 
 
Alexandre LINDEN
 
Cette décision est susceptible de faire l’objet d’un recours devant le Conseil d’Etat dans un délai de deux mois à compter de sa notification.
Le bureau de la Commission nationale de l'informatique et des libertés,
Vu le règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016 relatif à la protection des personnes physiques à l'égard du traitement des données à caractère personnel et à la libre circulation de ces données  ;
Vu la directive (UE) 2016/680 du Parlement européen et du Conseil du 27 avril 2016 relative à la protection des personnes physiques à l'égard du traitement des données à caractère personnel par les autorités compétentes à des fins de prévention et de détection des infractions pénales, d'enquêtes et de poursuites en la matière ou d'exécution de sanctions pénales, et à la libre circulation de ces données  ;
Vu la loi n° 78-17 du 6 janvier 1978 modifiée relative à l'informatique, aux fichiers et aux libertés, notamment ses articles 10 et 22-1  ;
Vu le décret n° 2019-536 du 29 mai 2019 modifié pris pour l'application de la loi du 6 janvier 1978, notamment ses articles 41, 45-1 et 45-2   ;
Vu la délibération n° 2013-175 du 4 juillet 2013 portant adoption du règlement intérieur de la Commission nationale de l'informatique et des libertés  ;
Vu la délibération n° 2022-053 du 5 mai 2022 portant délégation de pouvoirs de la Commission nationale de l'informatique et des libertés à son bureau  ;
Après avoir le cas échéant entendu M. Benjamin TOUZANNE, commissaire du Gouvernement, en ses observations,
Décide :
 
Article 1er
:
Les agents de la direction de la protection des droits et des sanctions de la Commission nationale de l'informatique et des libertés (CNIL) ci-après désignés et ceux nommés en application du premier alinéa de l'article 41 du décret n° 2019-536 du 29 mai 2019 modifié sont habilités à établir un rapport en application du cinquième alinéa de l'article 22-1 de la loi du 6 janvier 1978 modifiée :
Mme Rose-Marie ABEL ;
Mme Madeleine CAZETTES DE SAINT LEGER  ;
Mme Virginie CLAUDE-LOONIS  ;
M. Antoine DROIN  ;
M. Rodolphe GÉNISSEL  ;
Mme Marie GAILLARDON  ;
Mme Sarah GUILLOU ;
M. Jérémie KOUZMINE ;
Mme Noémie LICHON ;
Mme Isabelle MANTZ ;
Mme Oriane MAURICE ;
M. Julien PIGNON ;
Mme Albane RICHET ;
Mme Lola TAIEB.
Article 2 : Les habilitations mentionnées à l’article 1er sont délivrées pour une durée de cinq ans.
Article 3 : La présente décision prendra effet à compter de la date de sa publication au Journal officiel 
de la République française.
 
La présidente
Marie-Laure DENIS
La Commission nationale de l'informatique et des libertés,
Vu le règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016 relatif à la protection des personnes physiques à l'égard du traitement des données à caractère personnel et à la libre circulation de ces données (règlement général sur la protection des données), notamment son article 58 ;
Vu la loi n° 78-17 du 6 janvier 1978 modifiée relative à l'informatique, aux fichiers et aux libertés, notamment son article 8-I-2°-b ; ;
Après avoir entendu le rapport de Mme Valérie PEUGEOT, commissaire, et les observations de M. Damien MILIC, commissaire adjoint du Gouvernement,
Adopte un référentiel relatif aux traitements de données à caractère personnel destinés à la gestion des officines de pharmacie.
 
La présidente
Marie-Laure DENIS
ANNEXE
RÉFÉRENTIEL RELATIF AUX TRAITEMENTS DE DONNÉES À CARACTÈRE PERSONNEL DESTINÉS À LA GESTION DES OFFICINES DE PHARMACIE
>>> Vous pouvez consulter l'intégralité du texte avec ses images à partir de l'
extrait du Journal officiel électronique authentifié
 
1. A qui s’adresse ce référentiel ?
Ce référentiel, pris en application des dispositions de l’article 8-I-2-b de la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés modifiée (ci-après loi informatique et libertés ), vise à faciliter la mise en conformité des traitements de données à caractère personnel mis en œuvre au sein des officines de pharmacie dans le cadre de la prise en charge sanitaire et de la gestion administrative de leur patientèle/clientèle.
Il s’adresse aux titulaires d’officines de pharmacie libérales et à leurs prestataires (sous-traitants).
Ne sont pas concernés par ce référentiel, en raison de leurs spécificités, les traitements mis en œuvre :
dans le cadre de l’alimentation du dossier pharmaceutique (DP) prévu par  l'article L. 1111-23 du code de la santé publique (CSP) ;
au cours du déploiement du télésoin dans les officines ;
dans le cadre de la vente en ligne de médicaments ;
dans le cadre de la lutte contre l’épidémie de Covid-19 (SI-DEP) ;
au sein des pharmacies à usage intérieur (PUI).
 
2. Portée du référentiel
Les traitements visant à permettre la prise en charge sanitaire et la gestion administrative au sein des officines, qu’ils soient mis en œuvre à partir d’outils internes ou externalisés auprès d’un prestataire de service, conduisent à collecter des données relatives à des personnes physiques identifiées ou identifiables (patients, professionnels de santé, etc.)
. A ce titre, ils sont soumis aux dispositions du règlement général sur la protection des données (RGPD), de la 
loi informatique et libertés 
ainsi qu’aux dispositions du CSP.
Le responsable des traitements mis en œuvre dans le cadre des officines de pharmacie est soit le pharmacien titulaire de l’officine lorsqu’il exerce son activité en tant qu’entrepreneur individuel, soit la société personne morale à travers laquelle il exerce son activité. A contrario, un interne en pharmacie ou un pharmacien salarié ne peut être considéré comme étant responsable d’un traitement mis en œuvre dans le cadre de la gestion de l’officine de pharmacie.
Le responsable de traitement doit mettre en œuvre toutes les mesures techniques et organisationnelles appropriées afin de garantir un haut niveau de protection des données personnelles dès la conception des traitements et tout au long de la vie de ceux-ci. Il doit, en outre, être en mesure de démontrer cette conformité à tout instant.
Les traitements mis en œuvre au sein des officines de pharmacie doivent être inscrits dans le registre prévu à l’article 30 du RGPD.
 
Pour plus d’information : 
consulter 
 
le registre des activités de traitement 
 sur le site cnil.fr
Ce référentiel n’a pas de valeur contraignante. Le respect des préconisations qu’il contient permet en principe d’assurer la conformité des traitements de données mis en œuvre au sein des officines de pharmacie aux principes relatifs à la protection des données et au secret professionnel, dans un contexte d’évolution des pratiques à l’ère numérique.
Les pharmacies qui souhaiteraient s’écarter du référentiel au regard des conditions particulières tenant à leur situation doivent être en mesure de justifier l’existence d’un tel besoin, puis prendre toutes les mesures appropriées à même de garantir la conformité des traitements à la réglementation en matière de protection des données à caractère personnel.
Le référentiel n’a pas pour objet d’interpréter les règles de droit autres que celles relatives à la protection des données à caractère personnel. Il appartient aux acteurs concernés de s’assurer qu’ils respectent les autres réglementations qui peuvent trouver à s’appliquer.
Ce référentiel constitue également une aide à la réalisation d’une analyse d’impact relative à la protection des données (AIPD) dans le cas où celle-ci est
 requise. 
 
Pour plus d’information : 
consulter la page 
Analyse d’impact relative à la protection des données : publication d’une liste de traitements pour lesquels une analyse est requise
La CNIL publie régulièrement des guides pratiques afin d’accompagner les professionnels dans la mise en œuvre des obligations prévues par la réglementation sur la protection des données personnelles que ces derniers sont invités à consulter en complément du présent référentiel.
 
Pour plus d’information : 
consulter notamment la page 
Les outils de la conformité
 
3. Objectifs poursuivis par le traitement (FINALITES)
 
Les traitements mis en œuvre doivent répondre à un objectif précis et être justifiés au regard des missions et des activités réalisées au sein de l’officine de pharmacie. Ils permettent notamment :
la dispensation des médicaments et autres produits
, articles, objets et appareils 
prévus par l’arrêté du 15 février 2002 modifié ;
la coopération entre professionnels de santé en application du 2o de l’article L. 5125-1-1 A du CSP ;
la contribution aux actions de veille et de protection sanitaires organisées par les autorités ;
la participation à l’éducation thérapeutique et aux actions d’accompagnement des patients/clients définies aux 
articles L. 1161-1 à L. 1161-5 du CSP ;
l’exercice du rôle de pharmacien correspondant, en application du 7° de l’article L. 5125-1-1 A du CSP ;
la proposition de conseils et prestations destinés à favoriser l’amélioration ou le maintien de l’état de santé des personnes en application du 8° de l’article L. 5125-1-1 A du CSP ;
les vaccins que les pharmaciens sont autorisés à administrer en application du 9° de l’article L. 5125-1-1 A du CSP ;
la gestion de rendez-vous.
Les traitements permettent, notamment, pour les besoins de la dispensation des médicaments :
la tenue de l’ordonnancier et des registres de délivrance ;
la gestion et la tenue des dossiers nécessaires au suivi du patient/client (à l’exclusion du Dossier pharmaceutique (DP)) ;
la communication et la coordination entre professionnels identifiés participant à la prise en charge de la personne concernée ;
l’établissement et la télétransmission des documents destinés à la prise en charge des frais de santé par l’assurance maladie (prescriptions, etc.) ;
la tenue de la comptabilité.
Les données personnelles doivent être traitées dans le respect de la vie privée des personnes et dans le respect du secret des informations les concernant, conformément à  l'article L. 1110-4 du CSP.
Elles peuvent être réutilisées pour des recherches, des études ou des évaluations réalisées par les personnels assurant le suivi du patient/client et destinées à leur usage exclusif (recherche interne), sans nécessiter une autorisation de la CNIL.
A défaut, cette réutilisation devra faire l’objet de formalités en application des articles 66 et 72 et suivants de la loi informatique et libertés portant sur les traitements à des fins de recherches, d’étude ou d’évaluation dans le domaine de la santé.
Pour plus de détails sur la recherche dans le domaine de la santé : 
Fiche
 Recherche médicale : quel est le cadre légal ? 
 
 
4. Base(s) légale(s) du traitement 
 
Chaque finalité du traitement doit reposer sur l’une des bases légales fixées par la réglementation.
Il appartient au responsable de traitement de déterminer ces bases légales avant toute opération de traitement, après avoir mené une réflexion, qu’il pourra documenter, au regard de sa situation spécifique et du contexte. Ayant des conséquences sur l’exercice de certains droits, ces bases légales font partie des informations devant être portées à la connaissance des personnes concernées.
Afin d’aider les responsables de traitement dans cette analyse, le présent référentiel propose, à titre indicatif, un choix de base légale dans le tableau ci-dessous.
 
Finalités
Bases légales envisageables (1)
La dispensation de médicaments, produits ou objets
Contrat ou, le cas échéant, obligation légale
La coopération entre professionnels de santé
Intérêts légitimes
La contribution aux actions de veille et de protection sanitaires organisées par les autorités
Mission d’intérêt public
Les traitements mis en œuvre dans le cadre de la participation à l’éducation thérapeutique et aux actions d’accompagnement des patients/clients définies aux articles L. 1161-1 à L. 1161-5 du CSP
Intérêts légitimes
L’exercice du rôle de pharmacien correspondant
Intérêts légitimes
La proposition de conseils et prestations destinés à favoriser l’amélioration ou le maintien de l’état de santé des personnes, conformément à l'article R. 5125-33-6 du CSP
Intérêts légitimes
La vaccination
Obligation légale (2)
La gestion des rendez-vous
Intérêts légitimes
La tenue de l’ordonnancier et des registres de délivrance
Obligation légale
L’établissement et la télétransmission des documents à destination de l’assurance maladie obligatoire
Obligation légale
 
Pour plus d’information : 
consulter la page 
La licéité du traitement : l’essentiel sur les bases légales prévues par le RGPD
 
 
5. Données personnelles concernées
 
Dans un souci de minimisation des données personnelles traitées, le responsable de traitement doit veiller à ne collecter et utiliser que les données pertinentes et nécessaires au regard de ses propres besoins de traitement de prise en charge sanitaire et de gestion administrative de l’officine de pharmacie. Sont en principe considérées comme pertinentes, pour les finalités rappelées ci-dessus, les données suivantes :
l’identité et coordonnées du patient/client 
(telles que nom, prénom, date de naissance, adresse postale, adresse électronique et numéro de téléphone) ;
l’identité et les coordonnées des professionnels de santé participant à la prise en charge du patient ;
l’identifiant national de santé (INS) 
pour la prise en charge sanitaire d’un patient/client dans le cadre de la délivrance de produits remboursés ;
le numéro de sécurité sociale (NIR)
 à des fins de facturation et de prise en charge financière des dépenses de santé dans le cadre de la délivrance de produits remboursés ;
les données relatives à la santé 
(telles que le poids, la taille, les antécédents médicaux, les diagnostics médicaux, les traitements prescrits, les traitements délivrés, les produits vendus, des renseignements propres à influencer la réaction du patient/client à sa prise en charge médicale et tout élément de nature à caractériser la santé du patient/client à la délivrance de conseils, médicaments, produits ou dispositifs médicaux) ;
les informations relatives aux habitudes de vie 
en fonction du contexte, dès lors qu’elles sont collectées avec l’accord du patient et qu’elles sont nécessaires à la prise en charge sanitaire du patient ;
les traces fonctionnelles 
(celles qui rendent compte des actions métier des utilisateurs ou des machines au sein du système d’information) et techniques (celles qui rendent compte de l’activité des composants logiciels et matériels utilisés par le système d’information pour assurer la fonctionnalité sollicitée par un utilisateur ou une machine).
 
Pour plus de détails sur la gestion des traces fonctionnelles : 
Guide AIPD
 Les bases de connaissance
Après s’être assuré de la nécessité et de la pertinence des données personnelles qu’il utilise, le responsable de traitement doit par ailleurs vérifier, tout au long de la durée de vie du traitement, la qualité des données traitées.
 En pratique, cela signifie que les données doivent être exactes et mises à jour conformément à la réglementation.
 
6. Destinataires des données
 
Les données personnelles ne devraient être rendues accessibles qu’aux seules personnes habilitées à en connaître au regard de leurs attributions. D’une manière générale, les habilitations d’accès devraient être documentées par les organismes, et les accès aux différents traitements doivent faire l’objet de mesures de traçabilité.
Peuvent être amenées à accéder aux données des patients/clients pour l’accomplissement de leurs missions et en vertu de dispositions législatives les personnes suivantes :
 
6.1. Les personnes accédant aux données pour le compte et sous l’autorité du responsable de traitement
Seules les personnes habilitées au titre de leurs missions ou de leurs fonctions peuvent accéder aux données à caractère personnel traitées, dans le respect des dispositions sur le secret professionnel et dans la stricte limite de leurs attributions respectives et de l’accomplissement de ces missions et fonctions. 
Il peut s’agir, par exemple
 des personnels de l’officine participant à la dispensation des médicaments et autres produits, articles, objets et appareils ou à la délivrance de conseils.
6.2 Les destinataires des données
Le RGPD définit les destinataires comme tout organisme qui reçoit la communication des données .
Avant toute communication des informations, le responsable de traitement doit, d’une part, s’interroger sur la finalité de la transmission pour s’assurer de sa pertinence et de sa légitimité et, d’autre part, vérifier que les données communiquées sont adéquates, pertinentes et non excessives au regard de la finalité poursuivie.
Peuvent notamment être destinataires des données (liste non exhaustive) :
les professionnels de santé et les professionnels concourant à la prévention et aux soins,
 afin d’assurer la continuité des soins dans le respect des dispositions  des articles L. 1110-4 et L. 1110-12 du CSP ;
afin de permettre le remboursement des actes, des prestations et leur contrôle, les personnels des organismes d’assurance maladie obligatoire, qui ont connaissance, dans le cadre de leurs fonctions et pour la durée nécessaire à l’accomplissement de celles-ci, de l’identité de leurs assurés et ayants droit, de leur numéro de sécurité sociale et des numéros de code des actes exécutés et prestations servies dans les conditions définies à  l'article L. 161-29 du code de la sécurité sociale (CSS) ;
les organismes menant des études, recherche et évaluations dans le domaine de la santé
, qui peuvent être destinataires de données personnelles de santé dans les conditions définies par le RGPD et la loi informatique et libertés (notamment dans le respect du principe de la minimisation des données).
 
6.3 Les sous-traitants
Le RGPD définit le sous-traitant comme 
la personne physique ou morale, l’autorité publique, le service ou un autre organisme qui traite des données à caractère personnel pour le compte du responsable du traitement
.
Il peut s’agir, par exemple, des prestataires de services informatiques (ex : maintenance du logiciel et des postes de travail utilisés dans l’officine de pharmacie) ou encore de tout organisme offrant un service ou une prestation impliquant un traitement de données à caractère personnel pour le compte d’un autre organisme (ex. : l’organisme concentrateur technique (OCT) chargé de transmettre les données à l’assurance maladie).
Le responsable de traitement qui souhaite avoir recours à un prestataire de services pour traiter des données personnelles pour son compte (société de maintenance, plateforme en ligne, hébergeur de données de santé agréé ou certifié) doit veiller à ne faire appel qu’à des organismes présentant des garanties suffisantes. Un contrat définissant les caractéristiques du traitement, ainsi que les différentes obligations des parties en matière de protection des données doit être établi entre elles (article 28 du RGPD). Ce contrat devra mentionner que le prestataire, en tant que sous-traitant :
ne traite les données à caractère personnel que sur instruction du responsable de traitement ;
veille à la signature d’engagements de confidentialité par le personnel ; 
prend toutes les mesures de sécurité requises au regard des objectifs de sécurité qui lui sont fixés par le responsable de traitement 
;
ne recrute pas de sous-traitant sans autorisation écrite préalable du responsable de traitement
 ;
coopère avec le responsable de traitement
 pour le respect de ses obligations, notamment lorsque des patients/clients ont des demandes concernant leurs données ;
supprime ou renvoie
 au responsable de traitement l’ensemble des données à caractère personnel à l’issue des prestations ;
met à la disposition du responsable du traitement toutes les informations
 nécessaires pour démontrer le respect des obligations pour permettre la réalisation d'audits.
Le prestataire doit, en sa qualité de sous-traitant, tenir un registre des activités de traitement dans les conditions de l’article 30.2 du RGPD.
Le prestataire doit, en cas d’incident lié aux données qu’il gère pour le compte du responsable de traitement (faille de sécurité, piratage, perte, etc.) l’en informer dans les meilleurs délais, afin que ce dernier puisse respecter ses propres obligations de gestion et de notification de l’incident. Le contrat signé entre le responsable de traitement et son sous-traitant devrait prévoir les modalités de notification du sous-traitant au responsable de traitement.
Pour plus de détails sur la sous-traitance : 
> 
Rubrique 
Travailler avec un sous-traitant 
> 
Guide
 d’accompagnement des sous-traitants
 
Exemple : la maintenance du logiciel et des postes de travail utilisés dans l’officine de pharmacie
En cas de recours à un prestataire de service pour assurer la maintenance du logiciel et des postes de travail utilisés dans l’officine de pharmacie, celui-ci accède aux données personnelles dans le respect du secret professionnel.
 La sécurité des données doit être garantie et leur confidentialité préservée. Á ce titre, des mesures physiques et logiques doivent être mises en œuvre, telles que le chiffrement, afin de permettre au technicien d’assurer ses missions sans pouvoir lire ces données.
 
7. Durées de conservation
 
7.1. La conservation des données à caractère personnel
Une durée de conservation précise des données doit être fixée en fonction de chaque finalité : ces données ne peuvent en effet pas être conservées pour une durée indéfinie.
La durée de conservation des données ou les critères utilisés pour déterminer cette durée font partie des informations qui doivent être communiquées aux personnes concernées. Dans ces conditions, il incombe au responsable du traitement de déterminer cette durée en amont de la réalisation du traitement.
Dans le cadre de la délivrance de produits particuliers, certaines durées de conservation réglementaires doivent être appliquées.