L'Ordre des médecins s'est penché sur le droit du médecin hospitalier à accéder aux données à caractère personnel contenues dans le dossier hospitalier de l’institution dans laquelle il exerce, concernant un patient avec lequel le médecin hospitalier a eu une relation thérapeutique, afin de se défendre en justice ; il ne s’étend pas à d’autres traitements de ces données par l’hôpital ou le médecin hospitalier.
1. Le RGPD[1] s’applique au traitement des données contenues dans le dossier hospitalier.
Le responsable du traitement du dossier hospitalier veille à ce que le traitement des données à caractère personnel relatives à la santé qu’il contient soit conforme à toutes les exigences imposées par le RGPD[2].
L’hôpital établit un règlement relatif à la protection de la vie privée qui est porté à la connaissance des patients de cet hôpital[3], tient une liste des catégories de personnes qui ont accès aux données à caractère personnel concernant la santé avec une description précise de leur fonction par rapport au traitement des données de santé[4] et tient un registre des activités de traitement[5].
Avant de traiter les données contenues dans le dossier hospitalier pour se défendre en justice, le médecin hospitalier vérifie si, ce faisant, il agit sans contrevenir à ses engagements et à ceux de l’hôpital envers les patients en ce qui concerne le traitement de leurs données, tels que ceux-ci en ont été informés[6].
Si les documents précités ne prévoient pas que le médecin hospitalier peut traiter les données de santé contenues dans le dossier hospitalier aux fins de se défendre en justice, celui-ci consulte le délégué à la protection des données[7] de l’hôpital qui l’aidera à appréhender ses obligations en matière de respect des règles relatives à la protection des données.
Le traitement des données à caractère personnel en vue de se défendre en justice est une exception à l’interdiction de traiter des données à caractère personnel relatives à la santé[8]. Un tel traitement devra satisfaire à toutes les conditions imposées par le RGPD, ce qui implique notamment l’information de la personne concernée quant au traitement de ses données pour l’exercice du droit à la défense en justice[9], que les données à caractère personnel relatives à la santé utilisées issues du dossier hospitalier seront adéquates et pertinentes dans ce contexte et qu’il ne sera pas traité plus de données qu'il n'est nécessaire[10].
2. Les règles en matière de protection des données et de secret médical[11] sont complémentaires, les unes ne dérogeant pas aux autres.
La jurisprudence a admis que l’article 458 du Code pénal n’entraîne pas une obligation absolue au silence lorsque celui qui est lié au secret doit se défendre en justice.
De l’avis du Conseil national, il ne peut s’en déduire que l’obligation au secret disparaît mais que le médecin peut être justifié à lever le secret dans les limites nécessaires aux besoins de sa défense, soit de manière proportionnée et pertinente.
3. La confiance du patient est essentielle au développement des outils technologiques qui, par l’échange et l’accès aux données qu’ils permettent, offrent des bénéfices en termes de qualité des soins, de continuité des soins mais aussi de support pour l’exercice de la profession.
Il incombe aux médecins de ne pas saper cette confiance ni celle des confrères qui partagent les données qu’ils ont collectées en négligeant les principes relatifs au secret médical et au traitement des données à caractère personnel.
Enfin, le Conseil national attire l’attention des médecins sur les règles auxquelles la loi du 22 avril 2019 relative à la qualité de la pratique des soins de santé, qui entre en vigueur le 1er juillet 2021, subordonne l’accès aux données de santé[12].
