Email sécurisé en pharmacie : que dit vraiment la loi en 2026 (RGPD, HDS, déontologie)

---

Lundi matin, 9h. Le comptoir commence à chauffer.

Un patient se présente sans ordonnance papier.

Il a vu son médecin la veille, l'ordonnance est sur son téléphone en photo. Il est pressé, il a son bus à prendre dans dix minutes. Il te tend son écran.

"Vous pouvez me la scanner ?"

Tu regardes l'image. Elle est floue, mal cadrée. Tu lui proposes l'option de repli : qu'il l'envoie à l'adresse email de la pharmacie.

Il sort son téléphone, tape l'adresse qu'il voit sur l'affichette en vitrine, et envoie.

Trente secondes plus tard, l'ordonnance est dans ta boite Gmail.

Tu l'imprimes, tu la scannes dans ton LGO, tu sers le patient. Il repart content.

Tout s'est passé vite, sans friction. Ça paraît trivial.

Sauf que légalement, ce scénario — celui que des milliers d'officines reproduisent chaque jour — engage désormais ta responsabilité sur trois fronts simultanément.

Et depuis le 5 mars 2026, un texte tout neuf en fait une question déontologique directe. Pas seulement administrative. Pas seulement technique. Déontologique.

C'est pour ça que j'ai décidé de mettre à plat tout ce que je sais sur le sujet. Sans langue de bois, sans catastrophisme inutile, avec les vrais chiffres et les vraies solutions.

Parce que la question n'est pas "est-ce que quelqu'un m'a déjà sanctionné pour ça ?" — la réponse est non, pas encore, pas sur ce sujet précis.

La question est : "est-ce que je veux continuer à prendre ce risque quand des solutions existent ?"

---

Ce que la réglementation impose au pharmacien : RGPD, HDS et déontologie

Le pharmacien qui reçoit des ordonnances par email est responsable de traitement au sens du RGPD (art. 4.7). Il doit garantir une sécurité appropriée des données de santé (art. 32). Gmail grand public n'est pas certifié HDS. Les solutions conformes incluent MSSanté + BAL organisationnelle, les formulaires HDS, et Doctolib.

Avant de parler solutions, il faut poser le cadre. Clairement. Sans interprétation.

Les ordonnances sont des données de santé au sens du RGPD.

L'article 9 du RGPD les classe dans les "catégories particulières de données" : celles qui révèlent des informations sur l'état de santé d'une personne physique. Une ordonnance, une attestation de longue maladie, une carte mutuelle avec mentions d'affections : tout ça rentre dans cette case. Le régime de protection est renforcé.

En tant que pharmacien qui reçoit cette ordonnance, tu es responsable de traitement.

C'est l'article 4.7 du RGPD. Pas le patient qui l'a envoyée. Toi. Dès l'instant où tu lis cet email, où tu importes ce fichier, où il reste dans ta boite, c'est toi qui "détermine les finalités et les moyens du traitement." La responsabilité du patient pour l'acte d'envoi ne te décharge pas de tes propres obligations.

Et l'article 32 du RGPD t'impose une sécurité adaptée au niveau de risque.

Pour des données de santé — données "à risque élevé" par définition — le niveau attendu est élevé. Chiffrement en transit, chiffrement au repos, accès contrôlé. Gmail grand public ne remplit aucune de ces conditions de façon certifiée pour toi.

L.1111-8 du Code de la santé publique : la certification HDS.

Cet article L.1111-8 du Code de la santé publique oblige quiconque héberge des données de santé "pour le compte de" tiers à être certifié Hébergeur de Données de Santé (HDS). La certification HDS est délivrée par des organismes accrédités par le COFRAC, pour 3 ans, avec audit annuel.

Un point qui crée souvent de la confusion : la certification HDS cible les hébergeurs tiers, pas le pharmacien lui-même qui gère ses propres données en interne. Si ton LGO est installé sur un serveur local dans ton arrière-boutique, tu n'es pas toi-même soumis à l'obligation d'être certifié HDS. Mais le prestataire cloud qui héberge ton LGO à distance, lui, doit l'être.

Et Gmail dans tout ça ?

Google Cloud et Google Workspace disposent bien d'une certification HDS v2.0 depuis mai 2024. C'est réel, c'est valide. Mais cette certification ne s'applique pas à ton compte Gmail @gmail.com. Elle s'active uniquement si tu as souscrit un abonnement Google Workspace Enterprise ET si tu as signé l'avenant contractuel HDS spécifique avec Google. Sans cet avenant : pas de couverture HDS, quel que soit le datacenter physique utilisé.

Autrement dit : les serveurs physiques de Google peuvent être certifiés HDS, et ton compte Gmail ne l'est pas. C'est la différence entre un hôtel certifié normes accessibilité et une chambre sans ascenseur.

La question du "transit" versus "stockage" : une zone grise réelle.

Des juristes spécialisés ont soulevé une nuance que je veux mentionner honnêtement : techniquement, la certification HDS vise l'hébergement de données "pour le compte de" tiers, pas le simple transit d'un email en réseau. Le Code des postes et communications prévoit d'ailleurs des exemptions pour les copies temporaires liées à la transmission. C'est un argument valide en théorie.

Mais voilà le problème concret : l'email ne fait pas que transiter. Il s'installe dans ta boite Gmail après réception. Il reste là jusqu'à ce que tu le supprimes. Et ce stockage résiduel — même involontaire — constitue un hébergement de fait de données de santé sur une infrastructure sans couverture HDS pour toi.

Par ailleurs, même en admettant la thèse du "transit pur", le RGPD art. 32 s'applique indépendamment : l'email Gmail n'est pas chiffré de bout en bout, les données de santé y circulent sans les garanties attendues pour des données à risque élevé. C'est une violation de l'obligation de sécurité, quelle que soit la façon dont on qualifie le transit.

Pas de jurisprudence française directement applicable sur ce point précis à ce jour. C'est une zone grise réelle, que je présente comme telle.

La position officielle de la CNIL sur les messageries électroniques est claire : "la messagerie électronique ne constitue pas a priori un moyen de communication sûr pour la transmission de données médicales nominatives." Son référentiel CNIL pour les officines de pharmacie (2022) le confirme, tout comme le guide co-produit avec le Conseil national de l'Ordre des pharmaciens en 2023.

Et la suppression de l'email après import dans le LGO ? Elle réduit le risque d'aggravation (accumuler 300 ordonnances dans Gmail est pire qu'en supprimer une après usage). Mais elle ne "guérit" pas rétroactivement la violation commise pendant le temps où la donnée était stockée dans un canal non sécurisé.

---

L'article R.4235-10 du Code de déontologie 2026 : l'angle que personne n'a encore commenté

Le Décret n° 2026-156 du 3 mars 2026 a publié au Journal officiel du 5 mars 2026 la nouvelle version du Code de déontologie des pharmaciens.

C'est du droit nouveau. Pas encore de jurisprudence. Pas encore de commentaire doctrinal abondant. Mais le texte est là, il est opposable, et son article R.4235-10 change directement la donne sur la question de la messagerie.

Voilà ce que dit l'article, dans son intégralité :

"Le recours aux outils et services numériques par le pharmacien s'effectue dans le respect des règles de déontologie de la profession, des règles d'identification, de sécurité et d'interopérabilité des services numériques en santé définies aux articles L. 1470-1 et suivants, relatives à la qualité de la prise en charge du patient, ni celle des actes professionnels réalisés. Il veille auprès du patient à la qualité de l'utilisation de ces outils et services numériques.

Le pharmacien assure le traitement, la collecte, la protection et la conservation des données personnelles des patients portées à sa connaissance dans le cadre de son exercice professionnel et strictement nécessaires à leur prise en charge, quel qu'en soit le support, dans les conditions prévues par le règlement (UE) 2016/679 du 27 avril 2016 et la loi du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés."

Ce texte est directement opposable aux pharmaciens inscrits à l'Ordre. Voilà ce qu'il impose concrètement.

Premier point : le respect des "règles d'identification, de sécurité et d'interopérabilité des services numériques en santé" définies aux articles L. 1470-1 et suivants du CSP.

Ces articles renvoient au Ségur du numérique en santé et aux standards publiés par l'Agence du Numérique en Santé (ANS) : la PGSSI-S (Politique Générale de Sécurité des SI de Santé), MSSanté, le cadre d'interopérabilité national. Gmail ne figure dans aucun de ces référentiels. La messagerie organisationnelle MSSanté selon le référentiel de l'ANS, elle, a été conçue précisément pour répondre à ces exigences.

Deuxième point : l'obligation de protection et conservation des données patients "dans les conditions prévues par le RGPD".

Ce n'est plus seulement une obligation de droit européen : c'est une obligation déontologique. Ce qui signifie que si tu utilises Gmail pour recevoir des ordonnances, tu engages non seulement ta responsabilité RGPD (CNIL, amende), mais aussi ta responsabilité ordinale (Ordre des pharmaciens, sanction disciplinaire).

Pourquoi c'est plus fort qu'avant ?

Avant ce décret, l'obligation de sécurité numérique était essentiellement un sujet RGPD, géré par la CNIL. L'Ordre des pharmaciens avait peu de prise directe sur ces pratiques numériques. Avec R.4235-10, la déontologie professionnelle absorbe explicitement les obligations numériques. Un pharmacien qui continue d'afficher un @gmail.com sur sa vitrine et d'y recevoir des ordonnances s'expose à une procédure ordinale, en plus des risques RGPD.

Ton adresse email professionnelle est désormais un sujet déontologique direct, au même titre que ton obligation de conseil ou ton devoir de secret professionnel. Ce n'est plus un détail technique à régler avec ton prestataire informatique. C'est une question de conformité à laquelle l'Ordre peut te demander des comptes si un patient porte plainte.

L'article R.4235-5 (secret professionnel) est également pertinent ici : "le secret couvre tout ce qui est venu à la connaissance du pharmacien dans l'exercice de sa profession." Les ordonnances, les pathologies, les traitements chroniques : tout ça circule dans cet email. Et l'article R.4235-11 (dignité de la profession) pourrait théoriquement s'appliquer si l'Ordre considère qu'afficher une adresse Gmail en vitrine "déconsidère la profession."

Je le répète : pas encore de jurisprudence. Mais le texte est là.

---

Les 15 solutions de messagerie sécurisée pour pharmacie : comparatif complet

Je vais passer en revue chaque option disponible aujourd'hui. Sans éluder les inconvénients. Sans prétendre qu'une solution est parfaite quand elle ne l'est pas. Pour chacune, j'indique son statut HDS tel que je l'ai vérifié.

1. MSSanté + Boite aux Lettres Organisationnelle (BAL)

La solution 100% conforme au référentiel ANS. L'infrastructure est gérée par l'ANS sur serveurs souverains, dans le cadre réglementaire PGSSI-S.

Pour que le patient puisse t'envoyer un document, tu dois avoir activé une BAL organisationnelle — la BAL nominative du titulaire ne suffit pas. Le patient utilise ensuite Mon Espace Santé pour rechercher ta pharmacie dans l'annuaire national et lui envoyer le fichier.

Coût réel : entre 45 et 90 euros TTC par an selon les régions. Certaines URPS subventionnent la première année. Ce n'est donc pas gratuit dans tous les cas. Le frein principal : le patient doit avoir activé Mon Espace Santé. En 2025, environ 35% de la population cible. Pour 65% de tes patients, ce canal n'est pas utilisable aujourd'hui.

2. Mon Espace Santé et l'ordonnance numérique SEGUR

Plateforme nationale, infrastructure ANS, conforme par construction. 97% de la population a un profil MES (créé en opt-out depuis 2022). Mais le taux d'activation reste l'obstacle : 35% d'activations réelles.

L'ordonnance numérique au sens SEGUR génère un QR code directement lisible par ton LGO via une plateforme nationale sécurisée. 98% des pharmacies sont techniquement équipées pour les ordonnances émises par des prescripteurs certifiés SEGUR depuis fin 2024. C'est le canal du futur, pas encore le canal du quotidien.

3. Doctolib : HDS via AWS, le débat souveraineté

Certifié HDS, certifié ISO 27001. Les données sont hébergées sur AWS (Amazon Web Services), lui-même certifié HDS. La décision du Conseil d'État de 2021 a validé la licéité de cet hébergement AWS pour Doctolib dans le contexte de la vaccination.

Certaines officines avec un compte Doctolib professionnel peuvent recevoir les ordonnances. Le débat souveraineté persiste : AWS est une société de droit américain, soumise théoriquement au CLOUD Act américain. Aucune sanction CNIL n'a été prononcée sur ce fondement pour Doctolib à ce jour. Tension juridique réelle, risque pratique faible.

4. QR code intra-LGO (Pharmagest, Equasens)

Workflow décrit par des utilisateurs terrain : le pharmacien imprime un QR code unique à son officine. Le patient le scanne, choisit son fichier, le dépose. Un code de sécurité est généré, que le patient communique au comptoir. Le pharmacien entre ce code dans son LGO et récupère le fichier.

La conformité HDS dépend de l'hébergement du service par l'éditeur LGO. Avantage terrain majeur : zéro friction patient, pas besoin de Mon Espace Santé, pas besoin de compte. A confirmer directement avec ton éditeur LGO.

5. Formulaire HDS hébergé + QR code en vitrine (Ordoclic, DocuPharm)

Un QR code affiché sur ta vitrine renvoie vers un formulaire web hébergé sur un serveur certifié HDS. Le patient y dépose son document directement depuis son navigateur, sans compte, sans application. Tu reçois une notification dans ton espace sécurisé.

L'avantage principal : elle sécurise les deux bouts du flux. Le patient ne passe pas par sa boite Gmail. C'est la correction que la solution "email HDS seul" ne peut pas offrir. Coût : généralement sous 50 euros par mois. A vérifier que le fournisseur est bien référencé HDS sur la liste ANS avant de signer.

6. Maiia (Phealing / groupe Cegedim)

Le CEO de Phealing affirme une certification "HDS français." Cette certification n'a pas pu être vérifiée sur la liste officielle ANS au 29 avril 2026. Cegedim (groupe parent) a fait l'objet d'une sanction CNIL de 800 000 euros en septembre 2024 sur un traitement distinct — ce qui ne préjuge pas du statut HDS de Maiia mais mérite d'être mentionné. Si la certification HDS est confirmée : solution pertinente. A vérifier directement avant de s'engager.

7. BlueFiles

Service de dépôt sécurisé de documents, avec conservation à durée limitée. Se réclame d'un hébergement HDS français. Cette certification n'a pas pu être vérifiée sur la liste ANS au 29 avril 2026. A confirmer avant adoption.

8. meSoigner

Solution mentionnée par des acteurs du secteur comme alternative d'envoi sécurisé. Statut HDS non vérifié à ce jour. A investiguer avant adoption.

9. Enovacom (groupe Orange Business / Sopra Steria)

Solution B2B conçue pour les éditeurs de LGO et les groupements, pas pour l'officine individuelle en direct. Si ton LGO intègre Enovacom dans son infrastructure, la conformité dépend de l'accord commercial entre ton éditeur et Enovacom. A confirmer avec ton éditeur.

10. Leadersanté

Plateforme de groupement avec module de gestion documentaire sécurisé. Pertinent si tu es affilié à Leadersanté et que ce module est déployé dans ta structure. Statut HDS non vérifié indépendamment.

11. Health Data Safe (Suisse)

Solution helvète techniquement bien conçue. Problème de fond : la certification HDS est française, délivrée par l'ANS avec accréditation COFRAC. La Suisse est reconnue adéquate par la Commission européenne pour le RGPD — mais l'adéquation RGPD n'équivaut pas à la certification HDS française. Cette solution ne satisfait pas L.1111-8 CSP, quel que soit le niveau de sécurité technique.

12. ProtonMail (compte pharmacie en @protonmail.com)

Proton AG est une société suisse, RGPD compliant. Le chiffrement end-to-end entre utilisateurs Proton est réel. Les serveurs sont physiquement en Suisse, hors Cloud Act américain.

Mais ProtonMail n'est pas certifié HDS France. Et le chiffrement ne change pas le statut des données de santé : c'est la position officielle de l'ANS, sans ambiguité possible. Les données chiffrées sont des données pseudonymisées (la clé permet de retrouver les données originales), pas anonymisées. Le chiffrement ne te fait pas sortir du champ RGPD données de santé, ni du champ HDS.

ProtonMail, c'est mieux que Gmail. Objectivement. Mais ce n'est pas conforme HDS. Je le dis clairement plutôt que de créer une fausse sécurité.

13. Outlook 365 Business avec avenant contractuel HDS Microsoft

Microsoft Azure, Dynamics 365 et Microsoft 365 disposent d'une certification HDS, auditée par BSI Group accrédité COFRAC. Conditions précises : souscrire un abonnement Microsoft 365 Business ou Enterprise provisionné depuis la France ou l'UE, ET signer les clauses contractuelles HDS spécifiques avec Microsoft.

Sans cet avenant signé : même statut que Gmail. Avec l'avenant : solution juridiquement valide. Outlook.com (gratuit grand public) et Office 365 sans avenant HDS : pas de couverture.

14. Google Workspace Enterprise avec avenant HDS

Google Cloud et Google Workspace Enterprise disposent d'une certification HDS v2.0 depuis mai 2024. Comme pour Microsoft, cette couverture ne s'active que si tu as souscrit un abonnement Google Workspace Enterprise et signé l'avenant contractuel HDS spécifique avec Google. Solution valide techniquement, à condition de formaliser l'avenant.

15. Gmail / Outlook grand public (statu quo)

Je le dis simplement : c'est la solution à écarter. Pas parce que Google est "le mal" — Google Cloud a une certification HDS sérieuse pour ceux qui en bénéficient contractuellement. Mais un compte Gmail @gmail.com n'en bénéficie pas.

La CNIL l'a dit. L'ANS le dit. Et désormais l'article R.4235-10 te l'impose indirectement. Le risque de sanction est faible tant qu'il n'y a pas de fuite documentée ou de plainte patient. Mais le risque existe. Et il augmente mécaniquement à mesure que la réglementation se précise.

Retirer l'adresse Gmail de ta vitrine est la première action à faire, dès aujourd'hui, avant même d'avoir choisi ta solution de remplacement.

---

Mon classement — la préférence Pharm'Alpha

Sur cette base, voici comment je classe les options, entre Posture A (100% conforme) et Posture B (mieux que Gmail, mais sans certification HDS complète) :

Solution	Conformité HDS	Friction patient	Friction pharmacien	Coût approx.	Mon verdict
MSSanté + BAL org	100% conforme (Posture A)	Elevée (MES requis)	Modérée (activation BAL)	45–90 €/an	Optimal si patient équipé
Mon Espace Santé + e-prescription	100% conforme (Posture A)	Faible si MES activé	Très faible	Gratuit	Le canal du futur
Formulaire HDS + QR vitrine	100% conforme si hébergeur certifié (Posture A)	Très faible	Faible	< 50 €/mois	Meilleur rapport friction/conformité
Doctolib	Conforme (HDS via AWS) avec caveat Cloud Act	Faible si patient sur Doctolib	Faible si abonné	Abonnement Doctolib	Très bien si déjà dans l'écosystème
QR code intra-LGO	Conforme si LGO hébergeur certifié	Très faible	Très faible	Inclus LGO	A activer en priorité si ton LGO le propose
Maiia	A vérifier officiellement	Faible	Faible	Gratuit pharmacie	Prometteur, certification à confirmer
Outlook 365 Business + avenant HDS	Conforme si avenant signé (Posture A)	Standard email	Standard email	Abonnement M365 Business	Valable si déjà sur l'écosystème Microsoft
BlueFiles	A vérifier officiellement	Faible	Faible	Abonnement	A confirmer avant adoption
ProtonMail	NON certifié HDS (Posture B)	Standard email	Standard email	Gratuit/payant	Mieux que Gmail, pas conforme — solution de transition
Gmail @gmail.com	NON conforme	Standard email	Standard email	Gratuit	A retirer immédiatement

Posture A = solution certifiée HDS, conforme RGPD art. 32, conforme R.4235-10. Aucune zone grise.

Posture B = solution plus sécurisée que Gmail mais sans certification HDS. Réduit le risque, ne le supprime pas. Acceptable comme mesure transitoire le temps de migrer vers une Posture A, pas comme état définitif.

Ma recommandation concrète, dans l'ordre :

1. Active le QR code de ton LGO si ton éditeur le propose : c'est la solution zéro friction patient, déjà dans ton environnement.
2. Active une BAL organisationnelle MSSanté : c'est le canal officiel, 45 euros par an, et il sera de plus en plus utilisé à mesure que l'adoption de Mon Espace Santé progresse.
3. Regarde les formulaires HDS (Ordoclic, DocuPharm) pour les patients sans Mon Espace Santé : QR code en vitrine, dépôt direct, zéro compte patient requis.
4. Retire l'adresse Gmail de ta vitrine aujourd'hui. Maintenant. Avant même d'avoir mis en place la solution de remplacement.

---

---

FAQ messagerie sécurisée pharmacie

Outlook 365 est-il certifié HDS ?

Oui, sous conditions strictes. Microsoft 365 dispose d'une certification HDS pour ses services provisionnés en France ou dans l'UE — à condition d'avoir souscrit un abonnement Business/Enterprise ET d'avoir signé l'avenant contractuel HDS avec Microsoft. Sans cet avenant signé, Outlook 365 n'est pas couvert. Outlook.com (gratuit grand public) ne l'est jamais.

Si je supprime l'email après l'avoir importé dans mon LGO, ça suffit ?

Non. La violation RGPD art. 32 a eu lieu dès que la donnée de santé a transité dans ta boite non sécurisée. La suppression après coup réduit le risque d'aggravation (elle évite l'accumulation d'ordonnances en clair), mais elle ne "guérit" pas rétroactivement la violation. La bonne pratique : ne pas recevoir l'ordonnance par ce canal en premier lieu.

ProtonMail compte-t-il comme une adresse HDS ?

Non. ProtonMail n'est pas certifié HDS au sens du droit français. La certification HDS est délivrée par des organismes accrédités COFRAC, sur la base du référentiel ANS. ProtonMail (société suisse) n'a pas soumis de demande à l'ANS. Son chiffrement est réel et sérieux, mais le chiffrement ne modifie pas le statut de donnée de santé — position officielle ANS sans ambiguité. ProtonMail est mieux que Gmail. Ce n'est pas conforme HDS.

MSSanté accepte-t-il les envois de patients ?

Oui, via Mon Espace Santé, à condition que la pharmacie ait activé une Boite aux Lettres Organisationnelle. La BAL nominative du titulaire ne suffit pas pour recevoir des envois de patients. La BAL org s'active via l'ANS ou ton URPS régional. Coût : 45 à 90 euros TTC par an.

Doctolib est hébergé sur AWS, est-ce vraiment souverain ?

C'est un débat réel. AWS est certifié HDS, les données sont stockées dans des datacenters en France. Le Conseil d'État a admis la licéité de ce modèle pour Doctolib en 2021. Mais AWS est une société de droit américain, théoriquement soumise au CLOUD Act : les autorités américaines peuvent demander l'accès aux données même stockées en Europe. Aucune sanction CNIL prononcée sur ce fondement pour Doctolib à ce jour. La tension est réelle, le risque pratique faible à date. Ce n'est pas "souverain" au sens strict, mais c'est conforme HDS.

Que risque concrètement le pharmacien qui continue avec Gmail ?

Sur le plan RGPD : aucune sanction identifiée spécifiquement pour email non sécurisé en pharmacie à ce jour. Ce n'est pas un chèque en blanc. En cas de fuite documentée (piratage du compte Gmail, email envoyé par erreur à un tiers), la probabilité de sanction CNIL devient élevée. Les précédents récents pour des professionnels de santé : entre 3 000 et 6 000 euros pour des médecins, Cegedim Santé 800 000 euros pour un traitement en masse. Sur le plan ordinal (depuis R.4235-10, mars 2026) : une plainte patient pourrait déclencher une procédure disciplinaire. L'échelle va de l'avertissement à l'interdiction temporaire d'exercer.

Les attestations de mutuelle et les cartes d'assurance maladie sont-elles concernées ?

Oui pour celles qui comportent des informations révélant un état de santé (longue maladie, invalidité, affection de longue durée visible sur la carte). Une carte mutuelle standard avec juste le numéro d'adhérent et les taux de remboursement est plus discutable. Une attestation avec mention d'ALD ou de pathologie chronique : clairement une donnée de santé art. 9 RGPD.

Le patient peut-il envoyer ce qu'il veut comme il veut ? Qui est responsable ?

Le patient est responsable de son propre acte d'envoi. Mais cette responsabilité ne décharge pas le pharmacien. Dès réception, le pharmacien est responsable de traitement de la donnée. Il ne peut pas invoquer "c'est le patient qui a décidé d'envoyer sur Gmail" pour se soustraire à ses obligations RGPD art. 32. C'est la position juridique établie, confirmée par des DPO spécialisés en santé.

Google Cloud est certifié HDS — mon compte Gmail aussi alors ?

Non. La certification Google Cloud/Workspace HDS v2.0 (obtenue en mai 2024, valide jusqu'en mai 2027) couvre les clients qui ont souscrit un abonnement Google Workspace Enterprise ET signé l'avenant contractuel HDS avec Google. Un compte @gmail.com (offre gratuite grand public) ne peut pas signer cet avenant et n'est donc pas couvert. La certification de l'infrastructure de Google ne bénéficie pas automatiquement à chaque utilisateur.

Je suis sur Outlook 365 Business mais je n'ai pas signé d'avenant HDS. Je fais quoi ?

Contacte le support Microsoft ou ton revendeur pour obtenir les modalités de signature des clauses contractuelles HDS. Si tes données sont provisionnées en France ou en UE (tu peux le vérifier dans le Centre d'administration Microsoft 365, rubrique "Résidence des données"), tu es éligible à l'avenant. Sans avenant signé : même situation juridique que Gmail.

Mon LGO est dans le cloud. Est-ce que le prestataire doit être certifié HDS ?

Oui. Si ton LGO est hébergé à distance (SaaS, serveur cloud chez l'éditeur), le prestataire qui héberge doit être certifié HDS. C'est l'application directe de L.1111-8 CSP. Dans ce cas, l'exemption "interne" (pharmacien gérant ses propres données en local) ne s'applique plus. Demande la preuve de certification HDS à ton éditeur LGO.

Le nouveau code de déontologie 2026 s'applique-t-il aux adjoints aussi ?

Oui. L'article R.4235-10 s'applique à tous les pharmaciens inscrits à l'Ordre, titulaires comme adjoints. Le titulaire a une responsabilité supplémentaire d'organisation et de supervision, mais l'obligation déontologique de chaque pharmacien inscrit est individuelle.

---