L’ouverture des Dossiers Pharmaceutiques dans le viseur de la CNIL

Par Stéphane ASTIER, Avocat à la Cour - le 23 novembre 2016

Le 12 octobre 2016, la CNIL a indiqué avoir été saisie de plusieurs plaintes suite à l'ouverture de dossiers pharmaceutiques (DP) sans le consentement de la personne concernée. Loin de remettre en cause la constitution d'un tel fichier ( 38 millions de DP actifs en 2016) dont elle reconnaît l'intérêt, la Commission rappelle l'importance du caractère facultatif de l'inscription et l'impérieuse nécessité de recueillir le consentement du patient suivant les impératifs de la loi.

Ce rappel à l'ordre vient rappeler l'importance de porter la plus grande attention au cadre législatif encadrant tout traitement de données de santé, cadre qui vient d'être renforcé par le Règlement européen 2016/679 du 27 avril 2016 relatif à la protection des données à caractère personnel.

Quelles sont les caractéristiques du DP ?

Il convient ici de rappeler que le DP est un traitement placé sous le contrôle du Conseil National de l'Ordre des Pharmaciens (CNOP). Chaque assuré social qui le souhaite peut être inscrit dans ce traitement via son pharmacien.

Grâce à ce fichier les professionnels de santé habilités ( pharmaciens en officine ou en établissements de santé, médecins prenant en charge le patient en établissement de santé) disposent d'un accès à un historique de quatre mois des médicaments délivrés au patient. La finalité de ce traitement est notamment de permettre de déceler les risques d'interactions médicamenteuses et des dangers en résultant.

Depuis septembre 2016, le DP permet également aux pharmaciens d'accéder aux informations sur les vaccins délivrés aux Patients au cours des 21 dernières années, une telle extension ayant pour finalité la nécessité de prévenir les patients en cas de rappel de vaccins à effectuer.

Quelle base légale ?

La création du DP est visée à l'article L.1111-23 du Code de santé public qui dispose notamment :

Afin de favoriser la coordination, la qualité, la continuité des soins et la sécurité de la dispensation des médicaments, produits et objets définis à l'article L. 4211-1, il est créé, pour chaque bénéficiaire de l'assurance maladie, avec son consentement, un dossier pharmaceutique.

Sauf opposition du patient quant à l'accès du pharmacien à son dossier pharmaceutique et à l'alimentation de celui-ci, tout pharmacien d'officine est tenu d'alimenter le dossier pharmaceutique à l'occasion de la dispensation. Dans les mêmes conditions, les pharmaciens.

Le législateur prévoit également que les informations du dossier pharmaceutique utiles à la coordination des soins seront reportées dans le Dossier Médical Partagé (DMP), afin de favoriser la prévention, la coordination, la qualité et la continuité des soins.

Quels droits pour les patients ?

Aujourd'hui, 99,8 % des pharmacies françaises sont raccordées au DP. Or, une pratique dénoncée aujourd'hui a consisté à ouvrir des DP au nom des Patients lors de la remise de la carte vitale à des fins de remboursement.

Pour être légales ces ouvertures auraient dû respecter les principes suivants détaillés par la CNIL :

• Après avoir recueilli l'accord oral du patient à la création du dossier pharmaceutique, le pharmacien doit lui remettre, au moment de sa création,une brochure pour l'informer du fonctionnement du dossier pharmaceutique et de ses droits.
• Une "attestation de création d'un dossier pharmaceutique " éditée sur format papier est obligatoirement remise à l'intéressé par le pharmacien.
• Si le patient refuse l'ouverture d'un DP, son refus est consigné. Au bout de trois sollicitations, l'ouverture du dossier pharmaceutique ne doit plus lui être proposée.

Pour assurer la légalité du traitement, il est également impératif de placer le patient dans la situation de refuser qu'un pharmacien ou qu'un médecin consulte son DP ou inscrive certains médicaments. Il est ainsi clairement rappelé par la CNIL que le patient doit garder une totale maîtrise de ses données.

Tout refus sera alors enregistré par le pharmacien ou le médecin dans le portail dédié.

Suivant cette même logique, en justifiant de sa carte vitale et d'une pièce d'identité, le patient doit obtenir sur simple demande auprès de toute pharmacie connectée au dispositif, une copie sur support papier des informations contenues dans le dossier pharmaceutique ouvert à son nom ( des frais de reproduction pourront être demandés par le pharmacien).

A l'instar de ce droit d'accès, le patient dispose également d'un droit de rectification permettant au pharmacien, sur demande du patient, de modifier toute donnée inexacte ou périmée.

Enfin, et ce point est remarquable, le patient dispose d'un droit de se voir communiquer les différentes traces d'interventions effectuées sur son DP aux fins de vérifier les consultations, les mises à jours, la clôture ou encore l'effectivité de ses demandes de rectification. Pour faciliter ce contrôle, le CNOP a mis en place sur son site un formulaire dédié permettant d'interroger directement l'hébergeur.

Qu'il s'agisse du Code de la Santé publique, de la loi n°78-17 du 6 janvier 1978 ou du Règlement Européen pour la protection des données, chacun de ces textes instaure un régime de protection spécifique pour les données sensibles au premier rang desquelles figurent les données de santé[1].

Dans ce rappel à l'ordre d'octobre 2016, la CNIL met en exergue l'importance du recueil du consentement lors de la collecte de ce type de données mais également la nécessité de veiller au respect des droits du patient. A cela s'ajoute une obligation de sécurité et de confidentialité des données elle aussi largement renforcée par le Règlement Européen[2].

Fort d'une expertise de plus de vingt ans en droit des nouvelles technologies, bénéficiant d'une triple labellisation CNIL pour ses prestations d'audit de traitements et de formations, le Cabinet HAAS intervient régulièrement dans l'accompagnement des projets e-santé : audit, études d'impact[3], élaboration de l'architecture contractuelle, autant de missions d'assistance destinées à assurer la sécurité juridique de ce type d'activité fortement réglementée[4].

Vous souhaitez en savoir plus sur notre expertise en matière de e-santé ?

[1] http://www.haas-avocats.com/data/e-sante-mecanismes-protection-lintegrite-des-donnees-stockees/

[2] http://www.haas-avocats.com/ecommerce/vie-privee-protection-des-donnees-qui-changer-2016-partie-une-obligation-securite-renforcee/

[3] http://www.haas-avocats.com/data/raisons-mener-une-etude-dimpact/

[4] http://www.haas-avocats.com/ecommerce/cles-pour-reussir-votre-projet-e-sante/

À propos de l'auteur

Stéphane ASTIER Avocat à la Cour - Directeur Pôle NTIC, contrats et concurrence - Expert en pré-diagnostic INPI - Docteur en Droit - DEA Droit Fondamental Européen