HDS pharmacie officine : vos données sont-elles correctement hébergées ?

Le pharmacien d’officine est l’un des professionnels de santé qui traite le plus de données au quotidien, souvent sans y prêter attention. À chaque délivrance, une information médicale est enregistrée, conservée, parfois transmise. La question de leur hébergement se pose alors avec autant d’acuité que pour un cabinet médical, mais elle reste rarement examinée de près.

Quelles données une officine héberge-t-elle vraiment ?

Derrière le comptoir, le logiciel d’officine accumule un volume considérable d’informations nominatives liées à la santé. On y trouve l’historique des médicaments délivrés à chaque patient, le suivi des traitements chroniques, les ordonnances scannées ou enregistrées, les contre-indications signalées, ainsi que des données administratives rattachées aux assurés relevant de la CAFAT. Ces éléments, pris ensemble, dessinent un portrait médical précis d’une personne. Ils entrent pleinement dans la catégorie des données de santé, ce qui déclenche des obligations spécifiques quant à leur conservation et à leur sécurité. À terme, ces données auront vocation à s’articuler avec le dossier médical partagé calédonien, en cours de construction, dont l’identité patient repose sur le numéro calédonien de santé. Une officine n’est donc pas un simple commerce de détail du point de vue informatique ; elle est dépositaire d’un patrimoine de données particulièrement sensible.

HDS pharmacie officine : où sont stockées vos données ?

La réponse dépend de l’architecture de votre logiciel, et beaucoup de pharmaciens l’ignorent. Trois cas de figure reviennent le plus souvent. Dans le premier, les données restent sur un serveur ou un poste installé dans l’officine, en local : la sécurité repose alors entièrement sur la qualité de l’installation, des sauvegardes et de la protection physique des machines. Dans le deuxième, le logiciel s’appuie sur un serveur distant géré par un prestataire, et c’est là que la nature de cet hébergement devient déterminante. Dans le troisième, l’éditeur propose une solution en ligne où tout est centralisé chez lui ou chez son partenaire d’hébergement. Pour chaque configuration, une question s’impose : qui héberge ces données de santé, sur quelle infrastructure, et selon quelles garanties ?

L’agrément, condition de fond pour héberger des données d’officine

Dès que les données de santé d’une officine sont confiées à un tiers pour leur stockage, cet hébergement relève de l’agrément du gouvernement de la Nouvelle-Calédonie institué par la loi du pays n° 2026-5. Cet agrément local atteste que l’hébergeur applique un niveau d’exigence renforcé en matière de sécurité, de disponibilité et de traçabilité. Il faut souligner un point souvent mal compris : les dispositifs métropolitains de certification ne décrivent pas le régime calédonien. Le cadre applicable ici est bien l’agrément délivré localement, et c’est lui qu’il faut rechercher chez son prestataire. Lorsqu’un éditeur de logiciel d’officine héberge lui-même les données ou les sous-traite, la chaîne complète doit s’inscrire dans ce cadre.

Logiciel d’officine et hébergement : deux questions à ne pas confondre

Le choix d’un logiciel métier et celui de l’hébergement des données sont liés mais distincts. Un même logiciel peut fonctionner en local chez un pharmacien et en mode hébergé chez un autre. Avant de signer ou de renouveler un contrat, il est utile de poser quelques questions précises à son éditeur :

• Où résident physiquement les données ? Sur un poste de l’officine, sur un serveur distant en Nouvelle-Calédonie, ou ailleurs.
• L’hébergement est-il agréé ? Si les données sont confiées à un tiers, ce tiers doit disposer de l’agrément local prévu par la loi du pays n° 2026-5.
• Comment sont gérées les sauvegardes ? Fréquence, emplacement, test de restauration et plan de reprise en cas d’incident.
• Qui peut accéder aux données ? Le cloisonnement des accès et la journalisation des opérations sont des exigences fortes.
• Que prévoit le contrat en cas de changement de prestataire ? La réversibilité des données conditionne votre liberté future.

Ces points recoupent les bonnes pratiques décrites dans nos repères sur la sécurisation des données de santé.

Le cas particulier de l’officine en local

Beaucoup de pharmacies fonctionnent encore avec un logiciel installé sur place, les données restant dans les murs. Cette configuration n’est pas illégale en soi, puisque l’agrément concerne l’hébergement confié à un tiers. Elle reporte toutefois l’entière responsabilité de la sécurité sur le pharmacien lui-même. Un serveur local mal sauvegardé reste exposé à la panne matérielle, au vol, à l’incendie ou au rançongiciel, qui chiffre les fichiers et paralyse l’activité. La continuité de service dépend alors d’une discipline rigoureuse : sauvegardes régulières et externalisées, mises à jour, contrôle des accès physiques et logiques. Pour une structure sans compétence informatique dédiée, ces tâches deviennent vite lourdes, ce qui pousse une partie des officines vers une solution hébergée et agréée.

RGPD et secret professionnel : un double cadre à respecter

L’hébergement des données ne dispense d’aucune des autres obligations qui pèsent sur le pharmacien. Le RGPD s’applique en Nouvelle-Calédonie, et les données de santé y sont traitées comme des données particulièrement protégées. Le pharmacien reste responsable de traitement, même lorsqu’il confie le stockage à un prestataire. En cas de violation de données, la règle de principe prévoit une notification à l’autorité compétente dans un délai de soixante-douze heures. À cela s’ajoute le secret professionnel, qui interdit toute divulgation des informations recueillies dans l’exercice de la profession. Un hébergement sérieux soutient ces obligations par le chiffrement et la traçabilité des accès, adossés à des engagements contractuels clairs sur la confidentialité.

Ce qu’il faut vérifier avant de signer

Au moment de choisir ou de conserver une solution, quelques contrôles évitent de mauvaises surprises. Demandez par écrit où sont hébergées les données et si l’hébergeur dispose de l’agrément calédonien en cours de validité. Faites préciser la fréquence des sauvegardes et la procédure de restauration, idéalement avec un test documenté. Vérifiez que les accès sont nominatifs et journalisés, et que le contrat prévoit la récupération de vos données en cas de changement de fournisseur. Un éditeur qui répond clairement à ces questions montre qu’il maîtrise son sujet ; une réponse floue doit alerter. Le pharmacien engage sa responsabilité, et il a tout intérêt à documenter ces vérifications.

Sources : Congrès de la Nouvelle-Calédonie — loi du pays n° 2026-5 · CNIL — la santé.