L'Agence Espagnole de Protection des Données (AEPD) a publié une décision de sanction à l'encontre de la Direction Régionale de la Santé de Castille-et-León (GRS) pour des manquements en lien avec un système de communication non sécurisé pour la gestion des prescriptions médicales. Cette affaire débute par une plainte signalant qu'une pharmacie collectait des données personnelles et de santé de patients dans des fichiers "Excel" et les transmettait par courriel non sécurisé pour le renouvellement de prescriptions médicales.

L’enquête menée par l’autorité a permis de constater :
* Obligation de protection des données dès la conception et par défaut (article 25 du RGPD) : La GRS a mis en place en 2017 une procédure permettant aux pharmacies de communiquer des incidents, notamment des renouvellements de médicaments, aux centres de santé par courriel. Ce système, qui impliquait la transmission de données de santé non chiffrées, a coexisté avec un module de communication sécurisé intégré au système de prescription électronique disponible depuis mars 2020. L'autorité a estimé que le maintien de ce canal de communication parallèle et non sécurisé, sans analyse de risques préalable ni mesures techniques et organisationnelles appropriées, constituait une négligence dans la conception du traitement.

* Obligation de tenir un registre des activités de traitement (article 30 du RGPD) : Sollicitée par l'autorité pour fournir l'entrée correspondante du registre des activités de traitement pour ce système de communication par courriel, la GRS n'a pas fourni l'information. Elle a justifié cette absence en indiquant que la procédure n'était plus en vigueur au moment de la demande, ce qui n'a pas été considéré comme une excuse valable par l'autorité.

* Obligation de réaliser une analyse d'impact relative à la protection des données (article 35 du RGPD) : Le traitement à grande échelle de catégories particulières de données, telles que les données de santé, exige la réalisation d'une analyse d'impact. L'autorité a demandé à la GRS de produire cette analyse pour le système de communication par courriel. La GRS n'a pas été en mesure de la fournir, manquant ainsi à son obligation d'évaluer en amont les risques élevés que ce traitement faisait peser sur les droits et libertés des patients.

En conséquence, l’autorité a déclaré que la Direction Régionale de la Santé de Castille-et-León avait enfreint les articles 25, 30 et 35 du RGPD.
En outre, l’autorité a rappelé à l'entité son obligation de s'assurer de la suppression effective par les pharmacies collaboratrices de toutes les données personnelles traitées dans le cadre de cette procédure.