Délibération n° 2014-273 du 26 juin 2014 autorisant le Conseil national de l’ordre des pharmaciens (CNOP) à mettre en œuvre un traitement automatisé de données à caractère personnel ayant pour finalité la gestion et le suivi des déclarations d’agression effectuées par les pharmaciens qui le souhaitent et l’établissement de statistiques.
Nature: Autre autorisation

(Demande d’autorisation n° 1746724)
La Commission nationale de l'informatique et des libertés,
Saisie par le Conseil national de l’ordre des pharmaciens (CNOP) d’une demande d’autorisation concernant un traitement automatisé de données à caractère personnel ayant pour finalité la gestion et le suivi des déclarations d’agression effectuées par les pharmaciens qui le souhaitent et l’établissement de statistiques;
Vu la Convention n° 108 du Conseil de l’Europe pour la protection des personnes à l’égard du traitement automatisé des données à caractère personnel ;
Vu la directive 95/46/CE du Parlement européen et du Conseil du 24 octobre 1995 relative à la protection des personnes physiques à l’égard du traitement des données à caractère personnel et à la libre circulation de ces données ;
Vu le code de la santé publique, notamment ses articles L. 4223-1 et L. 4231-2 ;
Vu la loi n° 78-17 du 6 janvier 1978 modifiée relative à l’informatique, aux fichiers et aux libertés, notamment ses articles 9-1° et 25-I-3° ;
Vu le décret n° 2005-1309 du 20 octobre 2005 modifié pris pour l’application de la loi n° 78-17 du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés ;
Vu le protocole national visant à renforcer la coopération entre les ordres des professionnels de santé et les ministères de la justice, de l'intérieur et de la santé, en matière de prévention de la violence et de traitement de la délinquance pour la sécurité des professions de santé en date du 20 avril 2011 ;
Vu le dossier et ses compléments ;
Sur la proposition de M. Alexandre LINDEN, commissaire, et après avoir entendu les observations de M. Jean-Alexandre SILVY, commissaire du Gouvernement,
Formule les observations suivantes :
Responsable du traitement
Le Conseil national de l’ordre des pharmaciens (CNOP)
Sur la finalité
Le CNOP projette de mettre en place un dispositif de soutien et d’accompagnement des pharmaciens victimes d’agressions. Par ailleurs, le traitement de données à caractère personnel envisagé permettra au responsable de traitement de suivre l’évolution des agressions dont les pharmaciens sont victimes, grâce à la production de statistiques anonymes. 
Le dispositif précité comprend :
La mise à disposition des pharmaciens qui le souhaitent de fiches de déclarations d’agressions, disponibles sur le site extranet du CNOP,
La mise en place d’un réseau de « référents sécurité » départementaux, conseillers ordinaux en charge de la gestion de la sécurité de leurs confrères, en lien avec les forces de l’ordre à l’échelon départemental. 
La Commission considère les finalités poursuivies comme déterminées, explicites et légitimes au sens de l’article 6-2° de la loi du 6 janvier 1978 modifiée.
Elle estime qu’il y a lieu de faire application des dispositions combinées des articles 9-1° et 25-I-3° de la loi du 6 janvier 1978 modifiée, qui soumettent à autorisation les traitements comportant des données relatives aux infractions, condamnations et mesures de sûreté.
Sur les données traitées
Concernant les pharmaciens, les informations suivantes seront traitées :
Données d’identification (nom, prénom)
Données relatives à leur vie professionnelle (adresse et renseignements, tels que la présence et la situation de caméra de vidéosurveillance sur la pharmacie d’officine ou le lieu où l’agression déclarée s’est produite) ;
Infractions, condamnations et mesures de sûreté (date de l’évènement, lieu de l’agression, catégorisation de l’agresseur (tels que patient, personne inconnue), le motif et le type d’agression (tels que refus de délivrance d’un produit, agression avec violences, vol). 
Concernant les « référents sécurité », leurs noms, prénoms et coordonnées professionnels seront traités.  
La Commission relève qu’outre les données d’identifications, les formulaires de déclarations d’agressions proposés sont principalement composés de volets déroulants. 
Concernant les champs libres permettant au pharmacien victime d’une agression d’en préciser les circonstances, le CNOP met en place, sur son site extranet, un avertissement à destination des déclarants afin de s’assurer qu’aucune donnée ne permettant d’identifier directement ou indirectement le ou les auteurs présumés des faits rapportés. 
Enfin, la Commission note que le CNOP précise que les formulaires ont été élaborés en collaboration avec les services de l’Observatoire national de la délinquance, qui sollicitait notamment de pouvoir disposer de données relatives au type d’agressions. 
La Commission estime que les données traitées sont adéquates, pertinentes et non excessives au regard de la finalité poursuivie, conformément aux dispositions de l’article 6-3° de la loi du 6 janvier 1978 modifiée.
Sur les destinataires
Au sein de l’ordre des pharmaciens, seront destinataires des données :
le référent sécurité et les personnels habilités du conseil régional de l’Ordre territorialement compétent,
et les personnels habilités de la direction de l’exercice professionnel du CNOP et de la section A du CNOP, qui est en charge des questions relatives à la pharmacie d’officine. 
Aucun tiers n’aura accès aux fiches de déclarations d’agression. 
L’observatoire national de la délinquance pourra, le cas échéant, être rendu destinataire de statistiques anonymes établis par le CNOP sur les données collectées et traitées. 
En effet, le CNOP entend établir des statistiques, élaborées par année et par région, afin de suivre l’évolution des agressions dont les pharmaciens seraient victimes et de pouvoir utilement alerter les pouvoirs publics. 
Ces destinataires n’appellent pas d’observation de la part de la Commission.
Sur l’information et le droit d’accès 
Les formulaires de déclarations d’agressions précisent aux pharmaciens que leurs données sont traitées par le CNOP, le caractère facultatif du renseignement du questionnaire, les destinataires des données ainsi que leurs droits et modalités d’exercice de ceux-ci. Les « référents sécurité » seront informés de la mise en place du traitement de données projeté par une mention spécifique présentée sur le site extranet du CNOP. Les droits d’accès, de rectification et d’opposition tels que reconnus par la loi du 6 janvier 1978 modifiée, explicités sur les supports d’information précités, s’exerceront, par courrier ou par courriel, auprès du CNOP.La Commission estime que ces modalités d’information et d’exercice des droits sont suffisantes.
Sur les mesures de sécurité
Le traitement de données à caractère personnel concerne la transmission de documents, des déclarations, depuis les officines vers le CNOP.La transmission des déclarations est faite par courrier, fax ou email. S’agissant de ce dernier moyen, la Commission considère que la confidentialité des données n’est pas parfaitement assurée entre l’expéditeur et le destinataire. Il conviendrait de chiffrer les déclarations avant leur envoi.Compte-tenu de l’hétérogénéité des systèmes déployés dans les officines, la Commission rappelle que des mesures d’authentification ainsi que habilitations doivent être mises en œuvre de manière à restreindre l’accès aux données en tant que de besoin.Dans le cas de l’utilisation d’un fax, il est recommandé que celui-ci soit situé dans un local physiquement contrôlé et accessible uniquement au personnel habilité.L’anonymisation des déclarations doit être réalisée de manière à ce que les statistiques produites à partir de celles-ci ne permettent pas une ré-identification directe ou indirecte des personnes.Enfin la Commission prend acte que la transmission de ces déclarations sera possible via le portail de l’Ordre d’ici deux années. Le moyen pour cette transmission devra garantir la confidentialité des données échangées.Sous réserve des précédentes observations, les mesures de sécurité décrites par le responsable de traitement sont conformes à l’exigence de sécurité prévue par l’article 34 de la loi du 6 janvier 1978 modifiée.La Commission rappelle toutefois que cette obligation nécessite la mise à jour des mesures de sécurité au regard de la réévaluation régulière des risques.
Sur les autres caractéristiques du traitement
Concernant les données relatives aux déclarants, la gestion et le suivi d’une déclaration d’agression ne devraient pas excéder une durée de dix-huit mois à compter de la date de réception de la déclaration. Par ailleurs, le CNOP, notamment lors de l’organisation de la conférence de l’Ordre relative à la démographie des pharmacies qui se tient annuellement, traitera les données par année civile afin de produire les statistiques précitées. La Commission estime que la conservation des données relatives aux déclarants pendant dix-huit mois, ainsi que des données relatives aux « référents sécurité » jusqu’à la fin de leur mandat, est pertinente au regard de la finalité poursuivie par le traitement.
Autorise, conformément à la présente délibération, le Conseil national de l’ordre des pharmaciens (CNOP) à mettre en œuvre le traitement susmentionné.
La Présidente
I. FALQUE-PIERROTIN