(Demande d’autorisation n° 1604337)
La Commission nationale de l’informatique et des libertés ;
Saisie par le Conseil National de l’Ordre des Pharmaciens d’une demande d’autorisation concernant un traitement automatisé de données à caractère personnel ayant pour finalité la gestion et le suivi du contentieux disciplinaire, du contentieux du contrôle technique de la sécurité sociale et des procédures administratives par l’Ordre ;
Vu la Convention n° 108 du Conseil de l’Europe pour la protection des personnes à l’égard du traitement automatisé des données à caractère personnel ;
Vu la directive 95/46/CE du Parlement européen et du Conseil du 24 octobre 1995 relative à la protection des personnes physiques à l’égard du traitement de données à caractère personnel et à la libre circulation de ces données ;
Vu le code de la santé publique, notamment ses articles L. 4234-1 à L.4234-10, R.4234-1 à R.4234-33, L.4235-1 et R.4235-1 à R.4235-77;
Vu la loi n° 78-17 du 6 janvier 1978 modifiée relative à l’informatique, aux fichiers et aux libertés, notamment ses articles 9-I et 25-I-3° ;
Vu le décret n° 2005-1309 du 20 octobre 2005 modifié pris pour l’application de la loi n° 78-17 du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés ;
Vu le dossier et ses compléments ;
Sur la proposition de M. Jean MASSOT, commissaire et après avoir entendu les observations de  Jean-Alexandre SILVY, commissaire du Gouvernement ;
Formule les observations suivantes :
Sur le responsable du traitement
Le Conseil National de l’Ordre des Pharmaciens (CNOP)
Sur la finalité
La finalité du traitement est d’assurer la gestion et le suivi du contentieux disciplinaire, du contentieux du contrôle technique de la sécurité sociale et des procédures administratives par l’Ordre. Dans le cadre de ses missions, le CNOP est destinataire de plaintes notamment en matière déontologique, d’exercice professionnel et de contrôle technique de la sécurité sociale. Par ailleurs, le CNOP instruit, le cas échéant, les recours contre ces décisions administratives.
Le traitement de données à caractère personnel dénommé « GREFFE » a vocation à répondre à l’objectif d’efficacité, de suivi et de gestion des procédures dont le CNOP a à connaitre au titre de ses missions strictement encadrées par le code de la santé publique et le code de la sécurité sociale.
Dans ce contexte, la Commission considère qu’il y a lieu de faire application des articles 25-I-3° et 9-1°de la loi du 6 janvier 1978 modifiée qui soumettent à autorisation les traitements de données relatives aux infractions, condamnations et mesures de sûreté des personnes habilitées à les mettre en œuvre.
La Commission considère les finalités poursuivies comme déterminées, explicites et légitimes.
Sur les données traitées
Concernant les parties à la procédure, les données faisant l’objet d’un traitement sont les suivantes :
- les données d’identification des personnes intéressées par les procédures (nom, prénom, adresse professionnelle ou personnelle, date et lieu de naissance, nationalité, lieu d’exercice professionnel),
- les données relatives à leur vie professionnelle (diplômes, formations, date d’inscription à l’Ordre, parcours professionnel, le chiffre d’affaire de l’officine du pharmacien le cas échéant),
- les données relatives à la gestion et au suivi des  procédures en cours et passées (griefs, numéro de l’affaire, pièces du dossier, étapes de la procédure telles que les dates de saisine, d’audience, les mesures d’instruction, les décisions rendues),
- les données relatives aux infractions et condamnations et les données de santé,  issues des pièces de procédures versées au dossier telles que les pathologies, les affections et données relatives aux soins.
Concernant les auxiliaires de justice et membres des juridictions et conseils, les données traitées sont les données d’identification (nom, prénom, profession, coordonnées professionnelles, données d’identification auprès de l’Ordre des avocats compétent et des juridictions, telles que le numéro de toque pour les avocats).
Concernant les témoins, les données traitées sont les données d’identification (nom, prénom, date et lieu de naissance, documents justifiant l’identité, coordonnées personnelles ou professionnelles), des données relatives à leur vie professionnelle, le témoignage, et les éventuels liens de parenté, de subordination, de collaboration avec une des parties.
Les données traitées sont adéquates, pertinentes et non excessives au regard de la finalité poursuivie, conformément aux dispositions de l’article 6-3° de la loi du 6 janvier 1978 modifiée.
Sur les destinataires
Les destinataires des données sont :
-  les parties à la procédure et leurs représentants,
- les personnels dûment habilités des Conseils régionaux, centraux et national de l’Ordre des Pharmaciens (ceux assurant  le suivi du Tableau de l’Ordre, les contentieux disciplinaires et le contrôle technique de la sécurité sociale et des affaires administratives) ;
-  les magistrats présidant les chambres disciplinaires.
Cette liste de destinataires n’appelle pas d’observation de la part de la Commission.
Sur l’information et le droit d’accès
Les pharmaciens inscrits au tableau sont informés par un courrier qui leur est adressé personnellement par le CNOP.
Les formulaires de demandes d’inscription à l’Ordre des pharmaciens comprendront une note d’information spécifique relative au traitement « GREFFE ».
Une information sera délivrée par voie d’affichage dans les greffes de l’Ordre et sur le site Internet du CNOP.
Les droits d’accès et de rectification, tels que reconnus par la loi du 6 janvier 1978 modifiée, explicités sur les supports d’information précités, s’exerceront auprès du CNOP par courrier adressé au 4 avenue Ruysdaël-75379 Paris cedex 08 ou par courriel (secretariat-daf@ordre.pharmacien.fr). Enfin, les personnes, conformément à l’article 32 de la loi précitée, auront la possibilité d’exercer leur droit d’opposition, pour motif légitime, au traitement de leurs données à caractère personnel auprès des services exposés ci avant.
Ces modalités d’information et d’exercice des droits sont suffisantes.
Sur les mesures de sécurité
Concernant les modalités d’accès aux données, l’authentification des utilisateurs de la base s’effectue au moyen d’un mot de passe d’une taille de huit caractères, composé de trois caractères différents (minuscules, majuscules, chiffres ou caractères spéciaux). Celui-ci devra être changé tous les six mois.
L’authentification des administrateurs de la base doit se faire au moyen d’un mot de passe d’une taille minimale de dix caractères, composé d’au moins trois caractères différents (minuscules, majuscules, chiffres ou caractères spéciaux), changé tous les six mois.
L’authentification des utilisateurs respecte les recommandations de la Commission en la matière et l’ensemble des connexions des personnes habilitées sont tracées. La Commission rappelle que les permissions d’accès doivent être supprimées pour tout utilisateur n’étant plus habilité.
Une méthode de chiffrement des données doit être mise en œuvre afin de garantir la confidentialité des données conservées sur les serveurs, contenant notamment des données sensibles. A défaut d’une telle méthode, des mécanismes renforcés de journalisation  assurent la traçabilité complète des actions des utilisateurs et des administrateurs sans possibilité de modifier le journal des traces.
La transmission des données s’effectue à travers des réseaux distants interconnectés par VPN, présentant un niveau de sécurité suffisant. Toute évolution du traitement de données, et notamment des modalités d’accessibilité des données, sera présentée à la Commission qui s’assurera du niveau de sécurité mis en place.
Les autres mesures de sécurité, tant physiques que logiques, n’appellent pas d’observation de la Commission.
Sur les autres caractéristiques du traitement
Les données traitées seront conservées pendant toute la durée de la vie professionnelle du pharmacien intéressé par la procédure et archivées à compter de la cessation d’exercice du professionnel conformément aux dispositions légales et réglementaires applicables.
Autorise, conformément à la présente délibération, le Conseil National de l’Ordre des Pharmaciens à mettre en œuvre le traitement susmentionné.
La Présidente
Isabelle FALQUE-PIERROTIN