« Un patient me demande « tout ce que vous avez sur moi » et veut qu’on efface son historique. Il a le droit ? Et nous, on doit répondre quoi, dans quel délai ? »Sam, préparateur · un jeudi
Il a le droit de demander, et l’officine a l’obligation de répondre, dans un cadre précis : certaines données s’effacent, d’autres doivent légalement être conservées. Le RGPD à l’officine, ce n’est pas un classeur qui dort : c’est le titulaire responsable de traitement, un registre à jour, des durées définies et des droits patients à honorer. Le guide CNIL et Ordre de 2023 a tout balisé ; en voici l’essentiel.
Le socle : qui est responsable, de quoi
Le titulaire est responsable de traitement pour toutes les données de l’officine : délivrances, facturation et SCOR, entretiens, salariés, vidéosurveillance, fidélité parapharmacie. Les hébergeurs et les éditeurs de LGO, dès lors qu’ils accèdent aux données, les hébergent ou les intègrent, sont des sous-traitants : un contrat doit encadrer leurs obligations (hébergement de données de santé certifié compris).
Les quatre obligations concrètes
- Le registre des traitements : la liste écrite de tout ce que l’officine fait des données (finalités, catégories, destinataires, durées, sécurité). Obligatoire, à mettre à jour au fil des nouveautés (téléconsultation, vaccination, newsletter).
- Le DPO (délégué à la protection des données) : la CNIL considère sa désignation en principe nécessaire au-delà de 2,6 millions d’euros HT d’activité annuelle ; en dessous, elle reste recommandée (DPO externe mutualisé possible).
- Les durées de conservation : définies, justifiées et respectées, traitement par traitement. Repère simple pour la vidéosurveillance : 30 jours au maximum, sauf incident en cours.
- L’information des patients : affichage clair et simple sur les traitements et les droits (accès, rectification, effacement, opposition), et un circuit interne pour répondre aux demandes, en vérifiant l’identité du demandeur.
Répondre aux demandes des patients
Droit d’accès : copie des données détenues (historique, factures), sous 8 jours pour les données de santé (2 mois si elles datent de plus de 5 ans), sous un mois en principe pour les autres demandes. Droit de rectification : correction d’une erreur. Droit d’effacement : réel mais pas absolu : les documents à conservation légale (ordonnancier, pièces de facturation) ne s’effacent pas sur demande ; on explique pourquoi, calmement. Toute demande se traite après vérification d’identité, et se trace.
Et quand ça dérape : la violation de données
Ordinateur volé, mail parti au mauvais destinataire, rançongiciel, ordonnancier égaré : c’est une violation de données. Réflexes : documenter dans le registre des violations, évaluer le risque pour les personnes, notifier la CNIL sous 72 heures si le risque existe, informer les patients s’il est élevé. Le RGPD couvre aussi le papier : un carton d’ordonnances perdu est une violation comme une autre.
Le récap au comptoir
| L’obligation | En pratique |
|---|---|
| Registre des traitements | Écrit, complet, mis à jour à chaque nouveau service ou outil. |
| DPO | En principe nécessaire au-delà de 2,6 M€ HT d’activité ; recommandé sinon. |
| Durées de conservation | Définies et documentées par traitement ; vidéosurveillance 30 jours maximum. |
| Violation de données | Registre + notification CNIL sous 72 h si risque ; information des patients si risque élevé. |
Le RGPD s’applique au papier comme au numérique : broyeur pour les documents patients, armoires fermées pour les archives.
Les questions qui reviennent
Le patient peut-il vraiment faire effacer son historique ?
Pour les données sans obligation légale de conservation, oui. Pour l’ordonnancier, les pièces de facturation ou les registres réglementaires, non : la loi impose leur conservation, et on le lui explique simplement.
La carte de fidélité parapharmacie est-elle concernée ?
Oui, c’est un traitement à part entière : consentement, information, durée de conservation, droit d’opposition. Et jamais de croisement entre fidélité et données de santé.
Qui peut accéder au dossier d’un patient dans l’équipe ?
Ceux qui en ont besoin pour la prise en charge, avec des comptes individuels. La curiosité (le dossier d’un voisin, d’une célébrité) est un accès illégitime : c’est une faute, même sans divulgation.
Un contrôle CNIL en officine, ça existe ?
Oui, sur plainte ou sur programme. Registre à jour, durées appliquées, information affichée et contrats sous-traitants signés couvrent l’essentiel de ce qui est vérifié.
La juste doserelu et validé par Joseph Hobekkaya, docteur en pharmacie
Le RGPD n’est pas une contrainte de plus, c’est le prolongement administratif du secret professionnel. Mon kit minimal : le guide CNIL-Ordre dans le classeur qualité, un registre tenu à jour, des durées écrites, et une consigne d’équipe : toute demande d’un patient sur ses données remonte au titulaire le jour même. Le reste suit.
Sources
- CNIL et CNOP, Guide « Le pharmacien d’officine et la protection des données personnelles » (septembre 2023), consulté le 2 juillet 2026.
- Ordre national des pharmaciens, La protection des données personnelles à l’officine (registre, DPO, seuil de 2,6 M€), consulté le 2 juillet 2026.
- CNIL, La CNIL et l’Ordre national des pharmaciens publient un guide RGPD, consulté le 2 juillet 2026.
- Service-public.fr, Vidéosurveillance en entreprise : règles et durées de conservation, consulté le 2 juillet 2026.
Thomas, Inès et Sam sont des personnages pédagogiques fictifs qui font vivre les situations de comptoir.
Repères pour professionnels : vérifier le guide CNIL-CNOP et les référentiels CNIL en vigueur pour votre situation.