Des données sensibles recueillies lors de passages aux urgences
Une patiente, très agitée, est admise au service des urgences d’un hôpital à la suite d’une crise d'angoisse sur la voie publique. Le psychiatre qui l’examine consigne dans le dossier médical un certain nombre d’informations sur sa vie personnelle et familiale, ainsi que sur ses antécédents sociaux.
Quelques mois plus tard, cette patiente est à nouveau admise aux urgences, dans un autre établissement, cette fois pour une anxiété péri-opératoire. Elle tient alors des propos très décousus et à tendance suicidaire. Le psychiatre qui s’entretient avec elle rapporte dans le dossier médical plusieurs éléments concernant :
- sa vie personnelle,
- sa vie professionnelle,
- des révélations sur sa sexualité.
Deux ans plus tard, la patiente demande à l'Assistance publique - Hôpitaux de Paris (AP-HP), dont relèvent les deux établissements hospitaliers, de retirer certaines mentions du compte rendu médical qui la concerne.
Devant l’échec de cette demande, elle sollicite la rectification des "données personnelles sensibles" mentionnées dans son dossier médical, notées sans qu’elle ait donné son accord. Elle réclame enfin une indemnisation financière pour atteinte à l’intimité de sa vie privée.
Sans réponse, elle saisit le tribunal administratif, qui rejette sa demande. Elle fait appel de cette décision devant la Cour administrative d’appel.
Que disent les textes sur la collecte des données personnelles sensibles ?
Le texte de référence est le Règlement Général sur la Protection des Données du Parlement européen et du Conseil du 27 avril 2016 (RGPD) qui pose des principes protecteurs en matière de données personnelles.
Mais pour celles qui sont portées dans un dossier médical, des exceptions sont prévues et ces principes doivent se concilier avec d’autres textes, notamment issus du Code de la santé publique.
Que dit le RGPD sur la collecte des données personnelles sensibles ?
Le RGPD, applicable en France depuis 2018, pose plusieurs principes :
- La règle générale est que le traitement de données concernant la santé, la vie sexuelle ou l'orientation sexuelle d'une personne physique est interdit.
- Cette règle ne s’applique pas dans le cadre d’un traitement de données nécessaire à l’établissement d’un diagnostic médical.
- Pour qu’un traitement de données personnelles soit licite dans ce cadre, il faut qu’il soit réalisé par un professionnel de la santé soumis à une obligation de secret professionnel.
Dans l’affaire que nous évoquons, la Cour administrative d’appel rappelle ces règles. Elle en déduit qu’il ne peut être reproché aux deux hôpitaux d’avoir collecté et traité des informations personnelles sensibles dans le dossier médical de la patiente.
Que dit l’article R.1112-2 du Code de la santé publique ?
Cet article fait obligation aux établissements de santé, publics comme privés, de constituer un dossier médical pour chaque patient hospitalisé. Ce dossier doit comporter les informations formalisées recueillies lors des consultations externes, de l'accueil aux urgences, de l'admission et du séjour hospitalier, parmi lesquelles :
- les raisons qui ont motivé l’hospitalisation ;
- les antécédents médicaux et les facteurs de risques ;
- les conclusions de l'évaluation clinique initiale ;
- les informations recueillies auprès de tiers n'intervenant pas dans la prise en charge thérapeutique ou concernant de tels tiers : il peut ainsi s’agir de données sur l’entourage familial du patient.
La Cour administrative d’appel considère que face au "discours très négatif" tenu par la patiente, les éléments recueillis pouvaient indiscutablement :
- contribuer à l'appréciation de son état psychologique, et donc au diagnostic ;
- étayer les décisions thérapeutiques.
Ils pouvaient donc être consignés au dossier médical et faire l'objet d'un traitement de données à caractère personnel en vertu du RGPD, sans que l’accord préalable de la patiente soit nécessaire.
Dossier médical et demande d'effacement des données
Le patient ne peut demander l’effacement des données de santé qui figurent dans son dossier médical.
En effet, la tenue d’un dossier médical est une obligation légale qui ne pourrait être satisfaite si le professionnel de santé avait l’obligation de supprimer les données qu’il contient à la demande du patient.
Il ne pourrait notamment plus se défendre en cas de mise en cause de sa responsabilité.
La Cour administrative d’appel considère donc que les médecins du service des urgences n'étaient pas tenus de procéder à l'effacement des données personnelles sensibles que demandait la patiente.
Dossier médical et demande de rectification des données
Une demande de rectification des éléments portés dans le dossier médical est toujours possible.
Souvent, l’objectif est de corriger des inexactitudes factuelles, comme une erreur dans un nom, une adresse ou encore une donnée administrative.
En revanche, quand la demande porte sur la rectification d’un ou de plusieurs éléments qui ont permis d’apprécier l’état de santé ou de poser un diagnostic, le professionnel de santé reste libre d’y faire droit ou non. Ce n’est que dans des cas très exceptionnels qu’il peut accéder à cette demande.
Dans l’affaire que nous évoquons, la Cour administrative d’appel confirme que l’AP-HP était en droit de ne pas rectifier les données enregistrées dans le dossier médical.
Dossier médical et information sur le droit de rectification des données
Même si toutes les demandes d’effacement et de rectification ne s’imposent pas au responsable du traitement des données, le RGPD l’oblige à fournir à la personne concernée les informations nécessaires sur son droit à formuler de telles demandes.
En l’espèce, la Cour administrative d’appel relève que cette information n’a pas été dispensée à la patiente. Cependant, la Cour relève également que les professionnels de santé qui ont pu avoir accès à ces données personnelles sensibles sont tous tenus au secret professionnel.
Aussi, l’absence d’information sur la possibilité de rectifier les données n’a pas eu pour effet de porter atteinte à la vie privée, argument qui était invoqué par la patiente.
Elle est donc déboutée de l’ensemble de ses demandes.
En résumé...
- Le RGPD pose le principe de l’interdiction du recueil de données personnelles sensibles, ayant trait à la santé ou à la vie sexuelle.
- La prise en charge médicale est une exception à ce principe : le dossier médical peut comporter des données personnelles sensibles dès lors qu’elles contribuent à apprécier l’état du patient, à poser un diagnostic et à mettre en place le traitement adéquat.
- Le patient doit être informé de la possibilité de demander la rectification ou l’effacement des données qui le concernent ; mais quand il s’agit de données figurant au dossier médical, le professionnel de santé peut refuser de faire droit à cette demande.
