Cybersécurité en pharmacie : les mesures à prendre

Une officine concentre des données de santé, des moyens de paiement et des postes situés dans des zones ouvertes au public. Le référentiel de la Commission nationale de l'informatique et des libertés (CNIL) pour la gestion des officines liste les mesures attendues du pharmacien ; le dispositif national Cybermalveillance.gouv.fr en résume l'essentiel pour toute petite entreprise. Voici les mesures qui comptent le plus, puis ce que l'arrivée d'outils d'IA ajoute.

Les mesures du référentiel de la CNIL pour l'officine

Le référentiel invite le pharmacien à adopter les mesures suivantes, ou à justifier de mesures équivalentes :

Les accès

1. Un identifiant propre à chaque personne de l'équipe, pas de compte partagé au comptoir.
2. Pour l'accès aux données de santé, une authentification forte : carte de professionnel de santé (CPS), strictement personnelle, ou carte de professionnel en formation pour les étudiants, ou un autre moyen à deux facteurs.
3. Des profils d'habilitation qui distinguent données administratives et données médicales, et la suppression des accès devenus inutiles.
4. Une journalisation des accès aux données de santé, dont l'équipe est informée.

Les postes et le matériel 5. Un verrouillage automatique de session après cinq minutes d'inactivité pour les postes situés dans les zones ouvertes au public. 6. Des écrans protégés des regards et une « zone de confidentialité » autour des postes de dispensation. 7. Le chiffrement des supports de stockage des équipements utilisés dans les lieux accessibles au public, et des clés USB ou disques externes. 8. Peu de données de santé sur les tablettes et téléphones, et aucun usage personnel des appareils professionnels.

Le réseau 9. Pas d'appareil non professionnel connecté au réseau de l'officine. 10. Un Wi-Fi pour les clients qui ne permet pas d'accéder au réseau interne.

La continuité 11. Des sauvegardes régulières, stockées dans un endroit sûr. 12. Les interventions de maintenance enregistrées et encadrées, et l'effacement des données de tout matériel mis au rebut.

Les prestataires 13. Des clauses spécifiques dans les contrats : description du traitement, objectifs de sécurité, gestion des incidents, restitution et destruction des données.

Les réflexes de Cybermalveillance.gouv.fr

La page des dix mesures essentielles du dispositif (mise à jour le 27/10/2026) insiste notamment sur des mots de passe solides et distincts avec double authentification, des sauvegardes régulières sur un support déconnecté après usage, les mises à jour de sécurité, la méfiance face aux messages inattendus (hameçonnage) et la séparation des usages personnels et professionnels.

En cas d'incident

Selon la CNIL, une violation de données, c'est-à-dire une perte de disponibilité, d'intégrité ou de confidentialité, accidentelle ou illicite, doit être notifiée dans un délai de 72 heures si possible après sa constatation, avec une notification complémentaire ensuite si nécessaire. En cas de risque élevé, les personnes concernées doivent aussi être informées. Dans tous les cas, l'incident est documenté en interne. Pour une cyberattaque, la CNIL conseille de déposer plainte.

Préparez la procédure avant d'en avoir besoin : qui appeler (prestataire informatique, éditeur, assureur), qui décide de notifier, où se trouve la dernière sauvegarde.

Ce que l'IA change

De nouveaux points d'entrée. Chaque outil d'IA connecté (répondeur, assistant, extension de navigateur) est un compte de plus, un prestataire de plus, et parfois un accès à vos données. Il entre dans la liste des prestataires à encadrer par contrat.

Des fuites par copier-coller. Un risque très concret ne demande aucune attaque : une personne de l'équipe colle un document dans un outil grand public. La CNIL recommande des comptes professionnels dédiés et l'interdiction de saisir des données personnelles dans ces services : voir IA générative et secret professionnel.

Des messages frauduleux plus crédibles. L'IA permet d'écrire des courriels piégés sans fautes, au nom d'un grossiste, d'un laboratoire ou de l'Assurance maladie. Le réflexe recommandé par Cybermalveillance.gouv.fr reste valable : vérifier par un autre moyen tout message inhabituel, surtout s'il demande un paiement, un changement de coordonnées bancaires ou un identifiant.

Une aide utile aussi. L'IA peut aider à rédiger la procédure en cas d'incident, la charte informatique de l'officine ou un support de sensibilisation pour l'équipe, à partir des textes officiels que vous lui donnez.