L'autorité espagnole de protection des données (AEPD) a aujourd'hui publié une décision de sanction à l'encontre de A.A.A., titulaire d'une officine de pharmacie, comprenant le prononcé d'une amende de 11 000 € pour des manquements liés au traitement de données de santé de résidents de maisons de retraite.

Cette affaire débute par une plainte de la Direction Générale de la Réglementation et de l'Organisation Sanitaire de la Communauté Autonome de Catalogne, signalant de possibles accès et cessions illicites de données de santé ainsi que l'utilisation de moyens de communication électronique non sécurisés.

L’enquête menée par l’autorité a permis de constater :

* Obligation de licéité du traitement (article 6 du RGPD) : L'officine a traité les données de santé de 30 à 60 résidents d'établissements gériatriques pour la délivrance de produits d'incontinence sans pouvoir démontrer l'existence d'une base légale valide. Bien que la pharmacie ait invoqué le consentement des personnes concernées, elle n'a fourni aucun document signé ou daté prouvant ce dernier.

* Obligation d'information des personnes concernées (article 14 du RGPD) : Il n'a pas été démontré que les résidents aient reçu les informations requises concernant le traitement de leurs données personnelles. La pharmacie a affirmé avoir transmis une note d'information mais n'a pu en fournir la preuve.

* Obligation de sécurité du traitement (article 32 du RGPD) : L'autorité a sanctionné un manquement à l'obligation de mettre en place des mesures techniques et organisationnelles appropriées pour garantir la sécurité des données de santé traitées, en lien avec la plainte initiale qui mentionnait l'échange de données par des moyens électroniques non sécurisés.

En conséquence, l’autorité a imposé une amende de 6 600 € à A.A.A., après application des réductions pour reconnaissance de responsabilité et paiement volontaire.