Pharmacie : limiter les données du service de livraison

L’officine connaît la prescription du patient ; le transporteur doit savoir où et à qui remettre le paquet. La livraison doit disposer de sa propre vue de données, limitée à la mission logistique. Donner accès au dossier pharmaceutique complet pour faciliter une tournée expose des informations qui ne sont pas nécessaires à cette opération.

La séparation doit être prévue dans l’application, les étiquettes, les messages et les preuves de remise. Elle doit aussi résister aux imprévus : patient absent, adresse corrigée, paquet endommagé ou remplacement du livreur.

Distinguer livraison et dispensation à domicile

Ce guide vise les données de la livraison organisée par une officine et effectuée par un transporteur. La dispensation personnelle au domicile du patient et la vente de médicaments en ligne comportent des règles propres qui doivent être examinées si le service les inclut.

L’Art. L. 5125-25 prévoit que la commande livrée hors de l’officine par une autre personne est remise dans un paquet scellé portant le nom et l’adresse du client. Les autres dispositions de cet article encadrent également le circuit des commandes ; une organisation correcte des données ne valide donc pas, à elle seule, tout modèle d’intermédiation commerciale. Code de la santé publique, Art. L. 5125-25.

L’Art. R. 5125-47 précise que le paquet doit être opaque, au nom d’un seul patient, avec une fermeture permettant au destinataire de vérifier qu’un tiers n’a pas pu l’ouvrir. Le pharmacien veille aux conditions de transport et à la mise à disposition des explications et recommandations pour le patient, selon l’Art. R. 5125-48. L’Art. R. 5125-49 exige la bonne conservation pendant le transport, sans stockage, et la livraison directe au patient. Règles de livraison à domicile.

Ces exigences ont des conséquences pratiques : ne remplacez pas le nom et l’adresse requis sur le paquet par un simple code au nom de la confidentialité. Réduisez plutôt les informations supplémentaires. Le nom du médicament n’a pas à devenir un champ de la feuille de tournée pour reconnaître le colis.

Définir deux vues et contrôler les données réellement transmises

Le guide RGPD de la pharmacie présente l’organisation générale de l’officine. Pour la livraison, partez du principe de minimisation de l’Art. 5(1)(c) et reliez chaque champ au besoin du destinataire. RGPD, chapitre II.

Cette répartition est une proposition à adapter au service, pas un schéma réglementaire exhaustif. Elle ne dispense pas de vérifier les règles particulières du produit transporté. Une restriction de transport doit parvenir à celui qui doit la respecter, mais sous une forme opérationnelle.

Vérifiez l’export envoyé au prestataire. Masquer une colonne à l’écran du livreur ne suffit pas si l’ordonnance demeure dans le fichier transmis ou téléchargeable. Contrôlez les pièces jointes, les champs cachés et les commentaires libres, autant que la vue principale.

Écrire des consignes qui n’exposent pas le diagnostic

Une consigne « appeler avant d’arriver » n’exige pas de mentionner la raison médicale. Un code d’accès au bâtiment ne doit pas être conservé comme une information permanente si son usage n’est plus nécessaire. L’historique des consignes doit être limité, particulièrement lorsqu’il contient des éléments personnels ajoutés au fil des échanges.

Exemple entièrement fictif. Une ligne de tournée P28 contient l’identité du destinataire, l’adresse, le contact prévu et une remarque décrivant sa pathologie. L’officine remplace cette remarque par la consigne utile « appeler à l’arrivée ». Les instructions de transport nécessaires sont définies séparément par le pharmacien. La prescription reste dans le circuit pharmaceutique.

La correction porte sur le fichier source et sur la copie préparée pour le prestataire. L’équipe vérifie que l’ancienne remarque n’est pas reprise dans le message automatique envoyé au livreur. Le responsable de tournée conserve ainsi une consigne exploitable, sans détail sur la maladie.

La référence P28 ne rend pas la livraison anonyme : le prestataire possède encore un nom et une adresse. Même sans médicament affiché, le contexte peut révéler des informations de santé. L’analyse de l’Art. 9(2) reste donc nécessaire lorsque les données transmises relèvent de cette catégorie.

Encadrer le prestataire selon son rôle réel

Identifiez qui détermine les finalités et les moyens essentiels de chaque opération. Un prestataire qui traite les données pour le compte de l’officine selon ses instructions relève du cadre de sous-traitance. Ses éventuels traitements propres doivent être analysés séparément ; le mot « transporteur » ne suffit pas à attribuer un rôle unique.

L’Art. 28(3) impose un contrat pour la sous-traitance. Il doit notamment encadrer les instructions, la confidentialité, la sécurité, les autres sous-traitants, l’assistance et le sort des données à la fin du service. L’Art. 28(1) exige des garanties suffisantes. RGPD, chapitre IV.

Le dossier doit articuler la base légale de l’Art. 6(1) avec l’exception applicable de l’Art. 9(2) lorsque la santé est révélée. Une clause de confidentialité ne fournit pas cette exception. Les conditions de l’Art. 9(2)(h) et de l’Art. 9(3), lorsqu’elles sont invoquées pour le circuit de soins, doivent être vérifiées au regard de l’organisation effective.

Demandez au prestataire de décrire les destinataires, les accès des livreurs, les lieux d’hébergement et les éventuels accès depuis des pays tiers. Une réutilisation des coordonnées pour son propre marketing ne découle pas de la mission logistique. Elle nécessite une analyse distincte et ne doit pas être cachée dans une autorisation générale de livraison.

Préparer les absences et les remises impossibles

Définissez avec le pharmacien une conduite à tenir avant le départ. Le livreur doit savoir qui joindre lorsque le patient ne répond pas, lorsque l’adresse est erronée ou lorsque le paquet semble ouvert. Le statut de l’application doit permettre de signaler l’impossibilité de remise sans inventer une livraison réussie.

Dans le circuit de livraison directe décrit par l’Art. R. 5125-49, ne laissez pas le livreur improviser un dépôt chez un voisin ou dans un point relais. L’officine doit organiser la suite compatible avec les exigences pharmaceutiques et les conditions de conservation. Une préférence logistique exprimée dans un commentaire ne neutralise pas ces exigences.

La procédure de retour ou de nouvelle présentation doit permettre au pharmacien de décider des suites appropriées. Le livreur ne décide pas seul qu’un paquet endommagé peut être remis après avoir été refermé. Le suivi doit distinguer l’anomalie de transport, la décision pharmaceutique et la communication au patient.

Les consignes d’urgence doivent être accessibles au remplaçant qui effectue la tournée. En revanche, lui transmettre l’archive des anciennes livraisons de tous les patients ajoute un accès sans rapport avec sa mission du jour.

Choisir une preuve de remise proportionnée

Définissez ce que la preuve doit établir : quelle livraison, quel moment, quel destinataire vérifié et quelle anomalie éventuelle. La modalité choisie doit être adaptée au service et aux contestations envisageables. Une case « livré » isolée peut être insuffisante ; cela ne signifie pas qu’une photographie de chaque patient soit nécessaire.

Une photo peut montrer le logement, des personnes, le contenu du paquet ou d’autres documents. Examinez si un statut horodaté associé à une confirmation appropriée fournit la preuve utile avec moins de données. Si un visuel est retenu, justifiez son besoin, son cadrage, ses destinataires et sa durée.

Le guide des étiquettes de colis aide à limiter ce qui reste visible. Distinguez l’enveloppe de transport des informations destinées au patient à l’intérieur : réduire les données exposées au livreur ne doit pas supprimer les explications pharmaceutiques nécessaires au destinataire.

Fixer conservation, accès et information du patient

La durée des données de tournée n’est pas automatiquement celle des prescriptions ou des documents que l’officine doit conserver. L’Art. 5(1)(e) impose une limitation au nécessaire. Séparez les informations utiles pendant la mission, les preuves justifiées et l’éventuelle archive liée à une contestation.

Après la tournée, fermez les accès devenus inutiles. Le livreur ne doit pas constituer un carnet personnel de patients. Le contrôle des exports concerne aussi les listes imprimées, téléchargées et copiées dans une messagerie. Une suppression dans l’application ne retire pas ces copies.

Informez le patient du fonctionnement réel : données confiées au service, finalités, fondements, destinataires, conservation et exercice des droits, selon les Art. 13 ou 14 applicables. Le contrat du prestataire ne remplace pas cette information. Prévoyez un contact permettant de corriger une adresse ou de signaler une erreur sans transmettre une nouvelle copie d’ordonnance inutile. RGPD, chapitre III.

Vérifier le service avant la première tournée

L’officine peut utiliser ces questions comme critères de préparation :

• Chaque champ transmis répond-il à un besoin précis du transporteur ?
• Le paquet et l’étiquette respectent-ils les exigences pharmaceutiques ?
• Le livreur accède-t-il seulement aux livraisons qui lui sont confiées ?
• L’absence, l’adresse erronée et le paquet endommagé ont-ils un circuit d’alerte ?
• La preuve retenue évite-t-elle les images et détails inutiles ?
• Les copies locales et les données conservées ont-elles un sort défini ?
• L’officine peut-elle obtenir rapidement les informations sur un incident ?

Si des données sont perdues ou remises à un tiers non autorisé, limitez l’exposition et qualifiez la violation. Le sous-traitant avertit le responsable sans délai indu selon l’Art. 33(2). L’officine examine la notification à l’autorité au titre de l’Art. 33(1) et, en cas de risque élevé, l’information du patient selon l’Art. 34. L’analyse pharmaceutique des conséquences de la mauvaise remise doit aussi être menée.

Ce qu’il faut retenir

• Séparez les données de dispensation de la vue logistique.
• Respectez le paquet scellé et les mentions requises, sans ajouter le traitement.
• Encadrez les rôles, les anomalies, les preuves et le sort des copies.

FAQ

Le transporteur doit-il recevoir l’ordonnance ?

Pas par défaut. Déterminez les informations nécessaires à sa mission ; l’accès général à la prescription ne se déduit pas de la livraison.

Un code de livraison suffit-il à anonymiser la tournée ?

Non, si le prestataire dispose encore du nom, de l’adresse ou d’une correspondance permettant d’identifier le patient.

Peut-on conserver toutes les photos de remise ?

Leur nécessité, leur contenu et leur durée doivent être justifiés. Comparez les moyens de preuve moins intrusifs avant de systématiser les images.

Recevez nos analyses pratiques sur la conformité RGPD dans la newsletter.

Thiébaut Devergranne, docteur en droit et fondateur de donneespersonnelles.fr, travaille depuis plus de vingt ans sur le droit des technologies et la protection des données.