Protection des données, sécurité informatique et cybercriminalité

GRI 418: Confidentialité des données des clients
Protection des données

GRI 103-1
Explication de l’enjeu pertinent et de son périmètre

Au vu de la numérisation croissante du système de santé suisse, la protection des données et les exigences légales concernant le traitement des données gagnent en importance. La protection des données comprend le traitement des données des patients et des clients, et poursuit l’objectif de protéger la vie privée des patients lors du traitement de leurs données. Les données relatives à la santé sont sensibles et doivent être particulièrement protégées par la loi contre toute utilisation abusive. Au sein de la Service Unit Pharmacies et de HCI Solutions en particulier, l’enjeu de la protection des données est central. Galenica veille à ce que les données des patients soient protégées contre tout accès et toute modification non autorisés ou une perte.

GRI 103-2
L’approche managériale et ses composantes

Politique de protection des données et formations des collaborateurs

Dans ce domaine important, Galenica a l’appui d’un préposé à la protection des données indépendant externe. La politique de protection des données constitue le cadre général et est complétée par des règlements et instructions spécifiques pour les sociétés du Groupe. Tous les contrats de travail des collaborateurs ayant accès à des données personnelles contiennent en outre une clause de protection des données. Tous les collaborateurs sont régulièrement formés et sensibilisés à la protection des données.

Gros plan sur la révision de la protection des données

Fin septembre 2020, le Parlement a adopté la révision totale de la loi fédérale sur la protection des données (nLPD). Cette révision permet d’adapter la loi sur la protection des données aux nouvelles conditions technologiques et sociales. Elle implique en particulier, l’amélioration de la transparence du traitement des données et le renforcement de l’autodétermination des personnes concernées par rapport à leurs données. La loi révisée sur la protection des données conduit à de nombreuses adaptations au règlement général de l’UE sur la protection des données (RGPD). Galenica suit l’évolution de la situation et vérifie dans quelle mesure des ajustements sont nécessaires. En 2021, Galenica a lancé un projet interne visant à préparer le Groupe Galenica aux exigences de la nLPD et de la nouvelle ordonnance relative à la loi fédérale sur la protection des données (nLPD).

La consultation sur la révision de l’ordonnance relative à la loi fédérale sur la protection des données (OLPD) a débuté en 2021. Le service juridique évalue l’état actuel de Galenica par rapport à la loi sur la protection des données et met en œuvre les dispositions légales. En outre, le service juridique du Groupe continue de suivre la pratique du RGPD-UE.

Cercle de protection des données

Le cercle de protection des données propose une plateforme aux membres du Service juridique, du département informatique et des domaines opérationnels pour traiter et coordonner les thèmes et questions relevant de la protection des données à l’échelle du Groupe, et de mettre en œuvre des mesures préventives suffisamment tôt. L’organe contribue ainsi de manière significative au respect de la loi sur la protection des données. Le cercle de protection des données est dirigé par la secrétaire générale. Le Comité est rattaché au service juridique.

GRI 103-3
Evaluation de l’approche managériale

• Contrôles: pour respecter les dispositions légales et garantir un traitement des données personnelles de haut niveau, Galenica suit les changements légaux du droit de la protection des données et réalise des contrôles réguliers.

GRI 418-1
Plaintes fondées relatives à l’atteinte à la confidentialité des données des clients et aux pertes des données des clients

Au cours de l’année de référence, il n’y a eu aucune plainte fondée relative à l’atteinte à la confidentialité des données des clients, et aucun cas de vol ou de perte de données n’a été identifié.

Enjeu pertinent propre
Sécurité informatique et cybercriminalité

GRI 103-1
Explication de l’enjeu pertinent et de son périmètre

Avec la numérisation croissante du système de santé, le risque de cyberattaques augmente. C’est pourquoi la sécurité informatique est très importante chez Galenica. En tant que prestataire dans le domaine de la santé, Galenica traite des informations et données sensibles. Galenica s’assure qu’elles sont protégées contre tout accès injustifié et toute modification ou perte non autorisée. Pour les entreprises logistiques et les pharmacies, la protection des systèmes informatiques est décisive pour garantir en fin de compte la sécurité d’approvisionnement de la population. L’être humain est l’un des principaux facteurs de risque en matière de cyberattaques, car de nombreuses cyberattaques ciblent les collaborateurs, par exemple au moyen d’e-mails frauduleux (phishing).

GRI 103-2
L’approche managériale et ses composantes

Responsabilités

Au niveau du Groupe, l’enjeu de la sécurité informatique est coordonné par le Chief Information Security Officer (CISO). Son équipe et lui dirigent l’IT-Security-Circle, dont font partie les responsables IT-Security du Groupe Galenica. Le Comité se réunit tous les trimestres et conseille et coordonne les mesures de sécurité de l’information et de la sécurité informatique. Celles-ci sont mises en œuvre par les membres dans leurs entreprises respectives. Dans le cadre du regroupement des compétences informatiques de toutes les sociétés de Galenica au sein de la Service Unit IT & Digital Services, la stratégie de sécurité informatique a également été centralisée en 2021. L’objectif est d’atteindre une sécurité informatique fiable et efficace à l’échelle du groupe.

Des directives claires régissent l’exploitation

La politique de sécurité informatique définit les objectifs de la sécurité de l’information et de la sécurité informatique, les compétences et les responsabilités ainsi que les principes de sécurité informatique du Groupe Galenica. Cette Politique s’applique à toutes les sociétés du Groupe Galenica et constitue la base de toutes les consignes écrites de sécurité informatique. En outre, le règlement d’utilisation informatique définit les règles de comportement relatives à la sécurité dans l’utilisation des outils de travail informatiques, comme l’utilisation d’appareils privés, le travail en déplacement ou en home office. Enfin, le manuel de sécurité informatique s’adresse aux collaborateurs des services informatiques et réglemente la sécurité de l’exploitation informatique.

Collaborateurs sensibilisés

La participation de tous les collaborateurs est nécessaire pour garantir la sécurité de l’information et de l’informatique. Outre les mesures techniques, Galenica les encourage par conséquent à prendre conscience de la sécurité par le biais de modules d’e-learning spécifiques et de news intranet. Dès la journée d’introduction, les collaborateurs récemment arrivés sont sensibilisés aux éléments essentiels du règlement d’utilisation informatique. En 2021, Galenica a implémenté et déployé divers modules d’e-learning sur la sécurité des données et la gestion du phishing et des cyberattaques pour tous les collaborateurs. Par ailleurs, des informations sur la cybercriminalité ont été régulièrement publiées sur l’intranet pour les membres du personnel.

GRI 103-3
Evaluation de l’approche managériale

• Audit de sécurité: l’actualité et l’efficacité de la politique de sécurité informatique et de sa mise en œuvre sont régulièrement vérifiées par des services internes ou des spécialistes externes.
• Monitoring: le système de surveillance de la sécurité surveille l’ensemble des systèmes informatiques et déclenche l’alarme en cas d’anomalies. Cela est assuré par un centre opérationnel de sécurité (Security Operation Center – SOC) externe.
• E-learning: les taux de participation aux modules d’e-learning sur la sécurité des données et la cybersécurité sont régulièrement relevés et évalués.

Indicateur propre
Participation à des e-learnings

Au cours de l’exercice sous revue, deux e-learnings ont été proposés dans le domaine de la sécurité informatique et de la cybercriminalité. Le taux de participation a été en moyenne de 88%.