Protection des données et vidéoprotection en officine : Quelles sont les règles ?

Si l’équipement des commerces en caméras de surveillance est aujourd’hui très largement répandu, la réglementation demeure souvent méconnue.

D’abord, tout dispositif de vidéosurveillance ou de vidéoprotection constitue un traitement de données à caractère personnel et ne peut donc être mise en œuvre que pour répondre à un objectif légitime et légal. En outre, la mise en œuvre d’un tel dispositif doit être strictement encadrée pour garantir une utilisation respectueuse de la vie privée.

Ensuite, les normes applicables sont variables puisque le régime juridique diffère selon la nature des lieux filmés : on utilise ainsi le terme de « vidéoprotection » pour les dispositifs filmant la voie publique ou les lieux ouverts au public tandis que l’expression « vidéosurveillance » renvoie aux dispositifs mis en œuvre dans les lieux privés ou fermés.

Dans le cadre de l’installation de caméras au sein d’une officine, ces deux régimes juridiques pourront coexister dès lors que des images sont enregistrées à la fois dans la partie ouverte au public de la pharmacie et dans les locaux réservés aux salariés.

La vidéoprotection

Conformément aux dispositions de l’article L. 251-2 du code de la sécurité intérieure, l’enregistrement d’images dans les lieux et établissements ouverts au public est autorisé dès lors qu’il existe un risque avéré d'agressions ou de vols.

Toujours en vertu du code de la sécurité de la sécurité intérieure, la mise en œuvre d’un dispositif de vidéoprotection est néanmoins soumise à l’autorisation du préfet du département après avis d’une commission départementale.

La demande d’autorisation peut être effectuée directement en ligne ou par l’intermédiaire du formulaire suivant.

La vidéosurveillance

A l’inverse, l’installation de caméras filmant les zones privées de l’officine (réserve, locaux dédiés au personnel, lieux de stockage) n’est pas soumise à l’accomplissement de formalités déclaratives.

Cette absence de formalités préalables ne saurait toutefois signifier une diminution du niveau de protection requis puisqu’un tel système doit impérativement respecter la vie privée des salariés ; la CNIL et le juge judiciaire font ainsi preuve d’une vigilance particulière en la matière et la jurisprudence est abondante.

Ainsi, l’installation d’un dispositif de vidéosurveillance dans les locaux non accessibles au public d’une officine n’est légale que lorsque cette mesure est justifiée par un intérêt légitime et qu’elle demeure proportionnée au but recherché.

La mise en œuvre d’un tel dispositif doit donc répondre à un impératif de sécurité précis qui ne pourrait être satisfait par des mesures de sécurité moins intrusives.

L’enregistrement d’images dans le but de contrôle l’activité professionnelle des salariés s’avère ainsi prohibé et le placement sous surveillance des postes de travail ne peut être admis qu’en cas de risque particulier, risque au demeurant difficile à mettre en avant dans le cadre d’une officine.

Ces considérations doivent également être appliquées au titre de la mise en œuvre d’un dispositif de vidéoprotection filmant les zones de l’officine ouvertes au public puisqu’en pareil cas, la seule finalité admise est la protection des biens et des personnes.

Il convient donc d’être particulièrement vigilant quant à l’orientation de chaque caméra et veiller à ne capter aucune image donnant sur la voie publique sous peine de voir le dispositif requalifié comme un réseau de vidéoprotection soumis à l’autorisation du préfet.

Enfin, les instances représentatives du personnel devront être informées et consultées avant toute installation de caméras sur un lieu de travail.

Appréhender le cycle de vie des données à partir de leur collecte jusqu’à leur effacement ou leur anonymisation définitive s’avère ainsi indispensable. Celui-ci se compose de trois phases principales :

• la conservation des données en base active qui correspond à la période d’utilisation des données nécessaires à l’accomplissement de l’objectif poursuivi par leur traitement ;
• l’archivage intermédiaire qui consiste en la conservation des données après que celles-ci aient rempli leur rôle initial pour répondre à une obligation légale ou lorsque leur conservation est justifiée par des impératifs juridiques ou administratifs ;
• l’archivage définitif qui n’est cependant pas applicable aux pharmacies puisque réservé aux seules archives publiques.

Pour les officines, le code de la santé publique impose par ailleurs des durées de conservation très variables d’un document à l’autre. Il en est notamment ainsi :

• des copies d'ordonnance de médicaments relevant de la réglementation des stupéfiants qui doivent être conservées 3 ans ;
• du registre de délivrance ou des documents liés à la comptabilité de l’officine qui nécessitent d’être conservés 10 ans ;
• du registre des médicaments dérivés du sang qui doit être accessible pendant 40 ans.

Le titulaire de l’officine devra donc déterminer les différentes durées de conservation au regard de la réglementation applicable, de la nature des données traitées et de la finalité des différents traitements ; tout l’enjeu étant de veiller à la fois au respect du principe de limitation et aux durées de conservation des documents et des données prévues par le code de la santé publique.

Vous pourrez alors porter au sein de votre registre des activités de traitement les durées de conservation retenues pour chaque traitement ainsi que les explications des choix réalisés lorsqu’une durée de conservation a été déterminée en l’absence d’obligation légale en lien avec le traitement envisagé.

Surtout, vous devrez pouvoir être en mesure de démontrer que :

• les personnes concernées sont informées des différentes phases de conservation de leurs données ;
• la suppression des données est effective une fois la durée de conservation expirée ;
• l’ensemble des mesures de sécurité utiles pour garantir la bonne conservation des données sont mises en œuvre (système d’habilitations, mesures de traçabilité ...).