Le RGPD : ce qu’il faut retenir !

Qu’est-ce qu’un traitement de données personnelles ?

C’est notamment la collecte, l’enregistrement, l’utilisation de toute information relative à une personne physique identifiée ou identifiable (nom, prénom, date de naissance, numéro de téléphone, numéro de sécurité sociale, empreinte digitale…).

Une donnée relative à la santé physique ou mentale d'une personne physique, y compris la prestation de services de soins de santé, qui révèle des informations sur l'état de santé de la personne est également considérée comme une donnée personnelle.

Il peut ainsi s’agir d’un logiciel métier avec les fichiers patients, le registre du personnel, un logiciel de gestion de la paie, un tableau Excel avec la liste des fournisseurs, une base de contacts des professionnels de santé, une installation de vidéosurveillance …

En revanche, un fichier ne contenant que des coordonnées d’entreprises (nom de l’entreprise, adresse postale, numéro de téléphone standard et un email de contact générique) n’est pas un traitement de données personnelles.

Les obligations à la charge des responsables de traitements

Le responsable de traitement est celui qui décide des finalités et des moyens des traitements.

Pour se conformer au RGPD, les responsables de traitements doivent notamment :

• Recenser tous leurs fichiers contenant des données personnelles et tenir à jour un registre de ces traitements (un modèle de registre  est disponible sur le site de la Commission Nationale de l’Informatique et des Libertés - CNIL)
• Informer les personnes concernées du traitement de leurs données et leur permettre d’exercer facilement leurs droits (voir notamment le Dossier « Respecter les droits des personnes »  et Plus de droits pour vos données  sur le site de la CNIL)
• Garantir la sécurité des traitements (voir notamment le « Guide sécurité des données personnelles »  sur le site de la CNIL)

Plus d’informations sont disponibles sur le site de la CNIL www.cnil.fr  ou par téléphone au 01.53.73.22.22.

La CNIL a néanmoins indiqué que « le 25 mai ne sera pas une date couperet pour les sanctions  » et que, dans les premiers mois, elle contrôlera d'abord la mise en mouvement des entreprises plutôt que leur complète conformité au RGPD.

Qu’en est-il de la désignation d’un DPO pour les pharmacies d’officine ?

La CNIL nous informe avoir reçu plus d’une centaine de désignations de délégués à la protection des données ou DPO provenant de pharmaciens d’officine qui se désignent eux-mêmes DPO.

Le CNOP rappelle que les cas de désignation de DPO sont limitativement énumérés par le RGPD et que les officines ne sont pas concernées du seul fait qu'elles traitent des données. Le DPO doit, en outre, être distingué du responsable de traitement.

Le CNOP apportera prochainement des précisions sur le respect par les pharmaciens du nouveau texte européen sur la protection des données.

La CNIL publiera également des questions-réponses adaptées aux pharmaciens.