Un hôpital rappelé à l’ordre pour consultation illicite du dossier médical informatisé
L’Autorité de protection des données prononce une réprimande
La Chambre contentieuse de l’Autorité de protection des données (APD) a adressé un avertissement à un groupe hospitalier après qu’un kinésithérapeute a consulté le dossier médical informatisé (DMI) d’une patiente et a ainsi pris connaissance des résultats d’un test NIPT (Non-Invasive Prenatal Testing).
Herman Nys, professeur émérite de droit médical, KU Leuven
L’affaire portée devant la Chambre contentieuse avait été introduite par la mère. Celle-ci avait échangé avec son kinésithérapeute, via WhatsApp, des messages au sujet de leurs grossesses respectives. Dans l’un d’eux, le kinésithérapeute de la mère lui avait écrit (traduction libre) : « Tout va bien ? Si je me souviens bien de ce que j’ai glané, c’est une fille ? »
La mère lui avait répondu : « Après réflexion, je dois te dire honnêtement que nous sommes assez bouleversés. Nous voulions ne le découvrir qu’à la naissance. Je pense que ta curiosité était déplacée et qu’elle a gâché la surprise pour nous. C’est vraiment dommage. »
La mère a alors demandé au groupe hospitalier au sein duquel le kinésithérapeute exerçait à titre indépendant la liste des accès à son DMI. Ce document a révélé que le kinésithérapeute avait consulté son dossier à trois reprises en l’espace de quatre jours et avait notamment pu prendre connaissance des résultats du test NIPT.
Le groupe hospitalier a ensuite résilié, pour motif grave, la convention de collaboration avec le kinésithérapeute. Les parents ont déposé une plainte auprès de l’Autorité de protection des données contre le groupe hospitalier, également au nom de leur enfant.
Qualité des soins et nécessité d’accéder au DMI
Selon la Chambre contentieuse, les hôpitaux ont pour mission de dispenser des soins multidisciplinaires. L’accès partagé au DMI d’un patient par plusieurs professionnels de santé constitue le fondement de cette interdisciplinarité et contribue à améliorer la qualité des soins.
Lorsqu’un médecin peut consulter les résultats de laboratoire ou le rapport d’un confrère, il est mieux à même de prendre des décisions thérapeutiques appropriées.
La Chambre contentieuse rappelle toutefois que l’accès aux données médicales doit être strictement limité aux informations indispensables à chaque professionnel pour exercer correctement sa fonction.
Un accès limité aux données nécessaires aux soins
La Chambre contentieuse n’a pas suivi l’argument du groupe hospitalier selon lequel l’accès complet au DMI par tous les prestataires de soins serait nécessaire pour garantir des soins multidisciplinaires de qualité.
En réalité, tous les professionnels de santé ne doivent pas pouvoir consulter l’ensemble des documents relatifs à un patient. Seuls les documents nécessaires à la prestation de soins spécifiques devraient pouvoir être consultés par le professionnel concerné.
En outre, le groupe hospitalier, composé de plusieurs établissements utilisant un DMI unique accessible depuis l’ensemble de ses sites, doit prendre des mesures spécifiques afin de compenser cet accès élargi aux informations contenues dans le dossier.
Les données génétiques exigent une protection renforcée
Dans cette affaire, les informations contenues dans le DMI constituent, à l’exception de certaines données permettant d’identifier le patient, des catégories particulières de données au sens de l’article 9 du RGPD, puisqu’il s’agit de données relatives à la santé et, dans certains cas, de données génétiques.
Ce type de données nécessite une protection renforcée, notamment en raison du risque accru que leur traitement peut faire peser sur les droits et libertés des personnes concernées.
La Chambre contentieuse a estimé que le groupe hospitalier n’avait pas démontré avoir pris toutes les mesures techniques et organisationnelles nécessaires pour garantir un niveau de sécurité conforme aux exigences du RGPD. D’une part, un kinésithérapeute avait pu accéder aux données d’un test génétique concernant un enfant à naître alors que celles-ci n’étaient pas nécessaires aux soins prodigués à la patiente. D’autre part, ces accès illicites n’ont pu être découverts que grâce à la plainte des personnes concernées.
Un avertissement, mais pas d’amende
Sur la base de ces éléments, la Chambre contentieuse constate que les mesures techniques et organisationnelles mises en place par le groupe hospitalier étaient insuffisantes au regard du niveau de risque que le traitement des données faisait peser sur les droits et libertés des personnes concernées. Le groupe hospitalier a donc enfreint le RGPD et s’est vu infliger un avertissement.
La Chambre contentieuse relève néanmoins que, malgré l’insuffisance des mesures techniques destinées à empêcher les accès illicites aux dossiers médicaux, le groupe hospitalier avait mis en place de nombreuses mesures organisationnelles. Sa réaction lorsqu’il a pris connaissance de l’accès litigieux témoigne également de l’importance accordée à la protection des données au sein de l’organisation.
Ces éléments justifient, selon la Chambre contentieuse, qu’aucune sanction financière ne soit infligée.