Denis Supplisson : « Ces sociétés font fi des questions de sécurité »

Le Quotidien du pharmacien.- La faille relevée chez un intermédiaire entre l’officine et le portail SI-DEP est-elle un incident isolé ?

Denis Supplisson.- Malheureusement ce n’est pas la première fois que ce genre de problème survient. Nous sommes confrontés à des sociétés qui, sous prétexte d’être des start-up et sous couvert de modernité, font fi des questions de sécurité alors qu’il existe des règles très particulières quand on touche à des données sensibles. Leur seul but est de faire de l’argent. Francetest est loin d’être la seule société à proposer ce type de service avec le même niveau de sécurité. Je ne remets pas en question leurs compétences en informatique ; pour eux, créer une plateforme qui fonctionne est assez facile. Ce qui l’est moins c’est de garantir la sécurité des données, et cela demande du temps et de l’argent. Ces personnes ne se rendent pas compte de ce qu’elles font.

Le pharmacien peut-il être tenu responsable en cas de fuite de données ?

Le pharmacien est responsable de traitement, ce qui lui donne certaines obligations comme déclarer systématiquement à la CNIL toutes les données qu’il transmet à une société. En cas de problème, il doit pouvoir prouver sa bonne foi en démontrant qu’il a mis en place une procédure pour s’assurer de la sécurité. Être pharmacien n’affranchit pas des lois. C’est pourquoi le titulaire doit se montrer prudent et vérifier la qualité des intermédiaires avec lesquels il choisit de travailler.

La profession regrette que les éditeurs de logiciels métier ne proposent pas une solution intégrée pour renseigner la plateforme SI-DEP. Ne serait-ce pas la solution au problème ?

C’est un sujet sur lequel nous travaillons avec la Direction générale de la santé (DGS) et l’Agence du numérique en santé (ANS), en particulier sur la façon d’établir une connexion sécurisée, sur le transit de données qui devront être cryptées et sur la mise en place d’une authentification forte, pour s’assurer que toute donnée partant de l’officine ne puisse pas être captée. C’est ce qu’il faut garantir et c’est ce qui coûte cher, en sus d’avoir un système susceptible d’accueillir 22 000 connexions. Nous espérons que cela va se faire, auquel cas nous travaillerons le plus vite possible, mais cela représente un investissement important pour l’État. Le choix lui revient.