RGPD en officine : L’information des personnes

En vertu du principe de transparence prévu par le RGPD, les titulaires d’officine sont tenus de communiquer aux personnes concernées les principales informations relatives au traitement de leurs données.

Pour être loyale et licite, la collecte de données personnelles doit ainsi être accompagnée d’une information complète et précise, notamment par l’emploi de mentions d'information. A ce titre, la CNIL accorde une attention particulière au respect de l’obligation de transparence.

L’information des personnes est donc sensible et figure parmi les principaux enjeux au titre de la conformité au RGPD d’un organisme.

Concrètement, les clients et l’ensemble des personnes concernées par un traitement de données mis en place par la pharmacie doivent se voir a minima communiquer les informations suivantes :

• identité et coordonnées du responsable de traitement ;
• finalités et base juridique du traitement ;
• destinataires ou catégories de destinataires des données ;
• durée de conservation des données ;
• les droits dont disposent les personnes concernées (notamment droits d’accès, de rectification, et de limitation, quelle que soit la base légale du traitement) ;
• caractère obligatoire ou facultatif du recueil des données et conséquences pour la personne en cas de non-fourniture des données ;
• droit d’introduire une réclamation auprès de la CNIL ;
• coordonnées du délégué à la protection des données, le cas échéant.

Ces mentions devront par ailleurs être assorties d’informations supplémentaires en fonction des spécificités du traitement, par exemple en cas de prise de décision automatisée ou lorsque les données recueillies font l’objet d’un transfert de données hors de l’Union européenne.

En pratique, le travail de rédaction des différentes mentions d’information de votre pharmacie peut s’avérer délicat tant les traitements de données mis en œuvre sont multiples et variés. Dans un premier temps, l’information des personnes peut être priorisée de la manière suivante :

• l’information de la clientèle par un affichage au sein de la partie ouverte au public de l’officine : concrètement, il s’agit ici de délivrer les principales caractéristiques applicables aux traitements qui concernent uniquement la clientèle (activité dedélivrance de médicaments, télétransmission, gestion des règlements et de la facturation, tenue de l’ordonnancier et des différents registres prévus par la réglementation …) ;
• la rédaction de mentions d’information pour certains traitements spécifiques : panneau d’information en cas de mise en œuvre d’un dispositif de vidéosurveillance  (voir notre article sur le sujet ici), politique de confidentialité accessible depuis le site internet de l’officine, mention d’information sur le formulaire d’adhésion à un programme de fidélité, etc. ;
• l’information des salariés au sein d’un document unique : en sa qualité de responsable de traitement, l’officine doit également porter à la connaissance de ses salariés l’ensemble des informations relatives aux modalités de traitement de leurs données personnels. Pour ce faire, une notice d’information dédiée pourra être élaborée.

Dans le cadre de ce travail de rédaction, les principes suivants devront être appliqués :

• toujours adapter la manière de délivrer les éléments d’informations en fonction des situations et des supports d’interaction avec les personnes (collecte de données au titre d’un contrat, mise en œuvre d’un dispositif de vidéosurveillance, collecte en ligne, etc.)
  
•  prioriser les éléments d’information sans pour autant délivrer une information incomplète. Il s’agit ici de mettre en évidence les informations les plus importantes concernant le traitement tout en offrant un accès simple aux autres éléments d’information
  
• adapter l’information au contexte du traitement puisque plus celui-ci est sensible, plus la transparence doit être garantie
  
• s’efforcer de délivrer l’information de manière concise et aisément compréhensible
  
• donner une vision globale de l’ensemble des traitements réalisés lorsque c’est opportun (par exemple en prévoyant une page dédiée à la politique de confidentialité sur un site internet ou en rédigeant des notices d’information dédiées aux personnels et à la clientèle).

Enfin, pour vous aider à informer les personnes dont vous traitez les données, la CNIL propose différents exemples de mentions d’information pouvant servir d’illustrations.